PHP2Shell: všetko o kritickej zraniteľnosti PHP
Dve kritické zraniteľnosti v samotnom PHP, CVSS 9.2, škodlivý kód bez prihlásenia. Tu nájdete, čo je preukázané, ktoré verzie sú bezpečné a čo máte teraz urobiť.
Čo je PHP2Shell? Zraniteľnosť jednoducho vysvetlená
PHP2Shell sú dve kritické zraniteľnosti v samotnom PHP, cez ktoré môžu útočníci bez prihlásenia spúšťať kód na webových serveroch. Situácia jasnými slovami.
Čítať ďalej →02CVE-2026-109618: RCE cez stav out-of-memory
CVE-2026-109618 je jedna z dvoch zraniteľností PHP2Shell: stav out-of-memory môže PHP prerušiť uprostred spracovania požiadavky. Opravené od PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
Čítať ďalej →03CVE-2026-109619: RCE cez zastaraný globálny stav
CVE-2026-109619 je druhá zraniteľnosť PHP2Shell: vnútorný stav požiadavky môže po uvoľnení pamäte zostať zachovaný a využiť ho môže ďalšia požiadavka v tom istom workerovi.
Čítať ďalej →04CVE-2026-115560: upozornenie k session upload progress
CVE-2026-115560 je upozornenie php.net z 23. 10. 2026: možné spustenie kódu iba pri nezvyčajnej konfigurácii relácií. Náprava do ďalšieho vydania: session.upload_progress.enabled=0.
Čítať ďalej →05Ktoré verzie PHP sú dotknuté?
PHP2Shell je opravené v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie. Tabuľka ukazuje stav pre každú vetvu.
Čítať ďalej →06Správne overenie verzie a stavu záplat PHP
Zobrazená verzia PHP sama nehovorí, či je PHP2Shell uzavreté. Rozhodujú stav balíka, backporty a to, či naozaj bežia nové procesy.
Čítať ďalej →07Prečo nesie mod_php najvyššie riziko
Pri Apache s mod_php hodnotí tím PHP riziko PHP2Shell ako najvyššie: bol tam ukázaný exploit ešte predtým, než sa spustí kód aplikácie. Ako preveriť a konať.
Čítať ďalej →08Po aktualizácii: reštart PHP-FPM a všetkých workerov
Aktualizácia PHP zaberie až po reštarte všetkých procesov PHP. Príkazy pre PHP-FPM, Apache, LiteSpeed a kontajnery a ako reštart overiť.
Čítať ďalej →09Okamžité opatrenia, ak ešte nemôžete záplatovať
Ak aktualizácia PHP ešte nie je možná, prechodné opatrenia php.net znižujú riziko, ale nechránia úplne. Ako ich správne nastaviť.
Čítať ďalej →10PHP 8.1 a staršie: čo teraz platí
Pre PHP 8.1, 8.0, 7.4 a staršie verzie neexistujú proti PHP2Shell oficiálne aktualizácie. Čo backporty zdrojového kódu poskytujú a ako vyzerá cesta k podporovanej verzii.
Čítať ďalej →11Záplatovanie PHP v kontajneroch Docker
Kontajnery sa nezáplatujú samy. Proti PHP2Shell musíte image PHP znova zostaviť alebo stiahnuť a každý kontajner vytvoriť nanovo z nového image.
Čítať ďalej →12Som už kompromitovaný? Príznaky po PHP2Shell
Pre PHP2Shell neexistujú potvrdené Indicators of Compromise. Podľa čoho napriek tomu spoznáte, či bol váš server hacknutý, a ako kontrolovať bez zničenia stôp.
Čítať ďalej →Každá hodina sa počíta. Napíšte nám hneď.
Stručne opíšte systém, verziu PHP a svoje pozorovanie. Ozveme sa, vyjasníme situáciu a budeme pracovať na diaľku, kým nebude incident uzavretý a zdokumentovaný.