# PHP2Shell: obraz situácie prvého týždňa

> PHP2Shell aktuálne: čo je po týždni preukázané, ako BSI a CERT hodnotia situáciu, čo je známe o útokoch a čo majú prevádzkovatelia teraz skontrolovať.

Zdroj: https://phpsos.de/sk/blog/lagebild-erste-woche/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Týždeň po prvom pozorovanom pokuse o útok je PHP2Shell aktuálne predovšetkým otázkou realizácie: záplaty pre PHP 8.2 až 8.5 sú k dispozícii od 21. októbra, veľké distribúcie nadviazali, BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) varuje stupňom oranžový. Pokusy o útok boli pozorované, potvrdené úspešné útoky vo väčšom rozsahu BSI spočiatku nehlásilo. Otvorené zostávajú staré verzie, nereštartované servery a otázka, čo sa stalo pred záplatou.

## Situácia v troch vetách

PHP2Shell sú dve kritické zraniteľnosti v samotnom interpreteri PHP, CVE-2026-109618 a CVE-2026-109619, každá hodnotená CVSS v4.0 9,2. Umožňujú vykonanie kódu na diaľku bez prihlásenia, teda prípad, ktorého sa bezpečnostní ľudia boja najviac. Dotknuté sú PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed; najvyššie riziko vidí tím PHP pri mod_php.

Tento prehľad zaraďuje stav z 25. októbra 2026 podľa aktérov. Priebeh deň po dni nájdete v [chronológii PHP2Shell](https://phpsos.de/sk/ratgeber/php2shell-chronologie/), tu ide o celkový obraz.

## Čo je po týždni preukázané

Isté sú údaje projektu PHP: vydania 8.5.12, 8.4.27, 8.3.36 a 8.2.35 z 21. októbra uzatvárajú obe zraniteľnosti. Pre PHP 7.4, 8.0 a 8.1 existujú len minimálne backporty zdrojového kódu, žiadne oficiálne vydania. php.net zdôrazňuje, že neexistujú úplné prechodné opatrenia a aktualizácia je jediná bezpečná cesta.

Dňa 23. októbra pribudlo upozornenie na CVE-2026-115560. Týka sa len nezvyčajnej konfigurácie session; ako nápravu uvádza php.net `session.upload_progress.enabled=0` do nasledujúceho riadneho vydania s opravami chýb.

Aj veľké distribúcie zaujali stanovisko. Oficiálne hlásenia sme skontrolovali:

| Poskytovateľ | Stav podľa oficiálneho hlásenia |
|---|---|
| Ubuntu | USN-8948-1 pre 22.04, 24.04, 26.04 a 26.10; USN-8948-2 pre 14.04 až 20.04 cez Ubuntu Pro |
| Debian | Opravené balíky pre bookworm (php8.2, DLA-4848-1) a trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 pre RHEL 7 až 10; niektoré aktualizácie dostupné, ďalšie v príprave |

Red Hat zaraďuje CVE-2026-109618 vlastným hodnotením ako „Important“ a odôvodňuje to vyššou zložitosťou útoku. Je to iná metóda hodnotenia než u projektu PHP a nie je to dôvod aktualizáciu odkladať.

## Ako úrady situáciu hodnotia

BSI vyhlásilo stupeň varovania 3 (oranžový). Odporúča okamžitú aktualizáciu a, ak to hneď nejde, dotknuté webové servery dočasne odpojiť od siete. BSI počítalo s rýchlym plošným zneužívaním. Čo zaradenie znamená, vysvetľuje stránka [Čo BSI k PHP2Shell odporúča](https://phpsos.de/sk/compliance/bsi-empfehlungen/).

Podľa správ CERT-EU (tím CERT inštitúcií EÚ) považuje za možné, že sú dotknuté verzie od PHP 5, a radí izolovať verejne dostupné aplikácie, ak sa nedajú zaplátať včas. Varovali aj CERT-Bund (nemecký vládny CERT) a bezpečnostná firma Huntress.

Odporúčanie v núdzi vypnúť bolo viditeľne realizované. Podľa mediálnych správ mesto Mainz preventívne odpojilo svoj centrálny webový portál od siete; úrady zostali dosiahnuteľné telefonicky a e-mailom. V Hesensku boli podľa hessenschau dočasne offline stránky krajinskej vlády, BKA (nemecký Spolkový kriminálny úrad) a miest Kassel a Wiesbaden. Štátna kancelária žiadny útok nehlásila, stránky boli večer opäť dostupné. Ďalšie obce, vysoké školy a kliniky konali podľa správ podobne.

## Čo je známe o útokoch

Tu je rozlíšenie medzi pozorovaním a potvrdením obzvlášť dôležité.

