Stručne: Pri bezpečnostnej diere v PHP, ako je PHP2Shell, je za aktualizáciu PHP pri webhostingu zodpovedný poskytovateľ, nie vy. Vašou úlohou je vyžiadať si písomné potvrdenie, zvoliť v zákazníckom menu podporovanú verziu PHP a skontrolovať svoj web na stopy útoku. Záplata poskytovateľa neodstráni škodlivý softvér, ktorý sa na váš web dostal predtým.
Situácia jednoducho povedané
PHP je programovací jazyk, na ktorom beží väčšina webov, obchodov a CMS, ako je WordPress. PHP2Shell označuje dve kritické chyby v samotnom PHP (CVE-2026-109618 a CVE-2026-109619). Útočníci môžu cez ne bez hesla spustiť vlastný kód na serveri. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vyhlásilo stupeň varovania 3 (oranžový) a odporúča okamžitú aktualizáciu.
Pri zdieľanom hostingu sa o server delí veľa zákazníkov. Techniku pod tým, teda operačný systém, webový server a PHP, prevádzkuje poskytovateľ. Vy sami spravujete iba svoj web, databázu a prístupy. Preto aktualizáciu PHP nemôžete nasadiť sami a ani nemusíte.
Webhosting a bezpečnostná diera v PHP: kto je zodpovedný?
Rozdelenie vyplýva z vašej zmluvy. Vo väčšine taríf platí zhruba toto rozdelenie:
| Úloha | Poskytovateľ | Vy ako zákazník |
|---|---|---|
| Aktualizovať balíky PHP | áno | nie |
| Reštartovať procesy PHP | áno | nie |
| Nastaviť celoserverové prechodné hodnoty | áno | nie |
| Zvoliť verziu PHP svojho webu | poskytuje | vyberá |
| Aktualizovať CMS, pluginy, témy | nie | áno |
| Prístupové údaje a účty administrátorov | nie | áno |
| Skontrolovať web na škodlivý kód | čiastočne | áno |
| Posúdenie z hľadiska ochrany údajov | nie | áno |
Dôležitý je posledný riadok: ak na vašom webe dôjde k incidentu s osobnými údajmi, zodpovedný je spravidla vy ako prevádzkovateľ, nie poskytovateľ. Viac nájdete na stránke Oznamovacia povinnosť podľa GDPR.
Čo by ste mali urobiť sami
1. Vyžiadajte si potvrdenie. Opýtajte sa poskytovateľa písomne, či sú verzie PHP vo vašom balíku zabezpečené proti obom CVE, odkedy a či boli reštartované všetky procesy PHP. Hotový vzor nájdete na stránke Opýtajte sa hostingu na stav záplat. Nečudujte sa, ak v zákazníckom menu naďalej stojí staršie číslo verzie, napríklad 8.2.34: niektorí poskytovatelia dodávajú opravy ako backport, bez zmeny čísla.
2. Skontrolujte verziu PHP. Pozrite sa v zákazníckom menu, akú verziu PHP váš web používa. PHP 8.1 a staršie už od projektu PHP nedostávajú oficiálne aktualizácie. PHP 8.2 dosiahne koniec podpory 31. 12. 2026. Či vaše CMS znesie novšiu verziu, overte podľa systémových požiadaviek výrobcu, napríklad na wordpress.org.
3. Skontrolujte web. Dávajte pozor na neznáme účty administrátorov, neočakávané presmerovania, cudzie súbory v prístupe FTP a upozornenia v Google Search Console. Zoznam typických príznakov nájdete na stránke Som už kompromitovaný?.
4. Vytvorte zálohu. Stiahnite si aktuálnu zálohu súborov a databázy a uchovajte ju oddelene. Požiadajte poskytovateľa aj o to, aby uchoval prístupové protokoly vášho balíka od 20. 10. 2026.
Po potvrdení od poskytovateľa preventívne zmeňte heslá do zákazníckeho menu, FTP/SFTP, databázy a administrátorov CMS a, kde je to možné, zapnite dvojfaktorové prihlásenie.
Čo pri zdieľanom hostingu sami vyriešiť nemôžete
Prechodné opatrenia odporúčané php.net, napríklad session.upload_progress.enabled=0, účinkujú iba vtedy, ak sú nastavené v konfigurácii servera. Záznam v .user.ini alebo cez ini_set() v kóde podľa php.net nestačí. Aj obmedzenia pamäte na úrovni cgroup a reštart procesov PHP sú na poskytovateľovi.
Ak poskytovateľ neodpovedá alebo odpovedá vyhýbavo, máte tri možnosti: znovu sa pripomenúť a stanoviť lehotu, dočasne prepnúť web do režimu údržby, alebo prejsť k poskytovateľovi s jasným vyjadrením. BSI odporúča webové servery dočasne odpojiť od siete, ak aktualizácia nie je možná okamžite.
Skontrolujte tiež, či je váš tarif ešte aktuálny. Balíky, ktoré bežia mnoho rokov nezmenené, niekedy ležia na starších generáciách serverov so staršími verziami PHP, ktoré poskytovateľ udržiava už len obmedzene. Prechod na aktuálny tarif toho istého poskytovateľa býva spojený s malou námahou a prináša novšie verzie PHP. Opýtajte sa na to, ak je odpoveď o stave záplat neuspokojivá.
Ak je web už nápadný
Záplata u poskytovateľa uzavrie zraniteľnosť do budúcnosti. Neodstráni však zadné vrátka, ktoré útočníci zabudovali predtým, a nedokazuje, že sa predtým nič nestalo. Ak nájdete nápadnosti, nemažte súbory bez rozmyslu. Najprv zabezpečte stav, aby zostala príčina neskôr dohľadateľná.
Ako konkrétne pomáha PHP SOS?
- S vami zformulujeme dopyt pre poskytovateľa a technicky vyhodnotíme jeho odpoveď.
- Váš web skontrolujeme na webshelly, cudzie účty a zmanipulované súbory a pri náleze ho vyčistíme cez naše odstránenie malvéru.
- Pri akútnom podozrení prevezmeme núdzovú pomoc pri napadnutých weboch so zabezpečením dôkazov.
- Pomôžeme s výberom vhodnej verzie PHP a web potom otestujeme.
Časté otázky
Musím ako zákazník hostingu aktualizovať PHP sám?
Spravidla nie, pretože PHP je pri zdieľanom hostingu súčasťou platformy poskytovateľa. Verziu PHP však môžete často zvoliť v zákazníckom menu. Ak tam stojí verzia bez oficiálnych aktualizácií, mali by ste ju zmeniť alebo sa opýtať poskytovateľa, ako ju zabezpečuje.
Môj web je offline. Bol som hacknutý?
Nie nevyhnutne. Niektorí poskytovatelia vzali weby preventívne zo siete, aby zraniteľnosť uzavreli. Opýtajte sa poskytovateľa na dôvod a nechajte si potvrdiť, či existujú náznaky útoku na váš balík.
Môžem prechodné opatrenia nastaviť sám v .user.ini?
Pre session.upload_progress.enabled php.net výslovne uvádza, že .user.ini a ini_set() nestačia. Toto nastavenie musí poskytovateľ nastaviť v konfigurácii servera.
Čo by som mal mať od poskytovateľa písomne?
Potvrdenie, že verzie PHP vo vašom balíku sú zabezpečené proti CVE-2026-109618 a CVE-2026-109619, odkedy to platí a že procesy PHP boli reštartované. Túto odpoveď uchovajte spolu so svojimi dokladmi.