Stručne: Či by ste mali web pre zraniteľnosť PHP vypnúť, závisí od jednej otázky: Beží PHP na tomto serveri preukázateľne na opravenom stave a sú všetky procesy reštartované? Ak áno, vypnutie nie je potrebné. Ak aktualizácia nie je možná okamžite, BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webserver dočasne odpojiť od siete. Čakanie je obhájiteľné, iba ak systém PHP nepoužíva, nie je verejne dostupný alebo poskytovateľ záplatu písomne potvrdil.
Situácia, v ktorej musíte rozhodnúť
PHP2Shell zahŕňa dve zraniteľnosti v samotnom PHP, CVE-2026-109618 a CVE-2026-109619, obe hodnotené CVSS v4.0 9.2. Umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Opravené verzie sú dostupné od 21. 10. 2026: 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie.
BSI vyhlásilo stupeň varovania oranžový a radí okamžitú aktualizáciu, náhradne dočasné odpojenie. Podľa správ médií mesto Mainz, útvary hesenskej zemskej vlády a ďalšie verejné inštitúcie preventívne odpojili weby od siete; hesenská štátna kancelária nehlásila žiadny útok. Čo si z toho môžu firmy odvodiť, nájdete v článku Úrady odpájajú weby od siete.
Pre zodpovedných vo firmách je otázka praktickejšia: Čo robíme dnes s naším e-shopom, naším portálom, naším firemným webom?
Vypnúť web, záplatovať alebo počkať: tri možnosti v porovnaní
Nasledujúca tabuľka stavia možnosti vedľa seba. Nenahrádza posúdenie vášho konkrétneho prípadu, ale zviditeľňuje zvažovanie.
| Kritérium | Záplatovať okamžite | Dočasne vypnúť | Počkať |
|---|---|---|---|
| Ochrana pred PHP2Shell | Vysoká, ak je záplata a reštart doložený | Vysoká po dobu odpojenia | Žiadna, kým nie je záplatované |
| Prerušenie prevádzky | Krátke, na aktualizáciu a reštart | Hodiny až dni | Žiadne |
| Predpoklad | Podporovaná verzia PHP, prístup, servisné okno | Rozhodnutie konateľov, statická náhradná stránka | Doložený dôvod, prečo neexistuje riziko |
| Náročnosť | Nízka až stredná | Technicky nízka, organizačne vysoká | Nízka, ale kontrolná práca na doklad |
| Typický prípad | Server s PHP 8.2 až 8.5 | Starý systém s PHP 8.1 alebo starším, nejasný stav | Systém bez PHP alebo dostupný iba interne |
| Zvyškové riziko | Skoršie vniknutie zostáva možné | Skoršie vniknutie zostáva možné | Plne zachované |
Jeden riadok si zasluhuje pozornosť: Ani záplata, ani odpojenie neobjasnia, či sa predtým už niečo nestalo. Podľa správ médií bol prvý pozorovaný pokus o útok 17. 10. 2026, teda pred záplatou. Pohľad na možné stopy preto patrí ku každej možnosti.
K rozhodnutiu v piatich otázkach
Otázky prechádzajte po poradí. Prvá jasná odpoveď zvyčajne vedie k rozhodnutiu.
- Beží na systéme vôbec PHP a je dostupný z internetu? Ak nie, systém sa PHP2Shell priamo netýka. Zdokumentujte, ako ste to zistili.
- Je stav záplat doložený? Doložený znamená: opravená verzia alebo backport s číslami CVE v changelogu balíka a reštart všetkých procesov PHP. Zobrazenie verzie v paneli nestačí. Ako to preveríte, nájdete v článku Ako správne skontrolovať verziu PHP a stav záplat.
- Dá sa aktualizácia nainštalovať v najbližších hodinách? Ak áno: záplatovať, reštartovať, skontrolovať. Dovtedy môžu pomôcť prechodné opatrenia.
- Nie je to možné, napríklad pre PHP 8.1 alebo chýbajúci prístup? Potom je podľa BSI cestou dočasné odpojenie. Prechodné opatrenia podľa php.net znižujú riziko, ale nechránia úplne; podrobnosti nájdete v článku Okamžité opatrenia, ak ešte nemôžete záplatovať.
