Stručně: Zranitelnost PHP jednoduše: PHP je software na webovém serveru, který skládá weby ve chvíli, kdy je někdo otevře. U PHP2Shell PHP ve zvláštních výjimečných případech neuklidí čistě a přesně to mohou útočníci zneužít, aby bez hesla spouštěli na serveru vlastní příkazy. Řešením je aktualizace PHP s následným restartem, kterou zpravidla nasadí váš poskytovatel hostingu nebo dodavatel.
Proč o PHP teď všichni mluví
Ve zprávách se mluvilo o „kritické bezpečnostní zranitelnosti“, úřady odpojovaly weby od sítě, BSI (německý Spolkový úřad pro informační bezpečnost) varovalo oranžovým stupněm. Pro mnoho majitelů a zaměstnanců to zní hrozivě a zároveň nesrozumitelně. Co je PHP a proč se to týká právě firemního webu?
Tento článek vysvětluje situaci bez žargonu. Kdo se chce ponořit hlouběji, najde technické zařazení na stránce Co je PHP2Shell?.
Co PHP vlastně dělá: obrázek z běžného života
Představte si svůj web jako restauraci. Host je návštěvník, objednávka je otevření stránky. PHP je kuchyně: Přijme každou objednávku, vezme suroviny ze skladu, tedy z databáze, a naservíruje talíř, tedy hotovou stránku.
Aby to šlo rychle, má kuchyně několik kuchařů, kteří postupně vyřizují mnoho objednávek. Odborníci jim říkají „workery“. Po každé objednávce má být pracovní místo úplně uklizeno, než přijde další.
Na PHP běží velmi mnoho známých systémů: WordPress, Shopware, TYPO3, Joomla, Nextcloud a nesčetná vlastní řešení. Jak PHP v zásadě funguje, vysvětluje článek Co je PHP?.
Zranitelnost PHP jednoduše: co se u PHP2Shell pokazilo
PHP2Shell tvoří dvě chyby. Obě mají co do činění s uklízením a obě se projevují jen ve výjimečných situacích.
První chyba (CVE-2026-109618): Někdy kuchyni uprostřed přípravy dojde místo. Odborníci říkají „Out of Memory“, paměť je plná. Práce se pak přeruší, zatímco je objednávka připravena jen z poloviny. Při následujícím uklízení PHP omylem považuje nedokončené věci za hotové.
Druhá chyba (CVE-2026-109619): Po objednávce zůstane na pracovním místě něco, co už mělo být dávno uklizeno. Další objednávka u téhož kuchaře se k tomu může dostat, než to bude odstraněno.
V obou případech platí: Kdo přesně ví, jak tuto výjimečnou situaci vyvolat, může kuchyni přimět dělat věci, které nikdo neobjednal. V nejhorším případě převezme kontrolu nad serverem. Heslo k tomu nepotřebuje. Jak se požadavek v PHP zpracovává krok za krokem, popisuje článek o životním cyklu požadavku.
Techniku nemusíte rozumět, abyste jednali správně. Rozhodující je jediná otázka na poskytovatele hostingu nebo dodavatele: Je PHP na našem serveru aktualizováno a restartováno a můžete nám to písemně potvrdit?
Nejdůležitější pojmy na první pohled
| Pojem | Jednoduše vysvětleno |
|---|---|
| PHP | software na serveru, který skládá webové stránky při jejich otevření |
| Bezpečnostní zranitelnost | chyba, kterou mohou cizí osoby zneužít |
| Číslo CVE | celosvětově jedinečné identifikační číslo bezpečnostní zranitelnosti |
| CVSS 9.2 | stupeň závažnosti na stupnici do 10; 9.2 se považuje za kritické |
| Remote Code Execution | cizí osoby mohou na dálku spouštět na serveru vlastní příkazy |
| Shell | příkazová řádka, kterou lze server ovládat |
| Patch (záplata) | aktualizace, která chybu odstraní |
| Backport | oprava zabudovaná do starší verze beze změny čísla verze |
| Restart | ukončit staré procesy PHP, aby skutečně pracovala opravená verze |
Proč aktualizace, restart a kontrola patří k sobě
Zůstaňme u restaurace. Aktualizace je nový pracovní pokyn pro kuchyni: Takto se bude odteď uklízet. Jenže kuchaři, kteří mají zrovna směnu, pracují dál podle starého pokynu. Teprve když se směna vymění, platí nový. Přesně to je restart: Všechny staré procesy PHP se ukončí, nové se spustí s opravenou verzí. Bez restartu aktualizace na serveru sice leží, ale nepůsobí.
