Znalosti o PHP: programovací jazyk vysvětlen
Co je PHP, jak vytváří webovou stránku a proč o bezpečnosti rozhoduje provozní režim, konfigurace a verze. Srozumitelné pro rozhodující osoby, do hloubky pro administrátory a vývojáře.
Co je PHP? Programovací jazyk vysvětlen
PHP je skriptovací jazyk, který běží na serveru a vytváří tam HTML. Staví na něm mnoho CMS a e-shopů, proto se zranitelnost v PHP týká velmi mnoha webů.
Číst dál →02Historie PHP: od roku 1994 do dneška
Od soukromého nástroje pro stránku se životopisem k základu mnoha CMS a e-shopů: nejdůležitější milníky historie PHP s ověřenými letopočty.
Číst dál →03Jak PHP vytváří webovou stránku: cesta požadavku
Co se děje mezi kliknutím a hotovou stránkou: webový server, SAPI, kompilátor, OPcache a Zend VM v sedmi krocích a proč PHP2Shell útočí právě v tomto průběhu.
Číst dál →04Zend Engine: srdce PHP
Zend Engine překládá kód PHP na opcody a provádí je. Kdo zná její součásti, chápe, proč chyby v jádru jako PHP2Shell odstraní jen aktualizace PHP.
Číst dál →05OPcache vysvětlena: bytecode cache v PHP
OPcache drží přeložený kód PHP ve sdílené paměti. Šetří to výpočetní čas, vyžaduje ale pečlivost při nasazování, restartech a na serverech s více zákazníky.
Číst dál →06SAPI vysvětleno: jak PHP komunikuje s webovým serverem
SAPI je rozhraní mezi PHP a webovým serverem. Určuje, jak požadavky přicházejí, který php.ini platí a co se musí po aktualizaci restartovat.
Číst dál →07PHP-FPM vysvětleno: správce procesů, pooly a workery
PHP-FPM provozuje PHP jako samostatnou službu s pooly a workery. Jak funguje procesní model, které direktivy jsou důležité a proč se workery po aktualizaci musí restartovat.
Číst dál →08mod_php vysvětleno: PHP v procesu Apache
U mod_php sídlí PHP v každém procesu Apache. Je to jednoduché, ale nepružné a po PHP2Shell jde o nejrizikovější provozní režim. Jak funguje a jak jej poznáte.
Číst dál →09CGI a FastCGI: základy
CGI spouští pro každý požadavek proces, FastCGI nechává procesy naživu. Co to znamená pro PHP, php-cgi a PHP-FPM a která nastavení se týkají bezpečnosti.
Číst dál →10PHP v příkazové řádce (CLI)
PHP CLI spouští skripty bez webového serveru, například pro úlohy cron a údržbu. Chová se jinak než webová verze a často neukazuje stav, který používá váš web.
Číst dál →11php.ini vysvětlen: struktura, úrovně a priorita
Kde PHP najde svá nastavení, v jakém pořadí se uplatňují a kdo je smí přepsat. Základ každého zpevnění a přechodných opatření k PHP2Shell.
Číst dál →12Verze PHP a cyklus vydávání
Každý rok v listopadu vychází nová verze PHP, která je udržována čtyři roky. Které větve kdy končí a co to po PHP2Shell znamená pro vaše plánování.
Číst dál →13PHP 8.0 až 8.5: nejdůležitější novinky
Od match a JIT v PHP 8.0 po operátor pipe a rozšíření URI v PHP 8.5: novinky každé verze, úskalí při upgradu a co přinášejí pro bezpečnost.
Číst dál →14Rozšíření PHP (extensions) srozumitelně
Rozšíření přinášejí do PHP ovladače databází, šifrování nebo cache. Jaké existují druhy, jak je načíst a zkontrolovat a co znamenají pro aktualizace a zpevnění.
Číst dál →15Composer: správce balíčků pro PHP
Composer stahuje a spravuje knihovny, na nichž stavějí moderní projekty PHP. Kdo rozumí composer.json, composer.lock a autoloaderu, nasazuje reprodukovatelně a bezpečněji.
Číst dál →16Frameworky PHP v přehledu
Frameworky dávají aplikacím PHP strukturu, směrování a bezpečnostní prvky. Přehled známých frameworků, kritéria výběru a hranice jejich ochrany.
Číst dál →17Které CMS a e-shopové systémy běží na PHP
Mnoho známých CMS, e-shopů a firemních aplikací běží na PHP. Jak odhadnout, které z vašich webů mohou být postiženy zranitelnostmi PHP jako PHP2Shell.
Číst dál →18PHP a databáze: PDO a mysqli
PHP komunikuje s databázemi přes PDO nebo mysqli. Zde uvidíte rozdíly, bezpečné dotazy s prepared statements a co dělat s přístupy k databázi po incidentu na serveru.
Číst dál →19Relace a cookies v PHP
Relace dělají z bezstavového HTTP přihlášení, které platí přes více stránek. Jak to PHP řeší uvnitř, jaké výchozí hodnoty platí a co má session.upload_progress společného s PHP2Shell.
Číst dál →20Superglobály: $_GET, $_POST, $_FILES a další
Superglobály jsou pole, přes která se kód PHP dostává k datům požadavku. Kdo ví, jak je PHP plní a jaké platí meze, píše bezpečnější kód a lépe rozumí PHP2Shell.
