Zraniteľnosť PHP vo WordPresse (PHP2Shell): čo musia prevádzkovatelia urobiť

Stručne: Zraniteľnosť PHP, o ktorej sa teraz píše a ktorá sa týka WordPressu, nie je vo WordPresse, ale v PHP na serveri pod ním. Aktualizácia WordPressu preto PHP2Shell neuzatvorí. Rozhodujúce sú stav záplat PHP, reštart všetkých procesov PHP a kontrola typických úkrytov, ako sú wp-content/uploads a mu-plugins.

Prečo aktualizácia WordPressu PHP2Shell neodstráni

WordPress je aplikácia napísaná v PHP. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sú o úroveň nižšie, v samotnom interpreteri PHP. Podľa tímu PHP umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Pri Apache s mod_php bol predvedený exploit ešte predtým, než sa vôbec spustí kód WordPressu.

Web s aktuálnym jadrom, aktuálnymi pluginmi a silnými heslami môže byť teda napriek tomu zraniteľný, ak je PHP pod ním staré. A naopak: záplatované PHP nedokazuje, že sa predtým nič nestalo. Súvislosti vysvetľujeme na stránke Čo je PHP2Shell?.

Zraniteľnosť PHP vo WordPresse: skontrolovať verziu PHP

V dashboarde nájdete pod Nástroje > Stav webu > Informácie v časti „Server“ verziu PHP, s ktorou váš web skutočne beží. To je výstižnejšie než php -v v príkazovom riadku, pretože príkazový riadok často používa inú inštaláciu PHP než webový server.

Zobrazené číslo samo osebe však nestačí. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Mnohí poskytovatelia hostingu však opravy nasadzujú ako backport; potom tam zostane staršie číslo, hoci je záplatované. Ako zistiť skutočný stav, nájdete na stránke Správne skontrolovať verziu PHP a stav záplat. Ktoré verzie PHP vaša verzia WordPressu podporuje, skontrolujte podľa systémových požiadaviek na wordpress.org.

Kde sa škodlivý kód vo WordPresse rád ukrýva

Po úspešnom útoku útočníci spravidla zanechajú zadné vrátka, aby sa mohli vrátiť aj po záplate. WordPress na to má známe miesta:

• wp-content/uploads/: určené pre obrázky a PDF, nie pre súbory PHP.
• wp-content/mu-plugins/: pluginy „Must-use“ sa načítavajú automaticky a v dashboarde sa nedajú deaktivovať.
• wp-config.php: obsahuje prístup k databáze a bezpečnostné kľúče; vložený riadok tu sotva upúta.
• .htaccess v hlavnom adresári a v podadresároch: presmerovania iba pre vyhľadávače alebo spúšťanie nezvyčajných prípon súborov.
• Témy, predovšetkým functions.php, ako aj deaktivované a zabudnuté pluginy.
• Databáza: noví administrátori v wp_users, cudzí JavaScript v wp_options alebo v príspevkoch.

Neškodné prvé kontroly pomocou WP-CLI a štandardných nástrojov:

# Súbory jadra porovnať s oficiálnymi kontrolnými súčtami
wp core verify-checksums
# Pluginy z adresára na wordpress.org skontrolovať
wp plugin verify-checksums --all
# Vypísať súbory PHP v priečinku uploads
find wp-content/uploads -type f -name "*.php"
# Zobraziť všetkých administrátorov
wp user list --role=administrator

Nález je dôvodom na dôkladné preskúmanie, ešte nie dôkazom. Komerčné pluginy sa takto skontrolovať nedajú. Podrobnejšie pokračuje príručka Nájsť backdoory vo WordPresse.

Pluginy, témy a administrátorské prístupy ako dodatočné riziko

PHP2Shell nepotrebuje zraniteľnosť v pluginoch. V bežnej prevádzke však pluginy a témy zostávajú najčastejším vstupom do webov na WordPresse. Každý plugin prináša vlastný kód, vlastné funkcie nahrávania a vlastné cykly aktualizácií. Nepoužívané pluginy by ste mali zmazať, nie iba deaktivovať, pretože deaktivované súbory na serveri zostávajú.

Pre wp-login.php a wp-admin platí: málo administrátorov, osobné účty namiesto zdieľaných prístupov a dvojfaktorové prihlásenie. Ak XML-RPC nepotrebujete, dá sa zablokovať. Pri podozrení by sa mali obnoviť všetky heslá a bezpečnostné kľúče v wp-config.php. Editor súborov v dashboarde vypnete tamtiež:

define( 'DISALLOW_FILE_EDIT', true );

Čo by ste mali ako prevádzkovateľ WordPressu urobiť teraz

1. Nechať si u poskytovateľa hostingu písomne potvrdiť stav záplat PHP a reštart všetkých procesov PHP.
2. Nechať uchovať logy servera od 20. 10. 2026.
3. Vykonať vyššie uvedené kontroly alebo ich nechať vykonať.
4. Aktualizovať WordPress, pluginy a témy. Je to správne, ale nie je to náhrada kroku 1.
5. Pri nezrovnalostiach web jednoducho neprevádzkovať ďalej, ale nechať ho vyčistiť.

Aktualizácia platformy môže uzavrieť známe zraniteľnosti vo WordPresse a pluginoch. PHP však neopraví a neodstráni ani zavlečené súbory, ktoré nepatria k jadru.

Ako konkrétne pomáha PHP SOS?

• S vami alebo s vaším poskytovateľom hostingu objasníme skutočný stav PHP vášho webu na WordPresse vrátane backportov a reštartu.
• Zálohujeme logy, súbory a databázu skôr, než sa niečo zmení.
• Kontrolujeme jadro, pluginy, uploady, mu-plugins, .htaccess a používateľské účty na zadné vrátka.
• Pri nálezoch prevezme čistenie naše odstraňovanie malvéru až do ukončenia a zdokumentovania incidentu; ak sa nič nenájde, inštaláciu spevníme v rámci okamžitej pomoci pri PHP2Shell.

Časté otázky

Zdroje

• php.net: bezpečnostné hlásenia
• PHP 8 ChangeLog
• WordPress.org
• BSI (nemecký Spolkový úrad pre informačnú bezpečnosť)