Stručne: Zraniteľnosť PHP jednoducho: PHP je softvér na webovom serveri, ktorý webové stránky skladá v okamihu, keď ich niekto otvorí. Pri PHP2Shell PHP v určitých výnimočných prípadoch neupratuje čisto a práve to môžu útočníci zneužiť, aby bez hesla vykonávali na serveri vlastné príkazy. Pomôže aktualizácia PHP s následným reštartom, ktorú spravidla nasadí váš poskytovateľ hostingu alebo dodávateľ.
Prečo sa práve teraz všetci bavia o PHP
V správach sa hovorilo o „kritickej bezpečnostnej zraniteľnosti“, úrady odpájali weby od siete, BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) varovalo stupňom oranžový. Pre mnohých majiteľov a zamestnancov to znie hrozivo a zároveň nezrozumiteľne. Čo je PHP a prečo sa to týka práve webu vlastnej firmy?
Tento príspevok vysvetľuje situáciu bez odborného žargónu. Kto sa chce potom ponoriť hlbšie, nájde technické zaradenie pod Čo je PHP2Shell?.
Čo PHP vlastne robí: obraz z bežného života
Predstavte si svoj web ako reštauráciu. Hosť je návštevník, objednávka je otvorenie stránky. PHP je kuchyňa: prijme každú objednávku, vezme suroviny zo skladu, teda z databázy, a naservíruje tanier, teda hotovú stránku.
Aby to išlo rýchlo, má kuchyňa niekoľko kuchárov, ktorí postupne vybavujú veľa objednávok. Odborníci ich nazývajú „worker“. Po každej objednávke sa má pracovisko úplne upratať, než príde ďalšia.
Na PHP beží veľmi veľa známych systémov: WordPress, Shopware, TYPO3, Joomla, Nextcloud a nespočetné vlastné vývoje. Ako PHP zásadne funguje, vysvetľuje príspevok Čo je PHP?.
Zraniteľnosť PHP jednoducho: čo pri PHP2Shell zlyháva
PHP2Shell pozostáva z dvoch chýb. Obe súvisia s upratovaním a obe nastávajú len vo výnimočných situáciách.
Prvá chyba (CVE-2026-109618): Niekedy kuchyni uprostred prípravy dôjde miesto. Odborníci hovoria „Out of Memory“, pamäť je plná. Práca sa vtedy preruší, kým je objednávka len spolovice pripravená. Pri následnom upratovaní považuje PHP nedokončené veci omylom za hotové.
Druhá chyba (CVE-2026-109619): Po objednávke zostane na pracovisku niečo ležať, čo malo byť už odložené. Ďalšia objednávka u toho istého kuchára sa k tomu môže dostať, kým to nie je odstránené.
V oboch prípadoch platí: kto presne vie, ako takú výnimočnú situáciu vyvolať, môže prinútiť kuchyňu robiť veci, ktoré nikto neobjednal. V najhoršom prípade prevezme kontrolu nad serverom. Heslo na to nepotrebuje. Ako sa požiadavka v PHP spracúva krok za krokom, popisuje príspevok o životnom cykle požiadavky.
Techniku nemusíte chápať, aby ste konali správne. Rozhodujúca je jediná otázka na vášho poskytovateľa hostingu alebo dodávateľa: Je PHP na našom serveri aktualizované a reštartované a môžete nám to písomne potvrdiť?
Najdôležitejšie pojmy na prvý pohľad
| Pojem | Jednoducho vysvetlené |
|---|---|
| PHP | softvér na serveri, ktorý pri otvorení skladá webové stránky |
| Bezpečnostná zraniteľnosť | chyba, ktorú môžu cudzie osoby zneužiť |
| Číslo CVE | celosvetovo jedinečné identifikačné číslo bezpečnostnej zraniteľnosti |
| CVSS 9,2 | závažnosť na stupnici do 10; 9,2 sa považuje za kritickú |
| Remote Code Execution | cudzie osoby môžu na serveri na diaľku vykonávať vlastné príkazy |
| Shell | príkazový riadok, ktorým sa dá server ovládať |
| Záplata (patch) | aktualizácia, ktorá chybu odstráni |
| Backport | oprava zabudovaná do staršej verzie bez zmeny čísla verzie |
| Reštart | ukončiť staré procesy PHP, aby skutočne pracovala opravená verzia |
Prečo aktualizácia, reštart a kontrola patria dohromady
Zostaňme pri reštaurácii. Aktualizácia je nový pracovný postup pre kuchyňu: takto sa bude odteraz upratovať. Lenže kuchári, ktorí sú práve na zmene, pracujú ďalej podľa starého postupu. Až keď sa zmena vymení, platí nový. Presne to je reštart: všetky staré procesy PHP sa ukončia, nové štartujú s opravenou verziou. Bez reštartu aktualizácia na serveri síce leží, ale nezaberá.
