Stručne: Týždeň po prvom pozorovanom pokuse o útok je PHP2Shell aktuálne predovšetkým otázkou realizácie: záplaty pre PHP 8.2 až 8.5 sú k dispozícii od 21. októbra, veľké distribúcie nadviazali, BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) varuje stupňom oranžový. Pokusy o útok boli pozorované, potvrdené úspešné útoky vo väčšom rozsahu BSI spočiatku nehlásilo. Otvorené zostávajú staré verzie, nereštartované servery a otázka, čo sa stalo pred záplatou.
Situácia v troch vetách
PHP2Shell sú dve kritické zraniteľnosti v samotnom interpreteri PHP, CVE-2026-109618 a CVE-2026-109619, každá hodnotená CVSS v4.0 9,2. Umožňujú vykonanie kódu na diaľku bez prihlásenia, teda prípad, ktorého sa bezpečnostní ľudia boja najviac. Dotknuté sú PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed; najvyššie riziko vidí tím PHP pri mod_php.
Tento prehľad zaraďuje stav z 25. októbra 2026 podľa aktérov. Priebeh deň po dni nájdete v chronológii PHP2Shell, tu ide o celkový obraz.
Čo je po týždni preukázané
Isté sú údaje projektu PHP: vydania 8.5.12, 8.4.27, 8.3.36 a 8.2.35 z 21. októbra uzatvárajú obe zraniteľnosti. Pre PHP 7.4, 8.0 a 8.1 existujú len minimálne backporty zdrojového kódu, žiadne oficiálne vydania. php.net zdôrazňuje, že neexistujú úplné prechodné opatrenia a aktualizácia je jediná bezpečná cesta.
Dňa 23. októbra pribudlo upozornenie na CVE-2026-115560. Týka sa len nezvyčajnej konfigurácie session; ako nápravu uvádza php.net session.upload_progress.enabled=0 do nasledujúceho riadneho vydania s opravami chýb.
Aj veľké distribúcie zaujali stanovisko. Oficiálne hlásenia sme skontrolovali:
| Poskytovateľ | Stav podľa oficiálneho hlásenia |
|---|---|
| Ubuntu | USN-8948-1 pre 22.04, 24.04, 26.04 a 26.10; USN-8948-2 pre 14.04 až 20.04 cez Ubuntu Pro |
| Debian | Opravené balíky pre bookworm (php8.2, DLA-4848-1) a trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 pre RHEL 7 až 10; niektoré aktualizácie dostupné, ďalšie v príprave |
Red Hat zaraďuje CVE-2026-109618 vlastným hodnotením ako „Important“ a odôvodňuje to vyššou zložitosťou útoku. Je to iná metóda hodnotenia než u projektu PHP a nie je to dôvod aktualizáciu odkladať.
Ako úrady situáciu hodnotia
BSI vyhlásilo stupeň varovania 3 (oranžový). Odporúča okamžitú aktualizáciu a, ak to hneď nejde, dotknuté webové servery dočasne odpojiť od siete. BSI počítalo s rýchlym plošným zneužívaním. Čo zaradenie znamená, vysvetľuje stránka Čo BSI k PHP2Shell odporúča.
Podľa správ CERT-EU (tím CERT inštitúcií EÚ) považuje za možné, že sú dotknuté verzie od PHP 5, a radí izolovať verejne dostupné aplikácie, ak sa nedajú zaplátať včas. Varovali aj CERT-Bund (nemecký vládny CERT) a bezpečnostná firma Huntress.
Odporúčanie v núdzi vypnúť bolo viditeľne realizované. Podľa mediálnych správ mesto Mainz preventívne odpojilo svoj centrálny webový portál od siete; úrady zostali dosiahnuteľné telefonicky a e-mailom. V Hesensku boli podľa hessenschau dočasne offline stránky krajinskej vlády, BKA (nemecký Spolkový kriminálny úrad) a miest Kassel a Wiesbaden. Štátna kancelária žiadny útok nehlásila, stránky boli večer opäť dostupné. Ďalšie obce, vysoké školy a kliniky konali podľa správ podobne.
Čo je známe o útokoch
Tu je rozlíšenie medzi pozorovaním a potvrdením obzvlášť dôležité.
- Pozorované: Podľa mediálnych správ bol 17. októbra prvý pokus o útok, ktorý pozoroval Amazon. Cloudflare a Patchstack hlásili pokusy o útok; Cloudflare navyše videl zmenené vzory útokov.
- Zreprodukované: watchTowr CVE-2026-109618 podľa správ podľa vlastných údajov zreprodukoval.
