Stručně: Bezpečnostní zranitelnost PHP2Shell tvoří dvě kritické chyby v PHP, základu většiny webů a internetových obchodů. Útočníci přes ně mohou bez hesla spouštět škodlivý kód na webových serverech. BSI (německý Spolkový úřad pro informační bezpečnost) varuje oranžovým stupněm a radí: okamžitě aktualizovat, jinak postižené servery dočasně odpojit od sítě. Pro vedení firmy to dnes znamená: vyjasnit odpovědnost, vyžádat si aktualizaci a doklad, rozhodnout o odstavení a vše zdokumentovat.
Situace ve třech větách
Dne 21. října 2026 zveřejnil projekt PHP aktualizace pro dvě kritické bezpečnostní zranitelnosti, známé pod názvem PHP2Shell. Postiženo je samo PHP, ne konkrétní produkt, tedy potenciálně každý web, každý obchod a každý portál, který běží na PHP. BSI vyhlásilo výstražný stupeň 3 / oranžový, bezpečnostní firmy informují o pokusech o útok, potvrzené úspěšné útoky v širokém měřítku podle BSI zpočátku známy nebyly.
Úřady jako BKA (německý Spolkový kriminální úřad) a několik měst podle mediálních zpráv své weby preventivně odstavily. Byla to opatrnost, ne známka útoku.
Co zranitelnost PHP znamená pro vedení firmy a podnik
Otázka nezní, zda PHP používáte. Téměř každá firma ho používá někde: web, obchod, portál pro uchazeče, zákaznická sekce, intranet, ticketovací systém, microsite agentury. Otázka je, zda jsou tyto systémy aktuální a kdo za ně odpovídá.
Pokud útok uspěje, může útočník v nejhorším případě převzít server. Možnými důsledky jsou únik dat, manipulovaný obsah, přesměrování na podvodné stránky, výpadek obchodu nebo zneužití serveru k dalším útokům. Pokud mohou být dotčeny osobní údaje, přistupují oznamovací povinnosti; lhůta podle čl. 33 GDPR činí zpravidla 72 hodin. Podrobnosti stojí na stránce Oznamovací povinnost podle GDPR. Nejde o právní poradenství.
Jaké náklady typicky vznikají v ostrém případě, zařazuje článek Nákladové položky hacku.
Kde se PHP ve firmách často přehlíží
Hlavní web má většina na očích. Přehlížejí se spíše systémy na okraji: portál pro uchazeče od externího dodavatele, vstupní stránka dřívější kampaně, partnerská sekce pro obchodníky, ticketovací systém podpory, datový cloud na vlastním serveru nebo webové rozhraní síťového úložiště. I testovací systémy agentur jsou často veřejně dostupné a běží na stejném serveru jako skutečný web.
Pro vedení firmy je poučení jednoduché: Otázka na IT nezní „Je náš web záplatován?“, ale „Jsou záplatovány všechny naše systémy s PHP, i ty od dodavatelů?“. Rozdíl mezi oběma otázkami je často přesně tam, kde útok uspěje.
Čím situace není
Stejně důležité je zařazení směrem dolů. PHP2Shell není důvod k aktivismu, který narušuje provoz víc, než je nutné. Kdo má doložitelně záplatováno, restartoval všechny procesy PHP a při kontrole nenajde žádné nápadnosti, může se vrátit k běžnému provozu. Dočasné odstavení je možnost pro nejasné případy, ne povinnost pro všechny.
Pět otázek na vaše IT nebo dodavatele
Tyto otázky můžete položit ještě dnes. Odpovědi by měly přijít písemně.
- Které naše systémy běží s PHP? Seznam s adresou, účelem a provozovatelem.
- Je každý systém záplatován? Opravená verze 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, nebo backport potvrzený poskytovatelem.
- Byly restartovány všechny procesy PHP? Bez restartu aktualizace nepůsobí.
- Co systémy na PHP 8.1 nebo starším? Pro ně neexistují oficiální aktualizace. Jaký je plán?
- Bylo zkontrolováno, zda se před aktualizací něco stalo? Logy od 20. října zajištěny, stopy hledány?
