Stručne: Veľká časť rozšírených systémov na správu obsahu (CMS) a obchodných systémov je napísaná v PHP, medzi nimi WordPress s WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento, resp. Adobe Commerce, a PrestaShop. K tomu pristupujú interné aplikácie ako Nextcloud, Moodle, MediaWiki a Matomo. Kto prevádzkuje niektorý z týchto systémov, je dotknutý zraniteľnosťami v interpretere PHP ako PHP2Shell, nech je samotné CMS akokoľvek aktuálne.
Prečo toľko webov beží na PHP
PHP je od 90. rokov šité na mieru webovým serverom a je dostupné u prakticky každého poskytovateľa hostingu. CMS na báze PHP sa preto dá prevádzkovať bez vlastnej serverovej infraštruktúry, čo bolo a je atraktívne najmä pre malé a stredné podniky, spolky a úrady.
Pre prevádzkovateľov to znamená: web nie je len „WordPress“ alebo „Shopware“, ale zásobník z viacerých vrstiev. Dole beží operačný systém, nad ním webový server, potom interpreter PHP a úplne hore CMS s rozšíreniami. Každá vrstva potrebuje vlastné aktualizácie. Zraniteľnosť v PHP zasahuje všetky systémy, ktoré na ňom stavajú.
K tomu pristupujú rozšírenia: zásuvné moduly, témy, moduly a rozhrania obchodu sú tiež kód PHP, často od malých dodávateľov. Bežia s rovnakými právami ako CMS a vykonáva ich to isté prostredie PHP. CMS s mnohými rozšíreniami má preto väčšiu útočnú plochu než štíhla inštalácia, aj keď je jadro aktuálne.
Údaje o rozšírení jednotlivých systémov tu vynechávame. Neexistuje pre ne zdroj, ktorý by sme považovali za spoľahlivý a porovnateľný.
Rozšírené CMS a obchodné systémy na báze PHP
Tabuľka uvádza známe systémy a to, čo o svojom technickom základe hovoria sami výrobcovia. Požiadavky na verzie zámerne neuvádzame, pretože sa menia s každým vydaním.
| Systém | Druh | Poznámka k technickému základu |
|---|---|---|
| WordPress, WooCommerce | CMS, rozšírenie obchodu | aplikácia PHP, MySQL alebo MariaDB podľa požiadaviek |
| TYPO3 | CMS | podľa dokumentácie potrebuje webový server, PHP a databázu SQL |
| Joomla | CMS | PHP s MySQL, MariaDB alebo PostgreSQL |
| Drupal | CMS | PHP; rozšírenia jadra v core/composer.json |
| Contao | CMS | podľa výrobcu na full-stack frameworku Symfony |
| Craft CMS | CMS | výrobca uvádza Yii medzi použitými nástrojmi |
| Shopware 6 | obchod | vývojárska dokumentácia zaobchádza so zásuvnými modulmi ako s balíkmi (bundles) Symfony |
| Magento Open Source, Adobe Commerce | obchod | PHP a Composer v systémových požiadavkách |
| PrestaShop | obchod | PHP s vlastnou tabuľkou kompatibility |
| Nextcloud | úložisko súborov | Apache s mod_php alebo PHP-FPM, Nginx s PHP-FPM |
| Moodle | vzdelávacia platforma | podľa dokumentácie vyvíjaná v PHP |
| MediaWiki, Matomo | wiki, štatistika | PHP podľa inštalačných požiadaviek |
Mnohé z týchto systémov používajú interne stavebné prvky z frameworkov PHP a načítavajú knižnice cez Composer. Pre väčšinu máme vlastné stránky s upozorneniami na zabezpečenie, napríklad WordPress, Shopware 6 a TYPO3.
Ako zistím, či môj web beží na PHP?
Mnohé firmy presne nevedia, ktoré systémy u nich bežia, najmä ak web vytvorila agentúra. Tieto kroky prinesú jasno:
- Založiť inventár: Vymenovať všetky domény, subdomény a interné webové rozhrania, aj testovacie systémy a staré kampaňové stránky.
- Opýtať sa poskytovateľa hostingu alebo agentúry: Ktorý systém, ktorá verzia PHP, aký režim prevádzky (PHP-FPM, mod_php, LiteSpeed)? Požiadajte o písomnú odpoveď.
