Nezáplatované PHP sú otvorené dvere. My ich zatvoríme.
Núdzová pomoc na diaľku pre firmy v Európe: záplatovanie PHP, kontrola stôp po vniknutí, odstránenie škodlivého kódu, hardening servera. Okamžite, so špecializovanými partnermi, kým nie je incident uzavretý a zdokumentovaný.
$ php -v PHP 8.3.35 (cli) (built: Sep 30 2026) ! Stav pred záplatou z 21. 10. 2026 $ phpsos pruefen --ziel produktion Režim prevádzky .. php-fpm CVE-2026-109618 .. otvorené CVE-2026-109619 .. otvorené Reštart workerov .. čaká sa $ phpsos absichern [ok] Balík 8.3.36 nasadený [ok] všetky workery reštartované [ok] Súborový systém skontrolovaný na webshelly [ok] Správa pre vedenie vypracovaná
- Made in GermanyIT bezpečnosť z Nemecka, práca v súlade s európskym právom na ochranu osobných údajov.
- Viac ako 25 rokovViac ako 25 rokov sa spolu s našou sieťou partnerov špecializujeme na IT bezpečnosť a prevádzku serverov.
- Sieť partnerovŠpecializovaní kybernetickí odborníci na forenznú analýzu, penetračné testy a zabezpečenie serverov, koordinovaní jedným kontaktným bodom.
Týka sa to Vás? Zavolajte nám. Pomôžeme.
Napadnutie, zablokovanie, nájdený webshell alebo neistota, či sa Vás PHP2Shell týka: ozvite sa nám hneď. Prípadu sa ujímame od prvej správy, na diaľku a bez nutnosti dochádzať.
Je vaše PHP už záplatované?
Zadajte svoju verziu PHP. Test ju porovná s bezpečnostnými hláseniami php.net a povie, čo robiť ďalej. Dôležité: ani záplatovaná verzia nedokazuje, že sa pred aktualizáciou nič nestalo.
Aká naliehavá je vaša situácia?
Štyri otázky, jedno zaradenie, prvé kroky a pripravená správa na WhatsApp pre nás. Pri stupni 3 platí: nič nemazať, nič nenasadzovať odznova, zabezpečiť stopy.
Od núdzového volania po spevnený server
Technickú stránku prevezmeme my a dodáme doklady, ktoré potrebuje vedenie, ochrana údajov a poisťovňa.
Okamžitá pomoc pri PHP2Shell: pomoc pri bezpečnostnej chybe PHP
PHP2Shell na vašich webových serveroch uzavrieme na diaľku: inventúra, záplata alebo prechodné opatrenie, reštart všetkých workerov a písomný doklad.
Čítať ďalej →02Web hacknutý, čo robiť? Núdzová pomoc na diaľku
Je váš web hacknutý alebo sa správa nápadne? Na diaľku prevezmeme zastavenie útoku, zabezpečenie stôp, vyčistenie a dokumentáciu.
Čítať ďalej →03Služba záplatovania PHP: aktualizácia s reštartom a dokladom
Aktualizáciu PHP nasadíme na vaše servery, reštartujeme všetky procesy PHP a dodáme písomný doklad o verzii, stave balíkov a reštarte.
Čítať ďalej →04Spevnenie zabezpečenia (hardening) webových serverov s PHP
Webové servery s PHP spevníme podľa pevného plánu: izolácia každého webu, bezpečná konfigurácia PHP, práva k súborom, prístupy, protokoly a zálohy.
Čítať ďalej →05Odstránenie malvéru a webshellov z webu
Odstraňujeme škodlivý kód, webshelly a zadné vrátka z webov a serverov, znovu zostavujeme z dôveryhodných zdrojov a uzatvárame vstupnú bránu.
Čítať ďalej →06Incident Response pri útokoch na servery
Štruktúrované spracovanie incidentov pri útokoch na webové servery: obraz situácie, zastavenie, odstránenie, obnova a následné vyhodnotenie s pevnými rolami.
