Stručne: Bezpečnosť Contao závisí pri PHP2Shell od PHP servera, nie od Contao. Dbajte na to, aby bolo záplatované webové PHP aj PHP z príkazového riadku pre Contao Manager. Potom skontrolujte .env, vlastné šablóny, priečinok files a prístupy do backendu a Managera.
Contao a PHP2Shell: o čo ide
Contao je CMS rozšírené v nemecky hovoriacom priestore, ktoré od verzie 4 stavia na frameworku Symfony. Zraniteľnosti PHP CVE-2026-109618 a CVE-2026-109619 podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Týkajú sa samotného PHP, teda aj každej inštalácie Contao na nezáplatovanom serveri.
Mnohé weby na Contao patria stredným firmám, združeniam a obciam a starajú sa o ne agentúry. Najprv preto vyjasnite, kto je za PHP zodpovedný: poskytovateľ hostingu, agentúra alebo vaše vlastné IT.
Častý omyl sa týka režimu údržby. Contao dokáže web pre návštevníkov zablokovať, no toto zablokovanie doručuje samo PHP. Každá požiadavka teda stále dosiahne interpreter PHP. Pred PHP2Shell režim údržby preto nechráni. Keď BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča odpojiť webové servery do aktualizácie od siete, myslí sa tým zablokovanie na úrovni servera alebo hostingu, nie nastavenie v CMS.
Bezpečnosť Contao začína dvoma verziami PHP
Contao používa PHP dvoma spôsobmi. Webový server vybavuje zobrazenia stránok väčšinou cez PHP-FPM. Contao Manager a konzola Contao pracujú navyše s PHP z príkazového riadku, napríklad pri inštaláciách, aktualizáciách a cron úlohách. Pri hostingových balíkoch s viacerými verziami PHP to môžu byť dva rôzne programy.
Contao Manager zobrazuje vo svojej konfigurácii servera, ktorý spustiteľný súbor PHP používa. Webovú verziu uvidíte v hostingovom paneli. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35; backporty môžu niesť staršie čísla. Obe cesty musia byť záplatované a všetky procesy reštartované. Ktoré verzie PHP vaša verzia Contao podporuje, skontrolujte podľa systémových požiadaviek na contao.org. Viac ku kontrole na stránke Správne skontrolovať verziu PHP a stav záplat.
Adresáre a súbory v Contao
| Miesto | Obsah | Bod kontroly |
|---|---|---|
.env, .env.local |
Prístup k databáze, APP_SECRET |
Pri podozrení obnoviť |
config/config.yaml |
Konfigurácia inštalácie | Neočakávané zmeny |
public/ (staršie verzie web/) |
Koreň dokumentov s index.php, súborom Contao Manager, assetmi |
Ďalšie súbory PHP |
files/ |
Správa súborov redaktorov | Žiadne súbory PHP |
templates/ |
Vlastné šablóny, klasicky ako .html5 s PHP |
Neznáme alebo zmenené šablóny |
system/config/localconfig.php |
Staršie nastavenia | Vložený kód |
var/ |
Cache a logy | Zálohovať logy, cache vytvoriť znovu |
Práve templates/ sa podceňuje: klasické šablóny Contao s príponou .html5 sú súbory PHP. Vložený príkaz vo vlastnej šablóne sa vykonáva pri každom zobrazení stránky a prežije aktualizácie Contao.
Neškodné prvé kontroly:
# Súbory PHP v správe súborov
find files -type f -name "*.php"
# Šablóny zmenené od 17. 10. 2026
find templates -type f -newermt "2026-10-17"
# Skontrolovať dostupné príkazy Contao a závislosti
vendor/bin/contao-console list contao
composer audit
Contao Manager dokáže inštalovať balíky a tým dostať na server ľubovoľný kód. Pri podozrení skontrolujte jeho používateľské účty, prideľte nové heslá a odstráňte prístupy bývalých dodávateľov.
Backend, Manager a rozšírenia
Backend je pod /contao. Skontrolujte používateľov s právami administrátora a skupiny používateľov s rozsiahlymi právami, napríklad na správu súborov, šablóny alebo správu používateľov. Contao prináša dvojfaktorové prihlásenie; používajte ho pre všetky účty so zvýšenými právami.
Rozšírenia sa inštalujú cez Composer alebo cez Contao Manager. Každé prináša kód PHP a staršie rozšírenia bez údržby brzdia aktualizácie PHP. Na serveroch s viacerými webmi by mala každá inštalácia bežať oddelene, aby sa incident neprenesol na susedné weby; viac na stránke open_basedir a izolácia pre každý web.
Čo aktualizácia Contao dokáže a čo nie
Aktualizácia Contao cez Manager alebo Composer uzatvára známe chyby v Contao a v rozšíreniach. PHP nezáplatuje a nereštartuje ani PHP-FPM, ani procesy na pozadí. Vlastné šablóny, súbory v files/ a cudzie používateľské účty zostávajú nezmenené. Po zmene hlavnej verzie PHP by sa mala cache vytvoriť znovu a web skontrolovať v testovacom prostredí.
Pri weboch s mnohými redaktormi sa po záplate oplatí pozrieť na práva v backende. Kto smie upravovať šablóny, môže v klasických šablónach .html5 uložiť kód PHP. Toto oprávnenie patrí len do rúk niekoľkých technicky zdatných osôb. To isté platí pre prístup do správy súborov s právom nahrávať do verejne dostupných priečinkov.
Ako konkrétne pomáha PHP SOS?
- Zisťujeme webové a CLI PHP vašej inštalácie Contao a necháme si potvrdiť záplatu a reštart.
- Zálohujeme logy, súbory a databázu skôr, než niečo zmeníme.
- Kontrolujeme šablóny,
files/, koreň dokumentov, účty backendu a Managera. - Prechod PHP s dokladom na požiadanie prevezme naša služba záplatovania PHP, koordinovaná s vašou agentúrou.
Časté otázky
Týka sa PHP2Shell Contao?
Samotné Contao nemá novú zraniteľnosť. Ak však web beží na nezáplatovanom PHP, je napadnuteľný ako každá aplikácia v PHP. Aktualizácia Contao zraniteľnosť PHP neuzatvorí.
Prečo je Contao Manager dôležitý z hľadiska bezpečnosti?
Contao Manager dokáže inštalovať, aktualizovať a odstraňovať balíky. Kto k nemu má prístup, môže nasadiť ľubovoľný kód. Prístup preto potrebuje silné heslo a málo oprávnených osôb.
Obsahujú šablóny Contao kód PHP?
Klasické šablóny s príponou .html5 sú šablóny PHP. Vlastné šablóny v priečinku templates preto môžu obsahovať PHP. Neznáme alebo nedávno zmenené šablóny by ste mali vedieť vysvetliť.