Stručně: Kolik serverů PHP2Shell postihuje, lze jen odhadnout. Unit 42 napočítala podle TechTarget více než 22,6 milionu exponovaných instancí, CybelAngel uvádí zhruba 2,24 milionu hostů s PHP, BleepingComputer s odvoláním na VirusTotal informuje o více než 5,1 milionu. Čísla měří různé věci, a proto si neodporují. Pro vaši firmu platí jiné číslo: kolik vlastních systémů s PHP je dostupných a kolik z nich je doloženě záplatováno.
Výchozí bod: číslo, které dělá titulky
„22 milionů serverů v ohrožení“ stálo 21. října 2026 v mnoha titulcích. Číslo pochází od Unit 42, výzkumného oddělení společnosti Palo Alto Networks, a mimo jiné je uvedl TechTarget. Brzy poté kolovala jiná čísla, zčásti zhruba desetkrát menší.
U čtenářů vzniká dojem, že nikdo neví nic jistého. Ve skutečnosti poskytovatelé prostě počítají různé věci různými metodami. Kdo to pochopí, může čísla využít, místo aby se jimi nechal zneklidnit.
Kolik serverů PHP2Shell postihuje? Čísla v přehledu
| Zdroj | Číslo | Co se počítalo |
|---|---|---|
| Unit 42 (Palo Alto Networks), podle TechTarget | více než 22,6 mil. | exponované, potenciálně zranitelné instance; metoda ve zprávě nevysvětlena |
| VirusTotal, podle BleepingComputer | přes 5,1 mil. | hosté s PHP dostupní z internetu |
| CybelAngel, na základě dat Shodan | zhruba 2,24 mil. | hosté, kteří ve svých identifikátorech uvádějí PHP |
| CybelAngel | 59 % z přibližně 1,5 mil. | podíl hostů s viditelnou verzí na větvích bez oficiální aktualizace |
| CybelAngel | zhruba 740 000 | hosté, kteří uvádějí PHP, ale svou verzi skrývají |
Všechna čísla se vztahují k situaci kolem 20. a 21. října. Jsou to momentky a mění se s každou nasazenou aktualizací.
Proč jsou sčítání tak vzdálená
Většinu rozdílů vysvětlují tři efekty.
Instance, host, web. Host je většinou adresa IP nebo server. Instance může být jedna služba nebo jeden web. Na serveru ve sdíleném hostingu často běží stovky webů. CybelAngel sám upozorňuje: Počítají se hosté, ne organizace nebo weby, skutečný počet dostupných aplikací bude pravděpodobně vyšší.
Skryté verze. Mnoho serverů svou verzi PHP neprozrazuje, například protože je vypnuté expose_php. V statistikách podle verze chybí. Proč je skrývání užitečné, ale ochranu nenahrazuje, vysvětluje článek o údajích o verzi a expose_php.
Backporty. Distribuce a poskytovatelé hostingu opravy zčásti nasazují, aniž by měnili číslo verze. Server, který navenek ukazuje staré číslo, tedy může být záplatován. Sčítání podle zobrazené verze proto počet nezáplatovaných systémů nadhodnocují. Jak zjistíte skutečný stav u sebe, stojí na stránce Kontrola verze PHP a stavu záplat.
Jak taková sčítání vznikají
Většina čísel vychází z vyhledávacích služeb, které internet průběžně dotazují a ukládají, co servery o sobě sdělují. Webový server ve svých odpovědích často uvádí software a verzi, například v hlavičce X-Powered-By. CybelAngel se podle vlastního popisu opírá o takové identifikátory z dat Shodan. Na nic se přitom neútočí, jen se čte, co je stejně veřejně viditelné.
Z toho plyne jednoduché pravidlo čtení pro každé nové číslo v médiích. Ptejte se: Co se počítalo, hosté, instance, nebo weby? Kdy se měřilo, před 21. říjnem, nebo po něm? A jak byla určena verze, podle zobrazeného čísla, nebo skutečným testem? Kdo na tyto tři otázky nedokáže odpovědět, měl by číslo brát jako hrubý řád, ne jako naměřenou hodnotu.
