# Ste postihnutý zraniteľnosťou PHP2Shell? Nechajte si to teraz overiť

> Neviete, či sú vaše servery postihnuté PHP2Shell? Na diaľku preveríme verziu, režim prevádzky a stav záplat. Zavolajte alebo napíšte cez WhatsApp.

Zdroj: https://phpsos.de/sk/soforthilfe/php2shell-betroffen/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** To, či ste postihnutý PHP2Shell, závisí od troch vecí: od verzie PHP, od režimu prevádzky a od toho, či a ako sa záplatovalo. Ak si nie ste istý, ozvite sa hneď. Ste postihnutý? Zavolajte. Pomôžeme vám. Objasníme to na diaľku priamo na serveri, nie od oka, a zraniteľnosť uzavrieme, ak je otvorená.

> **Konajte hneď:**
> **Teraz nič nemažte a nič neinštalujte odznova.** Aj keď chcete len zistiť, či ste postihnutý: ak je server možno už napadnutý, potrebujeme súbory a logy nezmenené. [Nahláste núdzový prípad](https://phpsos.de/sk/notfall/), kontrolu prejdeme spoločne.

## Ste postihnutý? Tieto prípady patria do kontrolného zoznamu

PHP2Shell sú dve kritické zraniteľnosti v samotnom PHP (CVE-2026-109618 a CVE-2026-109619, obe s najvyšším hodnotením 9.2 podľa CVSS v4.0). Umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Postihnuté môžu byť všetky režimy prevádzky: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Skontrolujte každý z týchto systémov:

- vlastné servery, vServery a root servery s PHP
- hostingové balíky a managed servery, aj keď nemáte prístup ku konfigurácii
- kontajnery a platformové služby, ktoré obsahujú obraz PHP
- testovacie systémy, staging prostredia a zabudnuté staré systémy dostupné z internetu
- NAS, appliance alebo softvér od dodávateľov, ktoré interne používajú PHP

Práve zabudnuté systémy sú riziko. Podľa Unit 42 existuje viac ako 22,6 milióna exponovaných, potenciálne zraniteľných inštancií a BSI počítalo s rýchlym plošným zneužitím.

## Čo urobiť hneď

1. **Založte inventár.** Zapíšte si všetky servery, domény a hostingové zmluvy, na ktorých beží PHP, a kto za ne zodpovedá.
2. **Zistite verziu PHP pre každý systém.** Na serveroch pomocou `php -v`. Pamätajte, že príkazový riadok môže používať inú verziu než webový server.
3. **Objasnite režim prevádzky.** Beží PHP ako PHP-FPM, ako mod_php alebo cez LiteSpeed? Pri mod_php tím PHP hodnotí riziko najvyššie.
4. **Opýtajte sa poskytovateľa hostingu a dodávateľov.** Písomne: Aká verzia beží, bola oprava nasadená, boli všetky procesy reštartované?
5. **Uchovajte logy.** Odborná tlač radí uchovať logy od 20. 10. 2026.
6. **Nečakajte dlho.** Ak je systém otvorený a záplatu nemožno nasadiť hneď, BSI odporúča webový server dočasne odpojiť od siete.

## Ako PHP SOS konkrétne pomáha?

Postihnutie objasňujeme na diaľku a s dôkazmi.

1. **Zmapovať situáciu:** Necháme si opísať váš inventár a systémy zoradíme podľa dostupnosti a rizika.
2. **Zabezpečiť a uzavrieť:** Tam, kde je otvorené, najprv zabezpečíme stav a potom zraniteľnosť uzavrieme aktualizáciou vrátane reštartu. Tam, kde to hneď nejde, nasadíme prechodné opatrenia, ktoré nie sú úplnou ochranou.
3. **Skontrolovať a vyčistiť:** Preveríme, či sa zraniteľnosť pred záplatou zneužila, a v prípade potreby vyčistíme. To, či je server postihnutý a možno už napadnutý, jasne oddeľujeme.
4. **Spevniť a podať správu:** Dostanete zoznam pre každý systém: verzia, režim prevádzky, doklad o záplate, otvorené body.

