# Časté otázky o PHP2Shell a núdzovej pomoci

> Odpovede na časté otázky o PHP2Shell a núdzovej pomoci na diaľku.

Zdroj: https://phpsos.de/sk/faq/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

## Čo je PHP2Shell?

PHP2Shell označuje dve kritické zraniteľnosti v samotnom PHP (CVE-2026-109618 a CVE-2026-109619, CVSS 9.2). Môžu útočníkom umožniť spustiť na serveri škodlivý kód bez prihlásenia. Záplaty sú dostupné od 21. 10. 2026.

## Ktoré verzie PHP sú bezpečné?

Opravy sú obsiahnuté vo verziách PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Poskytovatelia hostingu a distribúcie niekedy nasadzujú backporty bez zmeny čísla verzie. Rozhodujúci je stav balíka alebo písomné potvrdenie poskytovateľa.

## Stačí aktualizácia WordPressu alebo obchodu?

Nie. Zraniteľnosť je v PHP, nie v CMS. Aktualizácia CMS ju neuzavrie. A záplata PHP neodstráni škodlivý kód, ktorý sa do systému dostal už predtým.

## Ako rýchlo dokážete pomôcť?

Pracujeme na diaľku a začíname, hneď ako máme prístupy. Napíšte nám cez WhatsApp systém, verziu PHP a svoje pozorovanie. Postup si potom vyjasníme priamo.

## Pracujete aj pre agentúry a zákazníkov poskytovateľov hostingu?

Áno. Pracujeme priamo pre firmy, na pozadí v zastúpení agentúr a v koordinácii s vaším poskytovateľom hostingu, ak server spravuje on.

## Musíme incident nahlásiť?

Ak môže ísť o osobné údaje, platí podľa čl. 33 GDPR spravidla lehota na oznámenie 72 hodín od okamihu, keď ste sa o incidente dozvedeli. Či sa uplatní, vyjasnite so svojím zodpovedným pracovníkom pre ochranu údajov. Technickú dokumentáciu k tomu dodáme my.

## Je PHP2Shell zraniteľnosť WordPressu?

Nie. Zraniteľnosti sú v PHP, teda v programovacom jazyku, na ktorom bežia WordPress, Shopware, TYPO3 a mnohé ďalšie systémy. Aktualizácia CMS ich preto neuzavrie. Rozhodujúci je stav PHP na serveri.

## Musím ako zákazník poskytovateľa hostingu niečo urobiť sám?

Pri zdieľanom hostingu aktualizáciu PHP spravidla nasadzuje poskytovateľ. Napriek tomu by ste si mali nechať písomne potvrdiť, že vami používaná verzia PHP bola záplatovaná a reštartovaná. Či sa pred záplatou niečo stalo, aktualizácia nevysvetlí.

## Odkiaľ pochádza názov PHP2Shell?

Názov opisuje následok: cez PHP môže útočník v najhoršom prípade získať na serveri príkazový riadok, teda shell. Oficiálne označenia sú čísla CVE-2026-109618 a CVE-2026-109619.

## Bol môj web už napadnutý, ak bol odpojený od siete?

Nie nevyhnutne. Niektorí poskytovatelia weby preventívne odpojili od siete, ako to odporúča BSI (nemecký Spolkový úrad pre informačnú bezpečnosť), ak aktualizácia nie je možná hneď. Je to ochranné opatrenie, nie doklad o útoku.

## Stačí, ak môj poskytovateľ hostingu PHP aktualizoval?

Môže to stačiť, ak poskytovateľ písomne potvrdí stav balíkov a všetky procesy PHP boli reštartované. Samotné zobrazené číslo verzie nie je dôkaz, pretože distribúcie nasadzujú backporty. Či bol server napadnutý už predtým, záplata aj tak nevysvetlí.

## Musí byť môj web kvôli okamžitej pomoci offline?

Nie nevyhnutne. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webové servery dočasne odpojiť od siete, ak aktualizácia nie je možná hneď. Či je to potrebné aj u vás, rozhodneme spoločne po inventúre.

## Chráni aktualizácia WordPressu alebo Shopwaru pred PHP2Shell?

Nie. PHP2Shell sa nachádza v samotnom PHP, nie v CMS. Aktualizácia CMS má zmysel aj naďalej, túto zraniteľnosť však neuzavrie.

## Čo ak používam PHP 8.1 alebo staršie?

Pre tieto verzie už projekt PHP nevydáva oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Server prechodne zabezpečíme a spolu s vami naplánujeme prechod na podporovanú verziu.

## Odkedy plynie 72 hodín?

Podľa čl. 33 GDPR od okamihu, keď sa prevádzkovateľ o porušení dozvedel. Kedy sa to v jednotlivom prípade predpokladá, je právne posúdenie. Preto presne zdokumentujte, kto kedy mal akú informáciu.

## Musí sa oznámiť každá bezpečnostná zraniteľnosť?

Nie. Zraniteľnosť sama osebe ešte nie je porušením ochrany osobných údajov. Oznamovacia povinnosť môže vzniknúť, ak existujú náznaky, že k takým údajom mali alebo mohli mať prístup neoprávnené osoby, a z toho vzniká riziko pre dotknuté osoby.

## Čo ak ani po 72 hodinách ešte neviem všetko?

Čl. 33 ods. 4 GDPR umožňuje poskytovať informácie postupne, ak ich nie je možné poskytnúť súčasne. Oneskorené oznámenie sa musí odôvodniť. Čakanie na úplnú jasnosť preto spravidla nie je dôvodom nechať lehotu uplynúť.

## Kto oznamuje, ak bol dotknutý poskytovateľ hostingu?

Oznamovaciu povinnosť má prevádzkovateľ, teda spravidla firma, ktorá web prevádzkuje. Sprostredkovateľ, ako je poskytovateľ hostingu, musí podľa čl. 33 ods. 2 GDPR prevádzkovateľa bez zbytočného odkladu informovať.

## Kde oznámim únik údajov?

Príslušnému dozornému orgánu pre ochranu údajov. Väčšina úradov na to ponúka online formuláre.