Stručne: Bezpečnostná zraniteľnosť PHP2Shell pozostáva z dvoch kritických chýb v PHP, základe väčšiny webov a internetových obchodov. Útočníci môžu cez ňu bez hesla spúšťať škodlivý kód na webových serveroch. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) varuje stupňom oranžový a radí: ihneď aktualizovať, inak dotknuté servery dočasne odpojiť od siete. Pre vedenie firmy to dnes znamená: určiť zodpovednosť, vyžiadať aktualizáciu a doklad, rozhodnúť o vypnutí a všetko zdokumentovať.
Situácia v troch vetách
Dňa 21. októbra 2026 zverejnil projekt PHP aktualizácie pre dve kritické bezpečnostné zraniteľnosti, známe pod názvom PHP2Shell. Dotknuté je samotné PHP, nie konkrétny produkt, teda potenciálne každý web, e-shop a portál, ktorý beží na PHP. BSI vyhlásilo stupeň varovania 3 (oranžový), bezpečnostné firmy hlásia pokusy o útok, potvrdené úspešné útoky vo väčšom rozsahu neboli podľa BSI spočiatku známe.
Úrady, ako BKA (nemecký Spolkový kriminálny úrad) a viaceré mestá, podľa mediálnych správ svoje weby preventívne vypli. Bola to opatrnosť, nie znak útoku.
Čo zraniteľnosť PHP znamená pre vedenie a podnik
Otázka nie je, či PHP používate. Takmer každý podnik ho niekde používa: web, e-shop, portál pre uchádzačov, zákaznícku zónu, intranet, ticketovací systém, mikrosite agentúry. Otázka je, či sú tieto systémy aktuálne a kto za ne zodpovedá.
Ak sa útok podarí, útočník môže v najhoršom prípade prevziať server. Možné následky sú únik údajov, manipulovaný obsah, presmerovania na podvodné stránky, výpadok e-shopu alebo zneužitie servera na ďalšie útoky. Ak môžu byť dotknuté osobné údaje, pribúdajú oznamovacie povinnosti; lehota podľa čl. 33 GDPR je spravidla 72 hodín. Podrobnosti nájdete pod Oznamovacia povinnosť podľa GDPR. Toto nie je právne poradenstvo.
Aké náklady typicky vznikajú v krízovom prípade, zaraďuje príspevok Nákladové položky hacku.
Kde sa PHP v podnikoch často prehliada
Hlavný web majú väčšinou na očiach. Prehliadajú sa skôr systémy na okraji: portál pre uchádzačov od externého poskytovateľa, vstupná stránka z minulej kampane, partnerská zóna pre predajcov, ticketovací systém podpory, dátový cloud na vlastnom serveri alebo webové rozhranie sieťového úložiska. Aj testovacie systémy agentúr sú často verejne dostupné a bežia na tom istom serveri ako skutočný web.
Pre vedenie je poučenie jednoduché: otázka na IT neznie „Je náš web zaplátaný?“, ale „Sú zaplátané všetky naše systémy s PHP, aj tie od dodávateľov?“. Rozdiel medzi oboma otázkami je často presne miesto, kde má útok úspech.
Čo situácia nie je
Rovnako dôležité je zaradenie nadol. PHP2Shell nie je dôvod na aktivizmus, ktorý narúša prevádzku viac, než je nutné. Kto doložene zaplátal, reštartoval všetky procesy PHP a pri kontrole nenašiel nič nápadné, sa môže vrátiť do bežnej prevádzky. Dočasné vypnutie je možnosť pre nevyjasnené prípady, nie povinnosť pre všetkých.
Päť otázok pre vaše IT alebo poskytovateľa služieb
Tieto otázky môžete položiť ešte dnes. Odpovede by mali prísť písomne.
- Ktoré z našich systémov bežia s PHP? Zoznam s adresou, účelom a prevádzkovateľom.
- Je každý systém zaplátaný? Opravená verzia 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, alebo backport potvrdený poskytovateľom.
- Boli všetky procesy PHP reštartované? Bez reštartu aktualizácia nezaberie.
- Čo so systémami na PHP 8.1 alebo staršom? Pre ne neexistujú oficiálne aktualizácie. Aký je plán?
- Bolo skontrolované, či sa pred aktualizáciou niečo stalo? Logy od 20. októbra zálohované, stopy hľadané?