## Ako preukázať postihnutie

Samotné číslo verzie nestačí, pretože poskytovatelia opravy prenášajú späť (backport). Ubuntu 24.04 napríklad podľa správ ukazuje aj po aktualizácii naďalej 8.3.6. Spoľahlivé sú tri cesty:

| Cesta | Čo ukazuje | Hranica |
|---|---|---|
| Porovnať verziu so stavmi opráv | 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35 či vyššia je opravená | platí len pre originálne verzie, nie pre backporty |
| Test na `memory_hard_limit_percent` | `bool(false)` znamená: direktíva neznáma, teda postihnutá | spustiť osobitne pre každú verziu a režim prevádzky |
| Prehľadať changelog balíka podľa čísel CVE | preukazuje backporty pri distribúciách | zdrojom je bezpečnostný archív poskytovateľa |

Test vyzerá takto:

```bash
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
```

Ako správne skontrolovať verziu a stav záplat, nájdete na stránke [Ako správne skontrolovať verziu PHP a stav záplat](https://phpsos.de/sk/php2shell/php-version-pruefen/). Prehľad vetiev poskytuje [Ktoré verzie PHP sú postihnuté?](https://phpsos.de/sk/php2shell/betroffene-php-versionen/). Prečo môže zobrazenie aj po záplate vyzerať staro, vysvetľuje príspevok [php -v zobrazuje staré číslo](https://phpsos.de/sk/blog/php-v-zeigt-alte-nummer/).

## Postihnuté a už nezáplatovateľné: PHP 8.1 a staršie

Pre PHP 8.1 a staršie už projekt PHP nevydáva oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Kto také verzie používa, má väčšinou dve cesty: poskytovateľa s preukázaným backportom alebo migráciu na udržiavanú verziu. Komerčné ponuky dlhodobej podpory existujú, ale to, či a kedy pokrývajú PHP2Shell, musí poskytovateľ potvrdiť písomne. Pomôžeme vám s posúdením na stránke [PHP 8.1 a staršie: čo teraz platí](https://phpsos.de/sk/php2shell/php-8-1-und-aelter/) a s realizáciou v [službe PHP-Patch](https://phpsos.de/sk/leistungen/php-patch-service/).

## Čo by ste nám mali poslať

- Zoznam vašich serverov, domén a poskytovateľov hostingu
- Verziu PHP pre každý systém, ak je známa
- Režim prevádzky a webový server, ak sú známe
- Údaj, či je predradený Cloudflare alebo iná ochrana a či je origin server dostupný priamo
- Odpovede vášho poskytovateľa hostingu, ak ste sa už pýtali
- Kontaktná osoba pre schválenia a reštarty

## Prečo PHP SOS

Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Máte jedného kontaktného partnera, ktorý prejde váš inventár a každé tvrdenie preukáže, namiesto toho, aby len odčítal čísla verzií. Pracujeme na diaľku, bez výjazdu, a dokumentujeme, čo sme skontrolovali. Výrok ako „bezpečné“ vyslovíme len v takom rozsahu, v akom sa dá preukázať. Pre väčšie prostredia prichádza do úvahy [okamžitá pomoc pri PHP2Shell](https://phpsos.de/sk/leistungen/php2shell-soforthilfe/).

## Ste postihnutý? Zavolajte. Pomôžeme vám.

Ak neviete, či ste postihnutý, je to dostatočný dôvod ozvať sa hneď. Zavolajte alebo napíšte cez WhatsApp. Preberáme prípad od prvej správy a objasníme ho s vami priamo na serveri. [Nahlásiť núdzový prípad teraz](https://phpsos.de/sk/notfall/).


## Časté otázky

**Som postihnutý PHP2Shell, ak používam iba WordPress alebo e-shop?**  
Možno áno. Zraniteľnosti sú v PHP, nie v CMS. Rozhodujúce je, ktorá verzia PHP a ktorý režim prevádzky u vás skutočne obsluhuje požiadavky; aktualizácia WordPressu na tom nič nemení.

**Stačí číslo verzie na to, aby som vedel, či mám záplatu?**  
Nie vždy. Distribúcie a poskytovatelia hostingu niekedy nasadzujú opravy formou backportu a číslo potom zostane rovnaké. Výpovednú hodnotu majú changelog balíka s číslami CVE alebo písomné potvrdenie vášho poskytovateľa.

**Existuje rýchly test, či moja verzia PHP obsahuje opravu?**  
Podľa príručky PHP je postihnutá verzia, ktorá nepozná direktívu memory_hard_limit_percent. Test sa musí spustiť osobitne pre každú verziu PHP a každý režim prevádzky, pretože príkazový riadok môže používať inú verziu než webový server.

**Sú postihnuté aj staršie verzie PHP, ako 7.4 alebo 8.0?**  
Podľa odbornej tlače sú postihnuté takmer všetky verzie až po PHP 5.4. Pre 8.1 a staršie už projekt PHP nevydáva oficiálne aktualizácie, len minimálne backporty zdrojového kódu. Či ich poskytovateľ nasadil, musí potvrdiť on.

**Chráni ma Cloudflare, ak som postihnutý?**  
Čiastočne. Cloudflare nasadil ochranné pravidlá, ale sám varuje, že nenahrádzajú aktualizáciu. Ak je váš origin server dostupný priamo, ochrana sa obíde.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [Príručka PHP: základná konfigurácia (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [PHP: podporované verzie](https://www.php.net/supported-versions.php)
- [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/)