# Okamžitá pomoc pri PHP2Shell: pomoc pri bezpečnostnej chybe PHP

> Pomoc pri bezpečnostnej chybe PHP2Shell: skontrolujeme vaše servery, nasadíme záplaty, reštartujeme všetky procesy a zdokumentujeme výsledný stav.

Zdroj: https://phpsos.de/sk/leistungen/php2shell-soforthilfe/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** PHP2Shell sú dve kritické zraniteľnosti v samotnom PHP, cez ktoré môžu útočníci bez prihlásenia spúšťať škodlivý kód. Ak potrebujete rýchlu pomoc pri tejto bezpečnostnej chybe PHP, na diaľku prevezmeme inventúru, záplatovanie alebo prechodné opatrenie, reštart všetkých procesov PHP a prvé hľadanie stôp. Na konci dostanete písomný doklad o stave.

## Pomoc pri bezpečnostnej chybe PHP: prečo treba konať teraz

Dňa 21. 10. 2026 o 16:00 nemeckého času zverejnil projekt PHP záplaty pre CVE-2026-109618 a CVE-2026-109619. Obe zraniteľnosti majú podľa CVSS v4.0 skóre 9,2 a umožňujú spustenie škodlivého kódu na diaľku bez toho, aby sa niekto musel prihlásiť. Týkajú sa bežných spôsobov prevádzky: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed.

BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vydal výstražný stupeň 3 (oranžový). Odporúča okamžitú aktualizáciu a, ak to hneď nejde, dočasné odpojenie webových serverov od siete. Palo Alto Networks (Unit 42) napočítalo viac ako 22,6 milióna exponovaných, potenciálne zraniteľných inštancií. Potvrdené úspešné útoky vo väčšom rozsahu neboli podľa BSI spočiatku známe, Cloudflare však už hlásil pokusy o útok.

Pre vedenie a majiteľov to znamená: každý verejne dostupný server s PHP je kandidátom, kým sa nepreukáže opak. Zrozumiteľné vysvetlenie zraniteľnosti nájdete na stránke [Čo je PHP2Shell?](https://phpsos.de/sk/php2shell/was-ist-php2shell/).

## Pre koho je okamžitá pomoc pri PHP2Shell určená?

Pre firmy, agentúry a verejné orgány, ktoré prevádzkujú aplikácie PHP a nedokážu alebo nechcú spracovať situáciu sami v potrebnej hĺbke. Týka sa to vlastných root serverov a vServerov rovnako ako serverov s Plesk alebo cPanel, kontajnerových prostredí a spravovaných serverov, kde nie je jasné, kto zodpovedá.

Pomoc často potrebuje aj ten, kto má poskytovateľa hostingu. Mnohí poskytovatelia nasadzujú backporty; Plesk potom naďalej zobrazuje napríklad 8.2.34, hoci stav balíka je záplatovaný. Naopak, môže sa zobraziť nové číslo verzie, kým staré procesy PHP ešte bežia v pamäti. Ktoré stavy sa považujú za opravené, nájdete na stránke [Ktoré verzie PHP sú dotknuté?](https://phpsos.de/sk/php2shell/betroffene-php-versionen/).

## Ako konkrétne pomáha PHP SOS?

1. **Inventúra:** Zaznamenáme všetky inštalácie PHP, spôsoby prevádzky a verzie na vašich serveroch vrátane stavu balíkov a bežiacich procesov. Výsledkom je zoznam, ktoré systémy sú dotknuté, opravené alebo nejasné.
2. **Záplata alebo prechodné opatrenie:** Kde je to možné, nasadíme opravené verzie (8.5.12, 8.4.27, 8.3.36, 8.2.35) alebo balíky vašej distribúcie. Ak to hneď nejde, zavedieme prechodné opatrenia podľa php.net a otvorene povieme, že neposkytujú úplnú ochranu.
3. **Reštart a kontrola:** Reštartujeme všetkých workerov a procesy PHP a potom overíme, že už nebeží žiadny starý proces. Samotné nové súbory zraniteľnosť neuzavrú.
4. **Prvé hľadanie stôp:** Zálohujeme logy serverov od 20. 10. a hľadáme nápadnosti, ako sú nové súbory PHP, neznáme cronjoby alebo nezvyčajné procesy. Keďže neexistujú zverejnené, potvrdené Indicators of Compromise, táto kontrola je založená na analýze správania.
5. **Doklad a ďalšie kroky:** Dostanete písomnú správu. Pri podozrení na kompromitáciu odporúčame vhodné nadväzujúce kroky, napríklad [odstránenie malvéru](https://phpsos.de/sk/leistungen/malware-entfernung/) alebo forenzné vyšetrenie.