A ešte niečo ukazuje tento obraz. Nový pracovný postup zabráni budúcim haváriám, ale nič nehovorí o tom, či v dňoch predtým nebol v kuchyni nepozorovane niekto, kto tam niečo ukryl. Preto po aktualizácii patrí aj kontrola stôp, najmä ak bol server v čase medzi 17. októbrom a aktualizáciou dostupný.
Čo by ste mali urobiť teraz: tri typické východiskové situácie
Čo robiť, závisí od toho, kde váš web leží.
- Váš web leží u poskytovateľa hostingu (zdieľaný hosting). Poskytovateľ hostingu aktualizáciu PHP spravidla nasadí. Vaša úloha: vyžiadať si písomné potvrdenie a v zákazníckom menu skontrolovať, či je nastavená aktuálna verzia PHP. Čo ďalšie je vašou úlohou, nájdete pod Zdieľaný hosting: čo robí poskytovateľ a čo musíte urobiť vy.
- Váš web spravuje agentúra alebo IT dodávateľ. Opýtajte sa tam, či bola aktualizácia nasadená a PHP reštartované, a požiadajte o krátku kontrolu nápadností.
- Máte vlastný server. Potom ste zodpovední vy sami alebo vaše IT: aktualizovať PHP, reštartovať všetky procesy PHP, zálohovať logy od 20. októbra a skontrolovať stopy.
Vo všetkých troch prípadoch platí: aktualizácia WordPress alebo iného systému na webe zraniteľnosť neuzavrie. A aktualizácia nedokazuje, že sa predtým nič nestalo.
Ako konkrétne pomáha PHP SOS?
- Zrozumiteľné vysvetlenie: Jasnými slovami vám povieme, či a ako sú vaše systémy dotknuté.
- Rozhovor s poskytovateľom hostingu: Na želanie objasníme stav záplat priamo s vaším poskytovateľom hostingu alebo dodávateľom.
- Aktualizovať a skontrolovať: Pri vlastných serveroch nasadíme aktualizáciu, reštartujeme PHP a skontrolujeme stopy.
- Zaznamenať písomne: Dostanete krátku dokumentáciu stavu.
Viac pod okamžitá pomoc pri PHP2Shell.
Záver
PHP2Shell znie komplikovane, situácia v jadre nie je: kuchyňa vášho webu vo výnimočných prípadoch neupratuje správne a dá sa to zneužiť. Aktualizácia to opraví. Vašou úlohou je zabezpečiť, aby bola nasadená, aktivovaná a doložená, a v prípade pochybností si nechať skontrolovať, či v kuchyni predtým niekto nebol.
Časté otázky
Čo je PHP jednoduchými slovami?
PHP je programovací jazyk, ktorý pracuje na webovom serveri. Keď otvoríte stránku, PHP ju v tom okamihu poskladá, napríklad s aktuálnymi produktmi, cenami alebo vaším košíkom, a pošle ju do vášho prehliadača.
Je môj web dotknutý, ak používam WordPress?
WordPress beží na PHP, preto môže byť dotknutý server pod ním. Či je váš web ohrozený, závisí od stavu PHP na serveri, nie od verzie WordPress. Opýtajte sa poskytovateľa hostingu alebo dodávateľa na aktualizáciu PHP.
Môžem byť ohrozený ako návštevník webu?
Zraniteľnosť sa týka serverov, nie počítačov návštevníkov. Ak sa však server prevezme, útočníci by mohli napríklad meniť obsah alebo presmerovať návštevníkov na cudzie stránky. Preto je aktualizácia pre prevádzkovateľov dôležitá.
Čo znamená názov PHP2Shell?
Opisuje možný následok: cez PHP môže útočník v najhoršom prípade získať shell, teda akýsi diaľkový ovládač servera. Oficiálne označenia sú CVE-2026-109618 a CVE-2026-109619.