Pokud je váš web u poskytovatele hostingu, pomůže formální dotaz. Vzor nabízí průvodce Vyžádání potvrzení aktualizace PHP od poskytovatele hostingu.
Rozhodnutí, která by měla padnout dnes
| Rozhodnutí | Možnosti | Podklad |
|---|---|---|
| Kdo vede? | odpovědná osoba uvnitř, externí partner | odpovědnost musí být jednoznačná |
| Nezáplatované systémy | okamžitě záplatovat, přechodná opatření, dočasně odstavit | doporučení BSI, datová situace, význam pro tržby |
| Kontrola stop | interně, externě, jen při nápadnostech | potřeba ochrany dat na serveru |
| Komunikace | informovat interně, připravit zákazníky, vyčkat | situace po kontrole |
| Staré systémy | naplánovat migraci, izolovat, odstavit | PHP 8.1 a starší bez oficiálních aktualizací |
Zaznamenejte, kdo kdy co rozhodl a na jakém informačním základě. Stačí krátká, datovaná poznámka. Ta má dodatečně vůči pojišťovnám, zákazníkům nebo dozorovým orgánům často větší cenu než jakékoli pozdější vysvětlení.
Proč je tato dokumentace pro vedení důležitá, vysvětluje stránka Odpovědnost vedení při bezpečnostních zranitelnostech IT. Jde o obecné informace, ne o právní poradenství.
Čemu byste neměli věřit
Tři tvrzení nyní jednatelé slyší často a všechna tři jsou nesprávná:
- „Aktualizovali jsme WordPress, takže jsme v bezpečí.“ Zranitelnost je v PHP, ne v CMS. Aktualizace CMS ji neuzavře.
- „Jsme příliš malí, nikdo nás nenapadne.“ Útoky probíhají automatizovaně. Hledají se zranitelné servery, ne známá jména.
- „Aktualizace je nasazena, a tím je téma vyřízeno.“ Záplata neodstraní škodlivý software, který byl vložen dříve, a nedokazuje, že se nic nestalo.
Jak konkrétně pomáhá PHP SOS?
- Přehled situace pro vedení: Připravíme krátký přehled vašich systémů s PHP se stavem a doporučením pro každý systém.
- Provedení: Záplatujeme, restartujeme nebo nastavujeme přechodná opatření tam, kde aktualizace ještě není možná.
- Kontrola: Zajišťujeme logy a hledáme stopy útoku.
- Doklad: Dostanete dokumentaci, kterou můžete použít interně i vůči třetím stranám.
Postup popisuje okamžitá pomoc při PHP2Shell.
Závěr
PHP2Shell je technická zranitelnost s manažerským úkolem. Techniku vyřeší odborníci. Vedení firmy zajistí, aby někdo odpovídal, aby bylo pět otázek zodpovězeno a aby rozhodnutí padla vědomě a byla zdokumentována. Vejde se to do jednoho dopoledne, pokud to začne dnes.
Časté dotazy
Musí se vedení firmy o PHP2Shell starat samo?
Technickou realizaci ne, řízení ano. Vedení firmy by mělo zajistit, aby byly odpovědnosti jasné, doporučení BSI se plnilo a rozhodnutí, například o dočasném odstavení, byla učiněna vědomě a zdokumentována.
Jak zranitelnost vysvětlit jednou větou?
V PHP, softwaru, na kterém běží většina webů a e-shopů, jsou dvě kritické chyby, přes které mohou cizí osoby bez hesla spouštět programy na serveru; aktualizace je k dispozici a je třeba ji nasadit.
Kolik stojí nedělat nic?
To nelze paušálně vyčíslit. Možné důsledky úspěšného útoku jsou výpadky provozu, únik dat, oznamovací povinnosti, náklady na vyčištění a forenzní analýzu i ztráta důvěry zákazníků. Aktualizace s kontrolou je zpravidla výrazně méně náročná.
Stačí, když se o to postará poskytovatel hostingu?
U sdíleného hostingu aktualizaci zpravidla nasazuje poskytovatel. Nechte si to písemně potvrdit, včetně restartu procesů PHP. Zda se před aktualizací něco stalo, potvrzení nevysvětlí; k tomu je třeba kontrola webu.