Čítať ďalej →Takto pracujeme v krízovej situácii
Jasné kroky, jeden kontaktný človek, všetko na diaľku. Ak je potrebná forenzná analýza alebo penetračný test, pridajú sa špecialisti z našej partnerskej siete.
Zmapovať situáciu
Napíšete nám cez WhatsApp alebo zavoláte. Vyjasníme systém, verziu PHP, poskytovateľa hostingu a pozorovania.
Zabezpečiť a uzavrieť
Zabezpečenie stôp, záplatovanie PHP alebo nastavenie prechodných opatrení, reštart všetkých workerov, doklad o stave záplat.
Skontrolovať a vyčistiť
Kontrola súborov, databázy, účtov a logov na stopy po vniknutí. Odstránenie webshellov a zadných vrátok.
Spevniť a podať správu
Hardening konfigurácie, nastavenie monitoringu, správa pre vedenie, ochranu údajov a poisťovňu.
Záplata zatiaľ nie je možná? Prechodné opatrenia
php.net uvádza nastavenia, ktoré sťažujú známe cesty útoku, kým nie je nasadená aktualizácia. Vyberte svoj režim prevádzky, skopírujte riadky a potom reštartujte všetky procesy PHP.
BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča: ak aktualizácia nie je možná okamžite, webový server dočasne odpojiť od siete.
Prechodné opatrenia podľa php.net, nenahrádzajú aktualizáciu. memory_limit=-1 iba spolu s limitom pamäte cez kontajner alebo cgroup. Konfiguráciu si najprv zálohujte.
Kto čo robí? Medzera medzi poskytovateľom hostingu a agentúrou
Mnohé firmy sa spoliehajú na to, že záplatuje „niekto“. Rozdelenie spravidla vyzerá takto:
| Úloha | Poskytovateľ hostingu (zdieľaný hosting) | Agentúra / webdizajn | PHP SOS |
|---|---|---|---|
| Aktualizovať balík PHP | väčšinou áno | väčšinou nie | áno, alebo spolu s vaším poskytovateľom hostingu |
| Reštartovať všetky workery a preukázať to | čiastočne | nie | áno, s dokladom |
| Skontrolovať, či k vniknutiu nedošlo už pred záplatou | spravidla nie | čiastočne | áno |
| Odstrániť webshelly a zadné vrátka | spravidla nie | čiastočne | áno |
| Správa pre vedenie, ochranu údajov a poisťovňu | nie | zriedka | áno |
| Hardening a priebežný monitoring | čiastočne | čiastočne | áno |
Čo je preukázané a čo teraz urobiť
Fakty z hlásení php.net a nemeckého BSI, spracované pre vedenie a administrátorov.
Čo je PHP2Shell? Zraniteľnosť jednoducho vysvetlená
PHP2Shell sú dve kritické zraniteľnosti v samotnom PHP, cez ktoré môžu útočníci bez prihlásenia spúšťať kód na webových serveroch. Situácia jasnými slovami.
Čítať ďalej →CVE-2026-109618: RCE cez stav out-of-memory
CVE-2026-109618 je jedna z dvoch zraniteľností PHP2Shell: stav out-of-memory môže PHP prerušiť uprostred spracovania požiadavky. Opravené od PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
Čítať ďalej →CVE-2026-109619: RCE cez zastaraný globálny stav
CVE-2026-109619 je druhá zraniteľnosť PHP2Shell: vnútorný stav požiadavky môže po uvoľnení pamäte zostať zachovaný a využiť ho môže ďalšia požiadavka v tom istom workerovi.
Čítať ďalej →CVE-2026-115560: upozornenie k session upload progress
CVE-2026-115560 je upozornenie php.net z 23. 10. 2026: možné spustenie kódu iba pri nezvyčajnej konfigurácii relácií. Náprava do ďalšieho vydania: session.upload_progress.enabled=0.
Čítať ďalej →Ktoré verzie PHP sú dotknuté?
PHP2Shell je opravené v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie. Tabuľka ukazuje stav pre každú vetvu.
