Prevádzkujete firemný web, e-shop alebo zákaznícky portál? Dve kritické zraniteľnosti PHP môžu za určitých podmienok umožniť útočníkovi spustiť kód na serveri bez prihlásenia. Opravy sú dostupné od 21. októbra 2026. Teraz je potrebné zistiť, ktorých systémov sa problém týka, zabezpečiť ich aktualizáciu a preveriť prípadné známky zneužitia.
PHP je technológia, na ktorej fungujú mnohé weby a podnikové aplikácie. Vaša organizácia ho môže používať na vlastných serveroch, v hostingu alebo ako súčasť softvéru od externého dodávateľa. Aj preto sa aktuálne riziko môže týkať systémov, pri ktorých o používaní PHP bežne neuvažujete.
Čo sa stalo
Projekt PHP vydal 21. októbra 2026 bezpečnostné aktualizácie pre dve kritické zraniteľnosti CVE-2026-109618 a CVE-2026-109619, známe aj ako PHP2Shell. Obe majú hodnotenie závažnosti 9,2 z 10 podľa CVSS v4.0. Za určitých podmienok umožňujú vzdialené spustenie kódu bez prihlásenia útočníka.
Chyby sa nachádzajú v samotnom PHP, ktoré vykonáva kód webovej aplikácie. Súvisia so spracovaním nedostatku pamäte a nesprávnym použitím interných údajov medzi požiadavkami. Pri niektorých spôsoboch zneužitia môže útok prebehnúť ešte pred spustením aplikácie. Prihlasovacia obrazovka preto sama osebe nemusí systém ochrániť.
Čo môže byť ohrozené
Úspešný útok môže narušiť dostupnosť služby, sprístupniť citlivé údaje alebo umožniť neoprávnené operácie na serveri. Rozsah následkov závisí od konkrétneho prostredia, oprávnení napadnutého procesu a jeho prístupu k ďalším systémom.
Pre firmu tak nejde iba o technickú chybu webu. V ohrození môže byť prijímanie objednávok, obsluha zákazníkov alebo prevádzka aplikácie, na ktorej závisí každodenná práca.
Prítomnosť zraniteľnej verzie však ešte neznamená, že systém bol napadnutý. Je dôvodom na bezodkladné preverenie a nápravu.
Oslovte odborníkov ešte dnes
Kontaktujte nás
Oslovte odborníkov ešte dnes!
Ako zistiť, či sa vás problém týka
Oficiálne upozornenie zahŕňa PHP inštalácie obsluhujúce webové požiadavky vrátane PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Za najrizikovejšie označuje nasadenia s mod_php, pri ktorých bolo demonštrované zneužitie pred spustením aplikačného kódu.
Pri preverovaní zahrňte aj staršie portály, testovacie prostredia, administrátorské rozhrania, kontajnery a produkty so zabudovaným PHP. Rozhodujúca je verzia, ktorá skutočne obsluhuje webové požiadavky; môže sa líšiť od verzie dostupnej správcovi v príkazovom riadku. Prečítajte si viac na Datadog Security Labs.
Ak využívate hosting alebo externého správcu, položte mu tri otázky:
- Týkajú sa tieto zraniteľnosti niektorého z našich systémov?
- Aká oprava bola nasadená a je už aktívna vo všetkých dotknutých prostrediach?
- Preverili ste aj prípadné známky zneužitia?
Vyžiadajte si konkrétne potvrdenie vykonaných krokov.
Čo môžete urobiť teraz
Zistite, kde PHP používate, kto systémy spravuje a kto zabezpečí nápravu. Prednostne riešte služby dostupné z internetu alebo z nedôveryhodných sietí. Nezabudnite na produkty a služby externých dodávateľov.
Aktualizácia WordPressu, iného redakčného systému alebo pluginov neodstráni chybu v PHP, na ktorom aplikácia beží. Prvé opravené vydania podporovaných vetiev sú:
| Vetva PHP | Prvá opravená verzia |
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Pri balíkoch od distribúcie alebo dodávateľa overte jeho bezpečnostné oznámenie. Oprava môže byť prenesená aj do balíka so starším základným číslom verzie.
PHP 8.1 a staršie už nemajú bežnú podporu projektu PHP. Pri týchto systémoch treba overiť dostupnosť opravy od konkrétneho dodávateľa alebo zabezpečiť prechod na podporovanú verziu. Pre vetvy 7.4, 8.0 a 8.1 projekt výnimočne sprístupnil minimálne opravy zdrojového kódu; neznamená to obnovenie ich bežnej podpory. PHP – opravené verzie a možnosti aktualizácie
Po aktualizácii treba reštartovať alebo nahradiť príslušné PHP procesy. Pri kontajneroch je potrebné nasadiť nové obrazy obsahujúce opravené PHP. Samotný reštart pôvodného kontajnera nestačí.
SK-CERT odporúča neopraveným internetovo dostupným službám odstrániť verejnú dostupnosť alebo ich izolovať od nedôveryhodných sietí až do nápravy. Pravidlá webového aplikačného firewallu ani konfiguračné zmeny nepovažuje za rovnocennú náhradu aktualizácie alebo izolácie.
Aktualizáciou sa preverovanie nekončí
Nasadenie opravy a posúdenie možného predchádzajúceho zneužitia sú dve samostatné úlohy.
Bezpečnostný tím by mal preveriť neobvyklé webové požiadavky, chyby pri vyčerpaní pamäte a neočakávané procesy spustené webovým serverom. Ani funkčný web či neprítomnosť pádu procesu nevylučujú úspešný útok.
Prípad PHP zároveň pripomína otázku, na ktorú upozorňuje aj náš tím SOC: ako organizácia rozpozná útok na aplikáciu, keď o jej zraniteľnosti ešte nemá dostatok informácií?
Pripravenosť stojí na prehľade o prevádzkovaných systémoch, jasnej zodpovednosti za aktualizácie a schopnosti vyhodnocovať podozrivú aktivitu. Bezpečnostný dohľad potrebuje relevantné záznamy, nastavené postupy a ľudí, ktorí dokážu zistenia premeniť na konkrétny zásah.
Pomôžeme vám posúdiť riziko aj ďalší postup
V Alanata prepájame manažment zraniteľností, bezpečnostné testovanie a služby bezpečnostného operačného centra (SOC). Pomáhame identifikovať slabé miesta, vyhodnocovať bezpečnostné udalosti, vyšetrovať incidenty a koordinovať reakciu na ne.
Nie ste si istí, či sa zraniteľnosti PHP týkajú aj vašej organizácie alebo či máte dostatočne pokrytý bezpečnostný dohľad? Kontaktujte nás. Spoločne posúdime vašu situáciu a navrhneme ďalší postup podľa rizík a potrieb vašej prevádzky.