Ak váš web leží u poskytovateľa hostingu, pomôže formálna žiadosť. Vzor ponúka sprievodca Vyžiadať od poskytovateľa hostingu potvrdenie aktualizácie PHP.
Rozhodnutia, ktoré by mali padnúť dnes
| Rozhodnutie | Možnosti | Základ |
|---|---|---|
| Kto riadi? | zodpovedná osoba interne, externý partner | zodpovednosť musí byť jednoznačná |
| Nezaplátané systémy | ihneď zaplátať, prechodné opatrenia, dočasne vypnúť | odporúčanie BSI, údajová situácia, význam pre tržby |
| Kontrola stôp | interne, externe, len pri nápadnostiach | potreba ochrany údajov na serveri |
| Komunikácia | informovať interne, pripraviť zákazníkov, počkať | situácia po kontrole |
| Staré systémy | naplánovať migráciu, izolovať, vypnúť | PHP 8.1 a staršie bez oficiálnych aktualizácií |
Zaznamenajte, kto, kedy, čo rozhodol a na akom informačnom základe. Stačí krátka, datovaná poznámka. Je často cennejšia voči poisťovniam, zákazníkom alebo dohľadovým orgánom než akékoľvek dodatočné vysvetlenie.
Prečo je táto dokumentácia pre vedenie dôležitá, vysvetľuje stránka Zodpovednosť vedenia pri bezpečnostných zraniteľnostiach IT. Toto je všeobecná informácia a nie právne poradenstvo.
Čomu by ste nemali veriť
Tri tvrdenia dnes konatelia často počujú a všetky tri sú nesprávne:
- „Aktualizovali sme WordPress, takže sme v bezpečí.“ Zraniteľnosť je v PHP, nie v CMS. Aktualizácia CMS ju neuzavrie.
- „Sme príliš malí, nikto nás nenapadne.“ Útoky bežia automatizovane. Hľadajú sa zraniteľné servery, nie známe mená.
- „Aktualizácia je nasadená, takže téma je vybavená.“ Záplata neodstráni škodlivý softvér, ktorý bol zavlečený predtým, a nedokazuje, že sa nič nestalo.
Ako konkrétne pomáha PHP SOS?
- Obraz situácie pre vedenie: Vypracujeme krátky prehľad vašich systémov PHP so stavom a odporúčaním pre každý systém.
- Realizácia: Záplatujeme, reštartujeme alebo nastavujeme prechodné opatrenia tam, kde aktualizácia ešte nie je možná.
- Kontrola: Zálohujeme logy a hľadáme stopy útoku.
- Doklad: Dostanete dokumentáciu, ktorú môžete použiť interne aj voči tretím stranám.
Postup popisuje okamžitá pomoc pri PHP2Shell.
Záver
PHP2Shell je technická zraniteľnosť s manažérskou úlohou. Techniku vybavia odborníci. Vedenie firmy sa postará o to, aby bol niekto zodpovedný, aby boli zodpovedané päť otázok a aby rozhodnutia padli vedome a boli zdokumentované. Zmestí sa to do jedného predpoludnia, ak sa začne dnes.
Časté otázky
Musí sa vedenie firmy o PHP2Shell starať samo?
Technickú realizáciu nie, riadenie áno. Vedenie by malo zabezpečiť, aby boli zodpovednosti jasné, odporúčanie BSI sa realizovalo a rozhodnutia, ako je dočasné vypnutie, boli prijaté vedome a zdokumentované.
Ako vysvetlím zraniteľnosť jednou vetou?
V PHP, softvéri, na ktorom beží väčšina webov a e-shopov, sú dve kritické chyby, cez ktoré môžu cudzie osoby bez hesla spúšťať programy na serveri; aktualizácia je k dispozícii a musí sa nasadiť.
Koľko stojí nič nerobiť?
Paušálne sa to vyčísliť nedá. Možné následky úspešného útoku sú výpadky, únik údajov, oznamovacie povinnosti, náklady na vyčistenie a forenznú analýzu a strata dôvery zákazníkov. Aktualizácia s kontrolou je spravidla podstatne menej náročná.
Stačí, ak sa o to postará poskytovateľ hostingu?
Pri zdieľanom hostingu aktualizáciu spravidla nasadzuje poskytovateľ hostingu. Nechajte si to písomne potvrdiť, vrátane reštartu procesov PHP. Či sa pred aktualizáciou niečo stalo, potvrdenie nezodpovie; na to je potrebná kontrola webu.