Čítať ďalej →Správne overenie verzie a stavu záplat PHP
Zobrazená verzia PHP sama nehovorí, či je PHP2Shell uzavreté. Rozhodujú stav balíka, backporty a to, či naozaj bežia nové procesy.
Čítať ďalej →Pre vašu platformu a váš server
Kde sa škodlivý kód skrýva vo WordPress, Shopware alebo TYPO3 a ako sa skutočne záplatuje na Plesk, cPanel alebo v kontajneri.
Platformy
Server a hosting
Každé odvetvie má iné údaje, o ktoré môže prísť
Zdravotné údaje, tajomstvo klientov, platobné údaje: kontrolu a správu prispôsobíme vašim povinnostiam.
10 krokov, kým prevezmeme vec my
Odškrtnite, čo je hotové. Zoznam zostane uložený vo vašom prehliadači.
Zaškrtnutia sa ukladajú iba vo vašom prehliadači.
72 hodín, NIS2, poistenie
Všeobecná orientácia pre vedenie. Nie je to právne poradenstvo.
Oznamovacia povinnosť podľa GDPR: 72 hodín po incidente
Po útoku na webový server môže vzniknúť povinnosť oznámiť incident dozornému orgánu. Tu všeobecne: kedy plynie 72 hodín a čo k tomu patrí.
Čítať ďalej →NIS2 a bezpečnosť webserverov
NIS2 ukladá mnohým firmám povinnosť riadiť riziká a podávať hlásenia. Tu všeobecne: čo to znamená pre webservery a kde nájdete spoľahlivé údaje.
Čítať ďalej →Kybernetické poistenie: čo platí pri poistnej udalosti
Pri útoku často o plnení rozhoduje včasné informovanie poisťovateľa, zabezpečené dôkazy a dohodnuté kroky. Tu všeobecne uvádzame typické body.
Čítať ďalej →Zodpovednosť konateľa pri bezpečnostných medzerách v IT
IT bezpečnosť je úloha vedenia. Tu všeobecne: aké povinnosti starostlivosti platia a ako konatelia pri zraniteľnostiach ako PHP2Shell rozhodujú zrozumiteľne.
Čítať ďalej →Odborné články pre administrátorov a vývojárov
Časová os PHP2Shell: chronológia od 17. do 25. októbra 2026
Všetky doložené dátumy k PHP2Shell na jednom mieste, od prvého pozorovaného pokusu o útok po stav k 25. 10. 2026, a čo z nich vyplýva pre vašu kontrolu.
Čítať ďalej →Potvrdenie aktualizácie PHP od hostingu: ako sa opýtať na stav záplat
Zobrazená verzia PHP po PHP2Shell dokazuje málo. S týmto vzorom si od poskytovateľa hostingu vyžiadate potvrdenie, ktoré môžete zdokumentovať.
Čítať ďalej →Rozpoznať webshell a odstrániť ju
Ako vypátrať backdoory na webových serveroch s PHP bez zničenia stôp a prečo samotné zmazanie zriedka stačí.
Čítať ďalej →Nájsť backdoor vo WordPresse: systematické vypátranie backdoorov
Kde sa backdoory vo WordPresse typicky ukrývajú a ako ich administrátori systematicky vypátrajú pomocou WP-CLI a niekoľkých príkazov.
Čítať ďalej →Bezpečná konfigurácia php.ini
Ktoré nastavenia v php.ini zmenšujú útočnú plochu, ako ich chrániť pred prepísaním a čo platí po PHP2Shell navyše.
Čítať ďalej →PHP disable_functions správne nasadiť
Pomocou disable_functions zablokujete rizikové funkcie PHP. Ako určiť zoznam podľa svojej aplikácie bez ochromenia webu.
Čítať ďalej →Situácia, návody, pomôcky pri rozhodovaní
Od stupňa varovania BSI cez changelogy balíkov až po otázku, či systém nasadiť odznova, alebo vyčistiť. Každý článok so zdrojmi.