- Nepotvrdené: BSI spočiatku nehlásilo žiadne potvrdené úspešné zneužitia vo väčšom rozsahu. Huntress v čase svojho hlásenia nezaznamenal žiadne útoky v prostrediach partnerov.
- Neznáme: Neexistujú zverejnené, potvrdené Indicators of Compromise. Kto chce overiť, či je server dotknutý, musí sledovať vzorce správania.
K rozsahu kolujú dve čísla. Výskumníci z Unit 42 v Palo Alto Networks dospeli k viac ako 22,6 milióna potenciálne zraniteľných inštancií dostupných zo siete. CybelAngel uvádza približne 2,24 milióna dostupných hostiteľov PHP, z toho podľa vlastného vyhodnotenia 59 percent na verziách bez budúcej oficiálnej opravy. Obe merajú rozdielne veci a nie sú priamo porovnateľné. Zaradenie poskytuje príspevok Správne zaradiť čísla.
Čo zostáva otvorené
Tri otázky určia najbližšie týždne:
- Staré verzie: Veľká časť dostupných inštalácií PHP beží podľa uvedených vyhodnotení na vetvách bez oficiálnej opravy. Či komerčné ponuky dlhodobej podpory PHP2Shell pokrývajú, treba vždy písomne potvrdiť u poskytovateľa.
- Neúplné aktualizácie: Nové balíky zaberú až po reštarte všetkých procesov PHP. Red Hat výslovne upozorňuje, že pouhé opätovné načítanie nestačí.
- Čas pred záplatou: Medzi 17. a 21. októbrom boli servery zraniteľné, kým už prebiehali pokusy o útok. Záplata nedokazuje, že sa v tomto čase nič nestalo.
Uchovajte logy webového servera a PHP od 20. októbra, ako odporúča odborná tlač. Bez logov sa najdôležitejšia otvorená otázka pre váš server neskôr už zodpovedať nedá.
Čo by mali prevádzkovatelia teraz skontrolovať
Na vlastné posúdenie situácie stačia štyri kontrolné body pre každý server: Je PHP na opravenej verzii alebo na potvrdenom backporte? Bežia všetky procesy od aktualizácie? Je session.upload_progress.enabled vypnuté na strane servera, kým advisory k CVE-2026-115560 chýba? Existujú nápadnosti od 17. októbra?
Pre posledný bod pomáha stránka Som už kompromitovaný?. Proces webového servera, ktorý spúšťa shell, nové súbory PHP v priečinkoch s uploadmi, neznáme cronjoby alebo kľúče SSH sú varovné signály, ktoré odôvodňujú podrobnejšie vyšetrenie.
Ako konkrétne pomáha PHP SOS?
- Stav záplat každého servera hodnotíme podľa stavu balíka, changelogu a časov spustenia procesov.
- Kde záplata nie je k dispozícii, nastavujeme prechodné opatrenia z php.net a objasňujeme cestu k podporovanej verzii.
- Zálohujeme logy od 20. októbra a hľadáme stopy z obdobia pred záplatou.
- V okamžitej pomoci pri PHP2Shell tieto kroky spájame pre podniky, ktoré potrebujú rýchlo jasno.
Časté otázky
Zneužíva sa PHP2Shell už aktívne?
Cloudflare a Patchstack hlásili pokusy o útok. Potvrdené úspešné útoky vo väčšom rozsahu BSI spočiatku nehlásilo. Huntress v čase svojho hlásenia nezaznamenal žiadne útoky v prostrediach partnerov.
Je nebezpečenstvo po záplatách preč?
Nie. Záplaty chránia len servery, ktoré ich nainštalovali a reštartovali všetky procesy PHP. Systémy na PHP 8.1 a starších zostávajú bez potvrdeného backportu zraniteľné a záplata neodstráni škodlivý softvér zavlečený predtým.
Prečo boli weby úradov offline?
Podľa mediálnych správ okrem iných mesto Mainz a viaceré miesta v Hesensku svoje weby preventívne vypli. To zodpovedá odporúčaniu BSI pre servery, ktoré sa nedajú okamžite aktualizovať. Vypnutie neznamená, že k útoku došlo.
Existujú rozpoznávacie znaky útoku PHP2Shell?
Zverejnené a potvrdené Indicators of Compromise zatiaľ neexistujú. Rozpoznanie sa opiera o analýzu správania, napríklad procesy PHP, ktoré spúšťajú shell, alebo nové súbory PHP v priečinkoch s uploadmi.