„Exponovaný“ znamená dostupný a podle vnějších znaků možná zranitelný. Neznamená napadený ani kompromitovaný. BSI zpočátku neznalo žádné potvrzené úspěšné útoky v širokém měřítku.
Co čísla přesto spolehlivě ukazují
I když výše kolísá, sčítání nesou tři spolehlivá tvrzení:
- Plocha pro útok je obrovská. I nejmenší číslo znamená miliony dostupných cílů. Útočníci nemusejí hledat, mohou kontrolovat automatizovaně.
- Staré verze jsou rozšířené. Podle CybelAngel běželo 59 procent hostů s viditelnou verzí na větvích, pro které projekt PHP nezveřejňuje oficiální aktualizaci. U těchto systémů nepomůže rychlá záplata, ale jen backport, třetí strana nebo migrace. Rizika popisuje průvodce PHP End of Life.
- Problém zůstane déle. Velká část dostupných systémů se nebude aktualizovat během dnů. Skeny a pokusy o útok proto pravděpodobně poběží ještě dlouho.
Zjistit vlastní číslo
Celosvětové číslo je titulek. To vaše je úkol. Takto se k němu dostanete:
- Shromáždit domény a subdomény: ze zón DNS, certifikátů, smluv s agenturami a poskytovateli hostingu.
- Přiřadit dostupné služby: Který server stojí za kterou adresou, kdo ho provozuje?
- Zjistit stav PHP u každého systému: verze, provozní režim, zdroj balíčků, potvrzení backportu.
- Vyhodnotit výsledek: záplatováno a doloženo, záplatováno bez dokladu, nezáplatováno, neznámo.
- Uzavřít mezery: Neznámé nejprve vyjasnit, u nezáplatovaného jednat jako první.
Na konci stojí krátký seznam místo velkého čísla. Jak inventář trvale udržovat, popisuje článek Inventář všech webů a serverů.
Jak konkrétně pomáhá PHP SOS?
- Pohled zvenčí: Zjišťujeme, které z vašich systémů jsou dostupné z internetu a které z nich používají PHP.
- Pohled zevnitř: Kontrolujeme stav záplat a restart na serverech, ne jen zobrazenou verzi.
- Vyhodnocení: Dostanete seznam se stavem každého systému a jasným pořadím.
- Ověření: Na přání po záplatě zvenčí otestujeme, zda se situace zlepšila podle očekávání.
Jak taková kontrola probíhá, popisuje bezpečnostní audit a penetrační test.
Závěr
22,6 milionu, 5,1 milionu, 2,24 milionu: Čísla působí rozporně, ale měří jen různé věci. Společně ukazují, že PHP2Shell postihuje velmi rozsáhlou plochu pro útok a že v síti stojí mnoho starých verzí. Číslo, které rozhoduje o vašem riziku, žádná studie nedodá. Vznikne jen pohledem na vlastní systémy.
Časté dotazy
Kolik serverů PHP2Shell postihuje?
To nikdo přesně neví. Unit 42 ze společnosti Palo Alto Networks napočítala podle TechTarget více než 22,6 milionu exponovaných, potenciálně zranitelných instancí. CybelAngel uvádí zhruba 2,24 milionu hostů dostupných z internetu, které uvádějí PHP. Čísla měří různé věci a nelze je přímo srovnávat.
Proč se čísla tak výrazně liší?
Protože se počítají různé věci: instance, hosté, adresy IP nebo služby. Na jednom hostu ve sdíleném hostingu mohou ležet stovky webů. Navíc mnoho serverů svou verzi PHP nezobrazuje a jiné zobrazují staré číslo, přestože je nasazen backport.
Znamená exponovaný, že byl server napaden?
Ne. Exponovaný znamená jen to, že služba PHP je dostupná z internetu a podle vnějších znaků by mohla být zranitelná. O skutečných útocích tato sčítání nic nevypovídají.
Které číslo je pro mou firmu důležité?
Počet vašich vlastních veřejně dostupných systémů s PHP a kolik z nich je prokazatelně záplatováno. Celosvětová čísla ukazují rozsah, ale nenahrazují vlastní inventář.