# PHP2Shell: přehled situace po prvním týdnu

> PHP2Shell aktuálně: co je po týdnu doloženo, jak situaci hodnotí BSI a týmy CERT, co je známo o útocích a co mají provozovatelé nyní zkontrolovat.

Zdroj: https://phpsos.de/cs/blog/lagebild-erste-woche/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Týden po prvním pozorovaném pokusu o útok je PHP2Shell aktuálně především otázkou provedení: Záplaty pro PHP 8.2 až 8.5 existují od 21. října, velké distribuce se přidaly, BSI (německý Spolkový úřad pro informační bezpečnost) varuje oranžovým stupněm. Pokusy o útok byly pozorovány, potvrzené úspěšné útoky v širokém měřítku BSI zpočátku nehlásilo. Otevřené zůstávají staré verze, nerestartované servery a otázka, co se stalo před záplatou.

## Situace ve třech větách

PHP2Shell jsou dvě kritické zranitelnosti přímo v interpretu PHP, CVE-2026-109618 a CVE-2026-109619, každá hodnocená CVSS v4.0 9.2. Umožňují spuštění kódu na dálku bez přihlášení, tedy případ, kterého se bezpečnostní odborníci obávají nejvíc. Postiženy jsou PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed; nejvyšší riziko vidí tým PHP u mod_php.

Tento přehled řadí stav k 25. říjnu 2026 podle aktérů. Průběh den po dni najdete v [chronologii PHP2Shell](https://phpsos.de/cs/ratgeber/php2shell-chronologie/), zde jde o celkový obraz.

## Co je po týdnu doloženo

Jisté jsou údaje projektu PHP: Vydání 8.5.12, 8.4.27, 8.3.36 a 8.2.35 z 21. října uzavírají obě zranitelnosti. Pro PHP 7.4, 8.0 a 8.1 existují jen minimální zdrojové backporty, žádná oficiální vydání. php.net zdůrazňuje, že úplná přechodná opatření neexistují a aktualizace je jedinou bezpečnou cestou.

Dne 23. října přibylo upozornění k CVE-2026-115560. Týká se jen neobvyklé konfigurace session; jako nápravu uvádí php.net `session.upload_progress.enabled=0` do dalšího pravidelného bugfixového vydání.

Také velké distribuce zaujaly stanovisko. Oficiální oznámení jsme prověřili:

| Poskytovatel | Stav podle oficiálního oznámení |
|---|---|
| Ubuntu | USN-8948-1 pro 22.04, 24.04, 26.04 a 26.10; USN-8948-2 pro 14.04 až 20.04 přes Ubuntu Pro |
| Debian | Opravené balíčky pro bookworm (php8.2, DLA-4848-1) a trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 pro RHEL 7 až 10; některé aktualizace k dispozici, další rozpracovány |

Red Hat hodnotí CVE-2026-109618 vlastním hodnocením jako „Important“ a zdůvodňuje to vyšší složitostí útoku. Je to jiná metoda hodnocení než u projektu PHP a není to důvod aktualizaci odkládat.

## Jak situaci hodnotí úřady

BSI vyhlásilo výstražný stupeň 3 / oranžový. Doporučuje okamžitou aktualizaci a, pokud to hned nejde, postižené webové servery dočasně odpojit od sítě. BSI počítalo s rychlým plošným zneužíváním. Co zařazení znamená, vysvětluje stránka [Co BSI k PHP2Shell doporučuje](https://phpsos.de/cs/compliance/bsi-empfehlungen/).

Podle zpráv považuje CERT-EU (tým pro kybernetickou bezpečnost institucí EU) za možné, že jsou postiženy verze od PHP 5, a radí izolovat veřejně dostupné aplikace, pokud je nelze záplatovat v krátké době. Varovaly také CERT-Bund (německý vládní CERT) a bezpečnostní firma Huntress.

Doporučení v nouzi odstavit se viditelně uplatnilo. Podle mediálních zpráv město Mohuč preventivně odpojilo svůj centrální webový portál; úřady zůstaly dostupné telefonicky a e-mailem. V Hesensku byly podle hessenschau dočasně offline stránky zemské vlády, BKA (německý Spolkový kriminální úřad) a měst Kassel a Wiesbaden. Státní kancelář žádný útok nenahlásila, stránky byly večer opět dostupné. Další obce, vysoké školy a kliniky jednaly podle zpráv podobně.

## Co je známo o útocích

Zde je oddělení mezi pozorováním a potvrzením obzvlášť důležité.