Číst dál →21Jak PHP zpracovává nahrávání souborů
Mezi kliknutím na Nahrát a vaším kódem leží v PHP celý řetězec zpracování. Tato stránka vysvětluje multipart/form-data, dočasné soubory, $_FILES, limity a souvislost s PHP2Shell.
Číst dál →22Typový systém PHP
PHP je dynamicky typované, ale od PHP 7 dostává stále přísnější typový systém. Zde uvidíte typy, nejdůležitější verze a proč striktní porovnávání předchází bezpečnostním chybám.
Číst dál →23Chyby a výjimky v PHP
PHP zná klasická chybová hlášení i výjimky. Tato stránka vysvětluje hierarchii Throwable, čisté ošetření chyb, bezpečná nastavení pro produkci a opatření PHP2Shell k fatal_error_backtraces.
Číst dál →24Objektově orientované programování v PHP
Moderní aplikace PHP jsou téměř vždy objektově orientované. Tato stránka vysvětluje stavební prvky, novinky od PHP 8.0 do 8.4 a proč hrají magické metody roli v bezpečnosti.
Číst dál →25Jmenné prostory a autoloading (PSR-4)
Jmenné prostory řadí kód PHP, autoloading načítá třídy přesně ve chvíli, kdy jsou potřeba. Zde uvidíte, jak PSR-4 přiřazuje názvy tříd souborům a proč je nutné autoloader po incidentu zkontrolovat.
Číst dál →26Standardy PSR od PHP-FIG
PSR jsou společné standardy, na kterých se dohodlo mnoho projektů PHP. Tato stránka uvádí všechna PSR se stavem a ukazuje, která se v praxi uplatní a kde se dotýkají bezpečnosti.
Číst dál →27Správa paměti v PHP: počítání referencí a garbage collection
PHP spravuje paměť pomocí počítání referencí a garbage collectoru pro cykly. Tato stránka vysvětluje mechanismus, nejdůležitější měřicí funkce a proč obě zranitelnosti PHP2Shell souvisejí se stavy paměti.
Číst dál →28memory_limit a Out-of-Memory: co se děje uvnitř
Co se stane, když skript PHP narazí na memory_limit? Mechanismus, nový pevný limit paměti od říjnových záplat a souvislost s CVE-2026-109618.
Číst dál →29Životní cyklus požadavku: start, provedení, shutdown
Jak PHP spouští procesy, vyřizuje požadavky a mezitím uklízí. S fázemi MINIT až MSHUTDOWN a souvislostí s CVE-2026-109619.
Číst dál →30JIT a výkon v PHP 8
Kompilátor JIT překládá PHP do strojového kódu od verze 8.0. U typických webů přináší málo; více přinesou OPcache, aktuální verze a čistá konfigurace.
Číst dál →31Testování kódu PHP: PHPUnit a Pest
PHPUnit je standardní testovací nástroj pro PHP, Pest na něm staví. Kdo má testy, může nasazovat bezpečnostní aktualizace a změny verzí rychleji a s menším rizikem.
Číst dál →32Statická analýza: PHPStan a Psalm
PHPStan a Psalm hledají chyby v kódu PHP, aniž by jej spouštěly. Psalm navíc sleduje nebezpečné toky dat. Zranitelnosti v samotném interpretu PHP nenajde ani jeden z nich.
Číst dál →33Vestavěné bezpečnostní funkce PHP
PHP nabízí bezpečné stavební prvky pro hesla, náhodné hodnoty, escapování, kryptografii a relace. Kdo je důsledně používá, vyhne se nejčastějším chybám aplikací.
Číst dál →34Lokální vývoj PHP: Docker, DDEV a další
Pro lokální vývoj v PHP existuje vestavěný webový server, oficiální image Dockeru a nástroje jako DDEV. Důležité je, aby lokálně běžela stejná verze PHP jako naostro.
Číst dál →35PHP ve srovnání s Node.js, Python a Java
PHP, Node.js, Python a Java se liší hlavně modelem provádění a provozem. Žádný jazyk není sám o sobě bezpečnější; rozhodující je údržba a proces záplatování.
Číst dál →36Jak projekt PHP řeší bezpečnostní zranitelnosti
Zranitelnosti v PHP se hlásí důvěrně, klasifikují se, opravují ve vydání a zveřejňují jako GitHub Security Advisory. PHP2Shell ukazuje průběh v ostrém případě.
Číst dál →37Kompilace PHP ze zdrojového kódu
PHP lze sestavit sám pomocí configure a make. Získáte kontrolu nad rozšířeními a volbami, ale také plnou odpovědnost za každou bezpečnostní aktualizaci.
Číst dál →38Provoz PHP v kontejnerech
PHP v kontejneru potřebuje vhodnou variantu image, produkční konfiguraci, rozumné limity paměti a proces, který image při každém bezpečnostním vydání sestaví znovu.
Číst dál →39Budoucnost PHP
PHP se vyvíjí podle pevných pravidel: čtyři roky podpory na verzi, PHP 8.6 je plánováno na 19. 11. 2026, pro PHP 9.0 existují přijatá RFC, ale žádný termín.
Číst dál →40Základy PHP pro administrátory
Co by administrátoři měli o PHP vědět: které binárky běží, jak funguje konfigurace, jak pracují pooly FPM a které příkazy pomáhají při aktualizacích jako u PHP2Shell.
Číst dál →Každá hodina se počítá. Napište nám hned.
Stručně popište systém, verzi PHP a pozorování. Ozveme se, vyjasníme situaci a budeme pracovat na dálku, dokud nebude incident uzavřen a zdokumentován.