Stručne: Pre zraniteľnosť PHP 8.1 PHP2Shell neexistuje oficiálna aktualizácia. Projekt PHP dodáva pre 7.4, 8.0 a 8.1 iba minimálne backporty zdrojového kódu, nie hotové vydania. Kto tieto verzie prevádzkuje, potrebuje potvrdený backport svojho poskytovateľa alebo prechodné opatrenia a mal by prechod na podporovanú verziu plánovať už teraz.
Existuje proti zraniteľnosti PHP 8.1 aktualizácia?
Nie od projektu PHP. Dňa 21. októbra 2026 vyšli oficiálne opravy iba pre podporované vetvy: 8.5.12, 8.4.27, 8.3.36 a 8.2.35. PHP 8.1 a staršie verzie už oficiálne aktualizácie nedostávajú.
Dotknuté sú napriek tomu. Podľa odbornej tlače siahajú zraniteľné verzie prakticky súvisle až po PHP 5.4. Kto niektorú z týchto verzií prevádzkuje verejne dostupnú, má teda kritickú zraniteľnosť s CVSS v4.0 9,2 bez hotovej záplaty.
Pre mnohé firmy je to prekvapenie, pretože takéto systémy často roky bežia stabilne a nenápadne. To, že verzia už nedostáva aktualizácie, si v bežnej prevádzke nikto nevšimne, kým sa neobjaví zraniteľnosť ako PHP2Shell. Backporty zdrojového kódu pre 7.4, 8.0 a 8.1 sú výnimka, nie obnovenie riadnej starostlivosti.
Čo znamenajú backporty zdrojového kódu
Pre 7.4, 8.0 a 8.1 existujú minimálne backporty zdrojového kódu. Sú to opravy v zdrojovom kóde, ktoré boli prenesené do týchto starších vetiev. Nie sú oficiálnym vydaním s číslom verzie, otestovaným balíkom a changelogom.
Prakticky to znamená: niekto musí backport prevziať, PHP z neho znova zostaviť, otestovať a nasadiť. Môže sa to stať tromi spôsobmi:
- Vaša distribúcia prevezme opravu do svojich balíkov, napríklad v rámci dlhodobej starostlivosti.
- Váš poskytovateľ hostingu zostavuje vlastné balíky PHP a backport nasadí.
- Vy sami alebo dodávateľ zostavíte PHP zo zdrojov. Je to náročné a pri každej ďalšej zraniteľnosti sa to musí opakovať.
Či váš systém backport dostal, preveríte podľa changelogu balíka:
apt changelog php8.1-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # Debian/Ubuntu
rpm -q --changelog php-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # rodina RHEL
Názvy balíkov sa líšia podľa distribúcie a zdroja balíkov. Ak záznam chýba, opýtajte sa poskytovateľa. Ako kontrola funguje v detaile, nájdete na stránke Správne overenie verzie a stavu záplat PHP.
Starý server zabezpečiť do migrácie
Kým nebeží potvrdený backport, platia prechodné opatrenia php.net: nepísateľné memory_limit=-1 s hranicou pamäte cez cgroup, post_max_size 8M alebo 32M s upload_max_filesize pod touto hodnotou a session.upload_progress.enabled=0 v konfigurácii servera, potom reštartovať všetkých workerov. Nie sú úplnou ochranou. Podrobnosti na stránke Okamžité opatrenia, ak ešte nemôžete záplatovať.
K tomu pribúdajú opatrenia, ktoré znižujú dostupnosť: administrátorské oblasti iba cez VPN alebo povolené adresy IP, nepotrebné weby vypnúť, prístupy na server prísne obmedziť. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča servery bez aktualizácie dočasne odpojiť od siete. Pri starej, ťažko migrovateľnej aplikácii môže byť izolované riešenie čestnejšou odpoveďou než prevádzka v otvorenom internete.
Ak server s PHP 8.1 alebo staršími od 17. októbra bežal nechránene v sieti, berte to vážne: BSI počítal s rýchlym rozsiahlym zneužitím. Zabezpečte logy od 20. októbra a nechajte ho skontrolovať z hľadiska stôp, skôr než začnete migrovať.
Naplánovať migráciu: na ktorú verziu?
Cieľom je verzia, ktorú projekt PHP podporuje a ktorú vaša aplikácia znesie. PHP 8.2 zraniteľnosť uzatvára od 8.2.35, 31. 12. 2026 však dosiahne koniec podpory. Kto teraz migruje, mal by preto podľa možnosti prejsť na 8.3 alebo novšie, ak to aplikácia umožňuje. Aktuálny stav uvádza php.net na stránke podporovaných verzií.
Ktorú verziu PHP vaše CMS alebo obchod podporuje, preverte podľa systémových požiadaviek výrobcu, napríklad na wordpress.org, shopware.com alebo typo3.org. Často sa musí najprv aktualizovať samotná aplikácia, kým sa dá PHP zmeniť. Typickým prípadom sú staršie obchody, ktoré popisujeme na stránke Shopware 5. Súvislosti k následkom zastaraných verzií nájdete na stránke PHP End-of-Life: riziká zastaraných verzií.
| Krok | Obsah |
|---|---|
| Stav | verzia PHP, aplikácia, rozšírenia, vlastné úpravy |
| Požiadavky | podporované verzie PHP podľa výrobcu |
| Testovacie prostredie | kópia s novou verziou PHP, vyhodnotenie chybového protokolu |
| Prechod | plánované servisné okno, pripravená cesta späť |
| Dokončovacie práce | skontrolovať prechodné hodnoty, zriadiť monitoring |
Ako konkrétne pomáha PHP SOS?
S migráciou z PHP 8.1 a starších vás privedieme zo staršej verzie na podporovanú:
- Ihneď zabezpečiť: preveriť stav backportov, nastaviť prechodné opatrenia, znížiť dostupnosť.
- Skontrolovať stopy: zabezpečiť logy od 20. októbra a vyhodnotiť nápadnosti.
- Pripraviť migráciu: objasniť kompatibilitu podľa výrobcu, zostaviť testovacie prostredie, odstrániť chyby.
- Prejsť a doložiť: nasadiť novú verziu PHP, reštartovať všetky procesy, zdokumentovať stav.
Časté otázky
Týka sa PHP2Shell aj PHP 8.1?
Podľa odbornej tlače sú dotknuté prakticky všetky verzie až po PHP 5.4, vrátane PHP 8.1. Projekt PHP pre 8.1 už nezverejňuje oficiálne aktualizácie, iba minimálne backporty zdrojového kódu.
Čo je backport zdrojového kódu?
Oprava v zdrojovom kóde, ktorá bola prenesená do staršej verzie. Nie je to hotové vydanie: niekto ju musí prevziať, PHP znova zostaviť, otestovať a nasadiť. To môže urobiť váš distribučný poskytovateľ, váš poskytovateľ hostingu alebo dodávateľ.
Stačí prejsť na PHP 8.2?
Krátkodobo zraniteľnosť uzatvára PHP 8.2.35. PHP 8.2 však dosiahne 31. 12. 2026 koniec podpory. Kto tak či tak migruje, mal by preto preveriť, či aplikácia podľa výrobcu podporuje aj 8.3 alebo novšie.
Môj obchod beží iba s PHP 7.4. Čo teraz?
Potom sú súbežne potrebné dve veci: server zabezpečiť prechodnými opatreniami a izoláciou a aplikáciu dostať na verziu, ktorá znesie podporovanú verziu PHP. Ktorá to je, uvádzajú systémové požiadavky výrobcu.