# PHP2Shell: vše o kritické zranitelnosti PHP

> PHP2Shell srozumitelně: CVE-2026-109618 a CVE-2026-109619, postižené verze, kontrola, restart a přechodná opatření.

Zdroj: https://phpsos.de/cs/php2shell/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

Dvě kritické zranitelnosti přímo v PHP, CVSS 9.2, škodlivý kód bez přihlášení. Zde najdete, co je doloženo, které verze jsou bezpečné a co nyní udělat.

- [Co je PHP2Shell? Zranitelnost srozumitelně](https://phpsos.de/cs/php2shell/was-ist-php2shell/): PHP2Shell jsou dvě kritické zranitelnosti přímo v PHP, přes které mohou útočníci bez přihlášení spouštět kód na webových serverech. Situace jasnými slovy.
- [CVE-2026-109618: RCE přes stav nedostatku paměti](https://phpsos.de/cs/php2shell/cve-2026-109618/): CVE-2026-109618 je jedna ze dvou zranitelností PHP2Shell: stav out of memory může přerušit PHP uprostřed zpracování požadavku. Opraveno od PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
- [CVE-2026-109619: RCE přes zastaralý globální stav](https://phpsos.de/cs/php2shell/cve-2026-109619/): CVE-2026-109619 je druhá zranitelnost PHP2Shell: vnitřní stav požadavku může po uvolnění paměti přetrvat a využije ho další požadavek ve stejném workeru.
- [CVE-2026-115560: upozornění k session upload progress](https://phpsos.de/cs/php2shell/cve-2026-115560/): CVE-2026-115560 je upozornění php.net z 23. 10. 2026: možné spuštění kódu jen při neobvyklé konfiguraci session. Řešení do dalšího vydání: session.upload_progress.enabled=0.
- [Které verze PHP jsou postižené?](https://phpsos.de/cs/php2shell/betroffene-php-versionen/): PHP2Shell je opraveno v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují. Tabulka ukazuje stav pro každou větev.
- [Jak správně ověřit verzi PHP a stav záplaty](https://phpsos.de/cs/php2shell/php-version-pruefen/): Zobrazená verze PHP sama neřekne, zda je PHP2Shell uzavřeno. Rozhodují stav balíčku, backporty a to, zda skutečně běží nové procesy.
- [Proč nese mod_php nejvyšší riziko](https://phpsos.de/cs/php2shell/mod-php-risiko/): U Apache s mod_php hodnotí tým PHP riziko PHP2Shell jako nejvyšší: tam byl předveden exploit dřív, než se spustí kód aplikace. Jak zkontrolovat a jednat.
- [Po aktualizaci: restart PHP-FPM a všech workerů](https://phpsos.de/cs/php2shell/php-fpm-neustart/): Aktualizace PHP začne působit až po restartu všech procesů PHP. Zde jsou příkazy pro PHP-FPM, Apache, LiteSpeed a kontejnery a jak restart ověřit.
- [Okamžitá opatření, když zatím nelze záplatovat](https://phpsos.de/cs/php2shell/sofortmassnahmen-ohne-patch/): Pokud aktualizace PHP zatím není možná, přechodná opatření z php.net riziko snižují, ale plně nechrání. Jak je správně nastavit.
- [PHP 8.1 a starší: co nyní platí](https://phpsos.de/cs/php2shell/php-8-1-und-aelter/): Pro PHP 8.1, 8.0, 7.4 a starší verze neexistují proti PHP2Shell oficiální aktualizace. Co zdrojové backporty zvládnou a jak vypadá cesta k podporované verzi.
- [Záplatování PHP v kontejnerech Dockeru](https://phpsos.de/cs/php2shell/docker-container-patchen/): Kontejnery se samy nezáplatují. Proti PHP2Shell musíte image PHP znovu sestavit nebo stáhnout a každý kontejner vytvořit z nového image.
- [Jsem už napaden? Známky po PHP2Shell](https://phpsos.de/cs/php2shell/bin-ich-gehackt-anzeichen/): Pro PHP2Shell neexistují potvrzená IOC. Podle čeho přesto poznáte, zda byl váš server napaden, a jak kontrolovat, aniž byste zničili stopy.