PHP2Shell: čo je preukázané a čo nie
Kontrola faktov k PHP2Shell: ktoré tvrdenia pochádzajú z primárnych zdrojov, ktoré z mediálnych správ a ktoré tvrdenia sa neudržia.
Čítať ďalej →Zmena verzie PHP v zákazníckej zóne hostingu
Ako v zákazníckej zóne poskytovateľa hostingu prepnúť verziu PHP, ktorú verziu zvoliť a čo skontrolovať pred prepnutím a po ňom.
Čítať ďalej →Varovný signál: webový server spúšťa shell
Ak proces PHP-FPM alebo webového servera spustí shell, je to jeden z najsilnejších varovných signálov vlámania. Ako preveriť strom procesov, zaradiť výnimky a vzorec trvalo sledovať.
Čítať ďalej →Izolácia poolov PHP-FPM pre každý web
Vlastný pool pre každý web je začiatok, nie koniec. Takto skontrolujete existujúce pooly a sprísnite sockety, prípony, stavové stránky, zdroje a protokoly.
Čítať ďalej →Bezpečné ukladanie hesiel v PHP: správne použitie password_hash
Ako vývojári ukladajú v PHP heslá pomocou password_hash a password_verify, vyberajú vhodný postup a nahrádzajú staré hashe MD5 alebo SHA-1 bez resetu hesla pre všetkých používateľov.
Čítať ďalej →Zmluvy s IT dodávateľmi: jasne upraviť bezpečnostné povinnosti
PHP2Shell ukázal, ako často je nejasné, kto má záplatovať. Ktoré bezpečnostné povinnosti patria do zmlúv s agentúrou, hosterom a IT dodávateľom.
Čítať ďalej →Programovací jazyk PHP jednoducho vysvetlený
Ako PHP vytvára stránku, čo sú SAPI, PHP-FPM a OPcache a prečo práve to rozhoduje o bezpečnosti. K tomu slovník so všetkými odbornými pojmami.
Čo je PHP2Shell?
PHP2Shell označuje dve kritické zraniteľnosti v samotnom PHP (CVE-2026-109618 a CVE-2026-109619, CVSS 9.2). Môžu útočníkom umožniť spustiť na serveri škodlivý kód bez prihlásenia. Záplaty sú dostupné od 21. 10. 2026.
Ktoré verzie PHP sú bezpečné?
Opravy sú obsiahnuté vo verziách PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Poskytovatelia hostingu a distribúcie niekedy nasadzujú backporty bez zmeny čísla verzie. Rozhodujúci je stav balíka alebo písomné potvrdenie poskytovateľa.
Stačí aktualizácia WordPressu alebo obchodu?
Nie. Zraniteľnosť je v PHP, nie v CMS. Aktualizácia CMS ju neuzavrie. A záplata PHP neodstráni škodlivý kód, ktorý sa do systému dostal už predtým.
Ako rýchlo dokážete pomôcť?
Pracujeme na diaľku a začíname, hneď ako máme prístupy. Napíšte nám cez WhatsApp systém, verziu PHP a svoje pozorovanie. Postup si potom vyjasníme priamo.
Pracujete aj pre agentúry a zákazníkov poskytovateľov hostingu?
Áno. Pracujeme priamo pre firmy, na pozadí v zastúpení agentúr a v koordinácii s vaším poskytovateľom hostingu, ak server spravuje on.
Musíme incident nahlásiť?
Ak môže ísť o osobné údaje, platí podľa čl. 33 GDPR spravidla lehota na oznámenie 72 hodín od okamihu, keď ste sa o incidente dozvedeli. Či sa uplatní, vyjasnite so svojím zodpovedným pracovníkom pre ochranu údajov. Technickú dokumentáciu k tomu dodáme my.
Každá hodina sa počíta. Napíšte nám hneď.
Stručne opíšte systém, verziu PHP a svoje pozorovanie. Ozveme sa, vyjasníme situáciu a budeme pracovať na diaľku, kým nebude incident uzavretý a zdokumentovaný.