- **Pozorované:** Podľa mediálnych správ bol 17. októbra prvý pokus o útok, ktorý pozoroval Amazon. Cloudflare a Patchstack hlásili pokusy o útok; Cloudflare navyše videl zmenené vzory útokov.
- **Zreprodukované:** watchTowr CVE-2026-109618 podľa správ podľa vlastných údajov zreprodukoval.
- **Nepotvrdené:** BSI spočiatku nehlásilo žiadne potvrdené úspešné zneužitia vo väčšom rozsahu. Huntress v čase svojho hlásenia nezaznamenal žiadne útoky v prostrediach partnerov.
- **Neznáme:** Neexistujú zverejnené, potvrdené Indicators of Compromise. Kto chce overiť, či je server dotknutý, musí sledovať vzorce správania.

K rozsahu kolujú dve čísla. Výskumníci z Unit 42 v Palo Alto Networks dospeli k viac ako 22,6 milióna potenciálne zraniteľných inštancií dostupných zo siete. CybelAngel uvádza približne 2,24 milióna dostupných hostiteľov PHP, z toho podľa vlastného vyhodnotenia 59 percent na verziách bez budúcej oficiálnej opravy. Obe merajú rozdielne veci a nie sú priamo porovnateľné. Zaradenie poskytuje príspevok [Správne zaradiť čísla](https://phpsos.de/sk/blog/exponierte-instanzen-einordnen/).

## Čo zostáva otvorené

Tri otázky určia najbližšie týždne:

1. **Staré verzie:** Veľká časť dostupných inštalácií PHP beží podľa uvedených vyhodnotení na vetvách bez oficiálnej opravy. Či komerčné ponuky dlhodobej podpory PHP2Shell pokrývajú, treba vždy písomne potvrdiť u poskytovateľa.
2. **Neúplné aktualizácie:** Nové balíky zaberú až po reštarte všetkých procesov PHP. Red Hat výslovne upozorňuje, že pouhé opätovné načítanie nestačí.
3. **Čas pred záplatou:** Medzi 17. a 21. októbrom boli servery zraniteľné, kým už prebiehali pokusy o útok. Záplata nedokazuje, že sa v tomto čase nič nestalo.

> **Dôležité:**
> Uchovajte logy webového servera a PHP od 20. októbra, ako odporúča odborná tlač. Bez logov sa najdôležitejšia otvorená otázka pre váš server neskôr už zodpovedať nedá.

## Čo by mali prevádzkovatelia teraz skontrolovať

Na vlastné posúdenie situácie stačia štyri kontrolné body pre každý server: Je PHP na opravenej verzii alebo na potvrdenom backporte? Bežia všetky procesy od aktualizácie? Je `session.upload_progress.enabled` vypnuté na strane servera, kým advisory k CVE-2026-115560 chýba? Existujú nápadnosti od 17. októbra?

Pre posledný bod pomáha stránka [Som už kompromitovaný?](https://phpsos.de/sk/php2shell/bin-ich-gehackt-anzeichen/). Proces webového servera, ktorý spúšťa shell, nové súbory PHP v priečinkoch s uploadmi, neznáme cronjoby alebo kľúče SSH sú varovné signály, ktoré odôvodňujú podrobnejšie vyšetrenie.

## Ako konkrétne pomáha PHP SOS?

- Stav záplat každého servera hodnotíme podľa stavu balíka, changelogu a časov spustenia procesov.
- Kde záplata nie je k dispozícii, nastavujeme prechodné opatrenia z php.net a objasňujeme cestu k podporovanej verzii.
- Zálohujeme logy od 20. októbra a hľadáme stopy z obdobia pred záplatou.
- V [okamžitej pomoci pri PHP2Shell](https://phpsos.de/sk/leistungen/php2shell-soforthilfe/) tieto kroky spájame pre podniky, ktoré potrebujú rýchlo jasno.


## Časté otázky

**Zneužíva sa PHP2Shell už aktívne?**  
Cloudflare a Patchstack hlásili pokusy o útok. Potvrdené úspešné útoky vo väčšom rozsahu BSI spočiatku nehlásilo. Huntress v čase svojho hlásenia nezaznamenal žiadne útoky v prostrediach partnerov.

**Je nebezpečenstvo po záplatách preč?**  
Nie. Záplaty chránia len servery, ktoré ich nainštalovali a reštartovali všetky procesy PHP. Systémy na PHP 8.1 a starších zostávajú bez potvrdeného backportu zraniteľné a záplata neodstráni škodlivý softvér zavlečený predtým.

**Prečo boli weby úradov offline?**  
Podľa mediálnych správ okrem iných mesto Mainz a viaceré miesta v Hesensku svoje weby preventívne vypli. To zodpovedá odporúčaniu BSI pre servery, ktoré sa nedajú okamžite aktualizovať. Vypnutie neznamená, že k útoku došlo.

**Existujú rozpoznávacie znaky útoku PHP2Shell?**  
Zverejnené a potvrdené Indicators of Compromise zatiaľ neexistujú. Rozpoznanie sa opiera o analýzu správania, napríklad procesy PHP, ktoré spúšťajú shell, alebo nové súbory PHP v priečinkoch s uploadmi.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [BSI](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [hessenschau: weby úradov v Hesensku vypnuté](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1)