- Pozrieť hostingový panel: V Plesk, cPanel a podobných rozhraniach je verzia PHP uvedená pre každý web. Majte na pamäti, že backporty distribúcie zobrazené číslo nemenia.
- Skontrolovať na serveri: Správcovia vidia podľa procesov a podľa konfigurácie webového servera, ktoré prostredie PHP skutočne odovzdáva.
- Nezabudnúť na zariadenia: Systémy NAS, smerovače a appliance majú často webové rozhranie, ktoré môže tiež bežať na PHP.
# Na serveri: ktoré procesy PHP bežia?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Brať systémové požiadavky vážne
Každý výrobca zverejňuje, s ktorými verziami PHP je jeho softvér testovaný. Tieto údaje sú základom každého plánovania aktualizácií: aktualizácia PHP na verziu, ktorú CMS ešte nepodporuje, môže web ochromiť. CMS, ktoré beží iba s verziou PHP bez bezpečnostných aktualizácií, je trvalé riziko.
Preto podľa systémových požiadaviek výrobcu pre vašu presnú verziu skontrolujte, ktoré verzie PHP prichádzajú do úvahy, a porovnajte to s opravenými verziami PHP. Pre systémy, ktoré bežia iba s PHP 8.1 alebo staršou, už od projektu PHP neexistujú oficiálne aktualizácie.
Čo PHP2Shell znamená pre prevádzkovateľov CMS a obchodov
PHP2Shell tvoria zraniteľnosti CVE-2026-109618 a CVE-2026-109619 v interpretere PHP, obe s CVSS 9,2. Umožňujú spustenie škodlivého kódu bez prihlásenia. Opravené sú v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Aktualizácia CMS tieto zraniteľnosti nezatvorí; prečo, vysvetľuje náš príspevok Prečo aktualizácia WordPressu proti PHP2Shell nepomáha.
Pre obchody to váži obzvlášť ťažko, pretože tam sú uložené údaje zákazníkov, objednávky a prístupové údaje k platobným a prepravným službám. Záplata navyše neodstráni škodlivý softvér, ktorý sa dostal dovnútra predtým, a nedokazuje, že sa nič nestalo.
Ako konkrétne pomáha PHP SOS?
- Vytvárame inventár vašich webov a interných aplikácií na báze PHP so systémom, verziou PHP a režimom prevádzky.
- Porovnávame požiadavky výrobcov s opravenými verziami PHP a plánujeme aktualizáciu pre každý systém.
- Nasadzujeme aktualizácie PHP, reštartujeme všetky procesy a potom kontrolujeme, či CMS a obchod fungujú správne.
- Pri podozrení na incident skúmame systém v rámci okamžitej pomoci pri PHP2Shell.
Časté otázky
Beží WordPress na PHP?
Áno. WordPress je aplikácia PHP a podľa oficiálnych požiadaviek potrebuje PHP a databázu MySQL alebo MariaDB. Zraniteľnosti v interpretere PHP sa tak týkajú každej inštalácie WordPressu, nezávisle od stavu samotného WordPressu.
Pomôže aktualizácia CMS proti PHP2Shell?
Nie. Zraniteľnosť leží v PHP, nie v CMS. Podľa drweb.de preto WordPress.org ani neplánuje vlastnú aktualizáciu proti nej. Zatvorí sa iba opravenou verziou PHP a reštartom všetkých procesov PHP.
Ako zistím, ktorú verziu PHP môj obchod potrebuje?
Zo systémových požiadaviek výrobcu pre vašu konkrétnu verziu. Tieto údaje sa menia s každým väčším vydaním, preto si ich prečítajte priamo u výrobcu a neprebierajte zo starších návodov.
Týkajú sa to aj interných aplikácií?
Áno, ak bežia na PHP. Úložiská súborov ako Nextcloud, vzdelávacie platformy ako Moodle, interné wiki s MediaWiki alebo Matomo pre štatistiky sú aplikácie PHP. Pri zisťovaní stavu sa na ne často zabúda.
Nie je web bez .php v adrese bez PHP?
Nie nevyhnutne. Moderné systémy smerujú všetky adresy cez centrálny index.php, takže sa v URL .php nikdy neobjaví. Istotu dá len pohľad na server alebo informácia od poskytovateľa hostingu či agentúry.