- Existujú príznaky kompromitácie? Vtedy už nejde o otázku „záplatovať alebo vypnúť“, ale „riešiť incident“. Odpojiť, zabezpečiť dôkazy, nemazať predčasne.
Ak vypínate: vypnúť správne
Odpojenie má odstrániť plochu útoku, nie iba skryť úvodnú stránku. Stránka o údržbe, ktorá sa stále generuje cez PHP, tento účel neplní. Lepšia je statická stránka HTML, ktorú webserver doručuje bez PHP, alebo presmerovanie na iný server.
Myslite na všetko, čo visí na tom istom PHP: podstránky, rozhrania pre aplikácie alebo skladový systém, administrátorské oblasti, spätné volania platieb. Ak je dotknutý e-shop, vopred sa dohodnite s poskytovateľom platieb a logistikou. A informujte zamestnancov a zákazníkov jasnými slovami: Stránka je preventívne offline, kontakt prebieha telefonicky a e-mailom. To je lepšie než mlčanie, ktoré živí špekulácie.
Dôležitý je aj koniec odpojenia. Určte, za akej podmienky sa stránka vráti online, napríklad „PHP na opravenom stave, reštart skontrolovaný, prvá kontrola stôp bez nálezu“. Tak sa z núdzovej brzdy stane usporiadaný postup.
Vypnúť nie je prehra. Viaceré verejné miesta to podľa správ médií urobili, bez toho, aby došlo k útoku. Preventívne vypnutie automaticky neznamená, že web bol hacknutý.
Kedy nepotrebujete dodávateľa
Nie každé rozhodnutie vyžaduje externú pomoc. Ak váš web leží u poskytovateľa hostingu, ktorý písomne potvrdí stav záplat a reštart, a nie sú žiadne nápadnosti, ste s krátkou dokumentáciou dobre postavení. To isté platí, ak vaše vlastné IT dokáže záplatovať server s podporovanou verziou PHP samo a ovláda kontrolu.
Pomoc sa oplatí, keď bežia systémy so starou verziou PHP, stav je nejasný, je dotknutých viac serverov alebo existujú príznaky vniknutia.
Ako konkrétne pomáha PHP SOS?
- S vami v krátkom čase objasníme, ktoré systémy sú dotknuté a aký stav záplat je doložený.
- Konateľom dodáme podklad na rozhodnutie na jednej strane: možnosti, riziká, odporúčaná cesta.
- Zvolenú cestu zrealizujeme, teda záplatu s reštartom, prechodné opatrenia alebo čisté odpojenie so statickou náhradnou stránkou, v rámci našej okamžitej pomoci pri PHP2Shell.
- Kontrolujeme stopy od 17. 10. 2026 a výsledok zdokumentujeme.
Záver
Záplatovanie je bežný prípad, odpojenie správna núdzová brzda, čakanie je obhájiteľné len s dokladom. Kto na päť otázok odpovie úprimne a rozhodnutie zapíše, koná v duchu odporúčania BSI a môže neskôr ukázať, prečo.
Časté otázky
Musím kvôli PHP2Shell vypnúť svoj web?
Nie, ak PHP už beží na opravenom stave a všetky procesy sú reštartované. BSI odporúča dočasné odpojenie pre prípad, že okamžitá aktualizácia nie je možná.
Čo stojí viac: odstávka alebo riziko, tržby alebo bezpečnosť?
To sa dá zodpovedať iba v konkrétnom prípade. Výpadok niekoľkých hodín sa zvyčajne dá plánovať lepšie než vniknutie, ktorého následky a trvanie nikto nepozná. Zvážanie si zapíšte, bez ohľadu na to, ako dopadne.
Smie stránka o údržbe bežať na tom istom serveri?
Áno, ak sa doručuje ako statický súbor bez PHP. Ak sa stránka o údržbe stále generuje cez PHP, plocha útoku zostáva.
Je čakanie niekedy správna voľba?
Áno, v jasne vymedzených prípadoch: ak na systéme nebeží PHP, ak nie je dostupný z internetu alebo ak poskytovateľ písomne potvrdil záplatu a reštart. Čakanie bez takýchto dokladov nie je možnosť, ale riziko.
Kto by mal urobiť rozhodnutie?
Osoba, ktorá zodpovedá za obchodné riziko, spravidla konatelia alebo majiteľ. IT dodáva fakty. Kto rozhoduje, by mal byť vopred uvedený v núdzovom pláne.