- **Pozorováno:** Podle mediálních zpráv byl 17. října první pokus o útok, který pozoroval Amazon. Cloudflare a Patchstack informovaly o pokusech o útok; Cloudflare navíc zaznamenal změněné vzorce útoků.
- **Zreprodukováno:** watchTowr podle zpráv CVE-2026-109618 podle vlastních údajů zreprodukoval.
- **Nepotvrzeno:** BSI zpočátku nehlásilo žádné potvrzené úspěšné zneužití v širokém měřítku. Huntress v době svého oznámení v prostředích partnerů žádné útoky nezaznamenal.
- **Neznámo:** Neexistují žádná zveřejněná, potvrzená indicators of compromise. Kdo chce zjistit, zda je server dotčen, musí sledovat vzorce chování.

K rozsahu kolují dvě čísla. Výzkumníci Unit 42 ze společnosti Palo Alto Networks došli k více než 22,6 milionu potenciálně zranitelných instancí dostupných z internetu. CybelAngel uvádí zhruba 2,24 milionu dostupných hostů s PHP, z toho podle vlastního vyhodnocení 59 procent na verzích bez oficiální opravy v dohledu. Obě měří různé věci a nelze je přímo srovnávat. Zařazení nabízí článek [Jak čísla správně zařadit](https://phpsos.de/cs/blog/exponierte-instanzen-einordnen/).

## Co zůstává otevřené

Tři otázky určují příští týdny:

1. **Staré verze:** Velká část dostupných instalací PHP běží podle uvedených vyhodnocení na větvích bez oficiální opravy. Zda komerční nabídky dlouhodobé podpory PHP2Shell pokrývají, je třeba vždy písemně potvrdit u poskytovatele.
2. **Neúplné aktualizace:** Nové balíčky působí teprve tehdy, když jsou všechny procesy PHP restartovány. Red Hat výslovně upozorňuje, že pouhé znovunačtení nestačí.
3. **Doba před záplatou:** Mezi 17. a 21. říjnem byly servery zranitelné, zatímco už probíhaly pokusy o útok. Záplata nedokazuje, že se v této době nic nestalo.

> **Důležité:**
> Uchovejte logy webového serveru a PHP od 20. října, jak radí odborný tisk. Bez logů nelze nejdůležitější otevřenou otázku pro váš server později zodpovědět.

## Co by provozovatelé měli nyní zkontrolovat

Pro vlastní posouzení situace stačí čtyři kontrolní body pro každý server: Je PHP na opraveném stavu nebo potvrzeném backportu? Běží všechny procesy od aktualizace? Je `session.upload_progress.enabled` vypnuto na straně serveru, dokud advisory k CVE-2026-115560 chybí? Existují nápadnosti od 17. října?

K poslednímu bodu pomůže stránka [Jsem už napaden?](https://phpsos.de/cs/php2shell/bin-ich-gehackt-anzeichen/). Proces webového serveru, který spouští shell, nové soubory PHP ve složkách pro nahrávání, neznámé cron úlohy nebo klíče SSH jsou varovné signály, které opodstatňují podrobnější vyšetření.

## Jak konkrétně pomáhá PHP SOS?

- Hodnotíme stav záplat každého serveru podle stavu balíčků, changelogu a časů spuštění procesů.
- Kde záplata není k dispozici, nastavujeme přechodná opatření z php.net a vyjasňujeme cestu k podporované verzi.
- Zajišťujeme logy od 20. října a hledáme stopy z doby před záplatou.
- Prostřednictvím [okamžité pomoci při PHP2Shell](https://phpsos.de/cs/leistungen/php2shell-soforthilfe/) tyto kroky spojujeme pro firmy, které rychle potřebují jasno.


## Časté dotazy

**Je PHP2Shell už aktivně zneužíváno?**  
Cloudflare a Patchstack informovaly o pokusech o útok. Potvrzené úspěšné útoky v širokém měřítku BSI zpočátku nehlásilo. Huntress v době svého oznámení v prostředích partnerů žádné útoky nezaznamenal.

**Je po záplatách nebezpečí pryč?**  
Ne. Záplaty chrání jen servery, které je nainstalovaly a restartovaly všechny procesy PHP. Systémy na PHP 8.1 a starším zůstávají bez potvrzeného backportu zranitelné a záplata neodstraní dříve vložený škodlivý software.

**Proč byly weby úřadů offline?**  
Podle mediálních zpráv preventivně odstavily své weby mimo jiné město Mohuč (Mainz) a několik míst v Hesensku. Odpovídá to doporučení BSI pro servery, které nelze hned aktualizovat. Odstavení neznamená, že došlo k útoku.

**Existují rozpoznávací znaky útoku PHP2Shell?**  
Zveřejněné, potvrzené indicators of compromise zatím neexistují. Rozpoznání se opírá o analýzu chování, například procesy PHP, které spouštějí shell, nebo nové soubory PHP ve složkách pro nahrávání.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [BSI](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [hessenschau: Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1)