A ještě něco ukazuje tento obraz. Nový pracovní pokyn brání budoucím nehodám, ale nic neříká o tom, zda v předchozích dnech v kuchyni nebyl někdo nepozorovaně a něco neukryl. Proto po aktualizaci patří i kontrola stop, zvláště pokud byl server dostupný v době mezi 17. říjnem a aktualizací.
Co byste nyní měli udělat: tři typické výchozí situace
Co je třeba udělat, závisí na tom, kde váš web leží.
- Váš web leží u poskytovatele hostingu (sdílený hosting). Poskytovatel aktualizaci PHP zpravidla nasazuje. Váš úkol: vyžádat si písemné potvrzení a v zákaznickém menu ověřit, zda je nastavena aktuální verze PHP. Co dalšího je vaším úkolem, stojí na stránce Sdílený hosting: co dělá poskytovatel a co musíte udělat vy.
- Váš web spravuje agentura nebo dodavatel IT. Zeptejte se tam, zda byla aktualizace nasazena a PHP restartováno, a požádejte o krátkou kontrolu nápadností.
- Máte vlastní server. Pak jste odpovědní vy sami nebo vaše IT: aktualizovat PHP, restartovat všechny procesy PHP, zajistit logy od 20. října a hledat stopy.
Ve všech třech případech platí: Aktualizace WordPressu nebo jiného systému na webu zranitelnost neuzavře. A aktualizace nedokazuje, že se předtím nic nestalo.
Jak konkrétně pomáhá PHP SOS?
- Srozumitelně vysvětlit: Jasnými slovy vám řekneme, zda a jak jsou vaše systémy dotčeny.
- Jednat s poskytovatelem hostingu: Na přání vyjasníme stav záplat přímo s vaším poskytovatelem nebo dodavatelem.
- Aktualizovat a zkontrolovat: U vlastních serverů nasadíme aktualizaci, restartujeme PHP a hledáme stopy.
- Zaznamenat písemně: Dostanete krátkou dokumentaci stavu.
Více na stránce okamžitá pomoc při PHP2Shell.
Závěr
PHP2Shell zní složitě, situace v jádru není: Kuchyně vašeho webu ve výjimečných případech neuklidí správně a to lze zneužít. Aktualizace to opraví. Vaším úkolem je zajistit, aby byla nasazena, aktivována a doložena, a v případě pochybností nechat zkontrolovat, zda v kuchyni předtím někdo nebyl.
Časté dotazy
Co je PHP jednoduše řečeno?
PHP je programovací jazyk, který pracuje na webovém serveru. Když otevřete stránku, PHP ji v tu chvíli složí, například s aktuálními produkty, cenami nebo vaším nákupním košíkem, a pošle ji do vašeho prohlížeče.
Týká se mě to, když používám WordPress?
WordPress běží na PHP, proto může být postižen server pod ním. Zda je váš web ohrožen, závisí na stavu PHP na serveru, ne na verzi WordPressu. Zeptejte se svého poskytovatele hostingu nebo dodavatele na aktualizaci PHP.
Mohu být jako návštěvník webu ohrožen?
Zranitelnost se týká serverů, ne počítačů návštěvníků. Pokud je ale server převzat, mohli by útočníci například měnit obsah nebo přesměrovat návštěvníky na cizí stránky. Proto je aktualizace pro provozovatele důležitá.
Co znamená název PHP2Shell?
Popisuje možný následek: Přes PHP může útočník v nejhorším případě získat shell, tedy jakési dálkové ovládání serveru. Oficiální označení jsou CVE-2026-109618 a CVE-2026-109619.