> **Dôležité:**
> Záplata neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo. K okamžitej pomoci preto vždy patrí pohľad na obdobie od 17. 10. 2026.

## Čo od nás dostanete

- prehľad všetkých preverených serverov s verziou PHP, stavom balíkov, spôsobom prevádzky a stavom záplat
- dokumentáciu nasadených aktualizácií alebo nastavených prechodných opatrení
- doklad, že všetky procesy PHP boli reštartované
- posúdenie hľadania stôp, oddelene podľa kategórií preukázané, pravdepodobné a neznáme
- zoznam otvorených bodov, napríklad systémy s PHP 8.1 alebo staršie

Túto správu môžete odovzdať vedeniu, zodpovednej osobe pre ochranu údajov alebo poisťovni. Právne posúdenie nenahrádza.

## Čo potrebujeme od vás

- **Prístup:** prístup cez SSH alebo panel s dostatočnými právami, prípadne súhlas, aby nám váš poskytovateľ hostingu mohol poskytnúť informácie
- **Kontaktná osoba:** osoba, ktorá môže rozhodovať, napríklad o krátkej prevádzke offline alebo o reštarte
- **Prehľad:** ktoré weby, obchody a aplikácie bežia na ktorých serveroch
- **Servisné okno:** vaše požiadavky, kedy sa smú vykonávať reštarty
- **Zálohy:** informácia, kde sa nachádzajú aktuálne zálohy

Pre administrátorov, ktorí si chcú stav vopred skontrolovať sami, často stačí tento neškodný pohľad na stav:

```bash
php -v
# Debian/Ubuntu: nainštalované balíky PHP s verziou
dpkg -l | grep -i php
# bežiace procesy PHP a čas ich spustenia
ps -eo pid,lstart,cmd | grep -i php
```

## Čo nesľubujeme

Nesľubujeme absolútnu bezpečnosť ani tvrdenie, že váš server nebol nikdy napadnutý, ak to dôkazy neumožňujú. Na incidente pracujeme, kým nie je uzavretý a zdokumentovaný. Či existuje oznamovacia povinnosť podľa GDPR alebo či treba informovať vašu poisťovňu, si prosím vyjasnite so zodpovednou osobou pre ochranu údajov, právnikom alebo poisťovateľom. Technické fakty na to poskytneme my.

Ak potrebujete iba aktualizáciu s dokladom, hodí sa naša [služba záplatovania PHP](https://phpsos.de/sk/leistungen/php-patch-service/). Ak už existujú príznaky útoku, správnym začiatkom je [núdzová pomoc pri hacknutom webe](https://phpsos.de/sk/leistungen/website-gehackt-notfallhilfe/).


## Časté otázky

**Stačí, ak môj poskytovateľ hostingu PHP aktualizoval?**  
Môže to stačiť, ak poskytovateľ písomne potvrdí stav balíkov a všetky procesy PHP boli reštartované. Samotné zobrazené číslo verzie nie je dôkaz, pretože distribúcie nasadzujú backporty. Či bol server napadnutý už predtým, záplata aj tak nevysvetlí.

**Musí byť môj web kvôli okamžitej pomoci offline?**  
Nie nevyhnutne. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webové servery dočasne odpojiť od siete, ak aktualizácia nie je možná hneď. Či je to potrebné aj u vás, rozhodneme spoločne po inventúre.

**Chráni aktualizácia WordPressu alebo Shopwaru pred PHP2Shell?**  
Nie. PHP2Shell sa nachádza v samotnom PHP, nie v CMS. Aktualizácia CMS má zmysel aj naďalej, túto zraniteľnosť však neuzavrie.

**Čo ak používam PHP 8.1 alebo staršie?**  
Pre tieto verzie už projekt PHP nevydáva oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Server prechodne zabezpečíme a spolu s vami naplánujeme prechod na podporovanú verziu.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)