Stručne: K preukázaným faktom o PHP2Shell patria obe čísla CVE, hodnotenie CVSS v4.0 9,2, opravené verzie PHP a prechodné opatrenia z php.net. Preukázaný je aj stupeň varovania 3 (oranžový) od BSI (nemecký Spolkový úrad pre informačnú bezpečnosť). Nepreukázané sú hodnotenie CVSS 10, potvrdené úspešné útoky vo väčšom rozsahu a zoznam rozpoznávacích znakov. Kto tieto tri úrovne oddelí, rozhoduje lepšie.
Prečo je kontrola faktov k PHP2Shell potrebná
Len máloktorá bezpečnostná zraniteľnosť posledných rokov vyvolala také množstvo titulkov tak rýchlo. Ešte predtým, než tím PHP 21. októbra 2026 zverejnil aktualizácie, kolovali podľa správ príspevky vo fórach, snímky obrazovky a údajné podrobnosti. Potom nasledovali varovania úradov, blogy výrobcov, sčítania vystavených serverov a záplava tipov.
Pre prevádzkovateľov z toho vyplýva: nie každé číslo a nie každá rada má rovnakú kvalitu. Časť pochádza z primárnych zdrojov, časť zo serióznej publicistiky, časť zo špekulácií. Tento článok roztrieďuje, čo môžete pri rozhodovaní používať ako overené. Základy samotnej zraniteľnosti vysvetľuje stránka Čo je PHP2Shell?.
Akú váhu majú jednotlivé zdroje
Pri čítaní každého hlásenia pomáha jednoduché poradie:
- php.net: Projekt PHP je primárnym zdrojom čísel CVE, hodnotení, dotknutých spôsobov prevádzky, opravených verzií a prechodných opatrení. Ako projekt vo všeobecnosti zaobchádza s bezpečnostnými hláseniami, popisuje náš príspevok o bezpečnostnom procese PHP.
- Úrady: BSI poskytuje zaradenie situácie v Nemecku a odporúčania krokov, CERT-EU (tím CERT inštitúcií EÚ) a CERT-Bund (nemecký vládny CERT) dopĺňajú.
- Distribúcie a poskytovatelia: Debian, Ubuntu, Red Hat, poskytovatelia hostingu a platformové služby sa záväzne vyjadrujú iba k vlastným balíkom a službám.
- Bezpečnostné firmy: Cloudflare, Unit 42, CybelAngel a ďalšie informujú zo svojich vlastných meraní. Cenné, ale vždy s vlastnou metodikou.
- Médiá a sociálne siete: Dobré z hľadiska rýchlosti, slabé v detailoch. Tvrdenia odtiaľ potrebujú potvrdenie z vyššie uvedených zdrojov.
Preukázané, hlásené, nepreukázané: prehľad
Nasledujúca tabuľka zaraďuje najčastejšie tvrdenia. „Preukázané“ znamená: primárny zdroj alebo úrad. „Hlásené“ znamená: z médií alebo od výrobcov, nepotvrdené nezávisle.
| Tvrdenie | Zaradenie | Podklad |
|---|---|---|
| Dve zraniteľnosti, CVE-2026-109618 a CVE-2026-109619 | preukázané | php.net |
| Hodnotenie CVSS v4.0 9,2, kritické | preukázané | php.net |
| Hodnotenie CVSS 10 | neudržateľné | podľa správ z príspevku vo fóre pred hlásením |
| Opravené v 8.5.12, 8.4.27, 8.3.36, 8.2.35 | preukázané | php.net |
| mod_php s najvyšším rizikom, exploit predvedený pred kódom aplikácie | preukázané | php.net |
| Dotknuté takmer všetky verzie až po PHP 5.4 | hlásené | odborná tlač |
| Prvý pokus o útok 17. 10. | hlásené | mediálne správy s odvolaním sa na Amazon |
| Viac ako 22,6 mil. vystavených inštancií | hlásené | Unit 42, podľa TechTarget |
| Úspešné útoky vo väčšom rozsahu | nepreukázané | podľa BSI spočiatku nie sú známe |
| Potvrdené Indicators of Compromise | neexistujú | žiadne zverejnenie |
| Prechodné opatrenia chránia úplne | nepravda | php.net ich výslovne označuje za neúplné |
Nápadné je, ako skoro sa čísla osamostatnia. Hodnotenie 10,0 z príspevku vo fóre sa objavovalo v textoch ešte aj o niekoľko dní neskôr, hoci tím PHP už dávno zverejnil 9,2.
Kde je neistota skutočne
Najväčšia otvorená otázka nie je technická, ale časová: čo sa stalo medzi prvým hláseným pokusom o útok a záplatou na jednotlivých serveroch? Na to neexistuje všeobecná odpoveď. Cloudflare a Patchstack hlásili pokusy o útok, watchTowr podľa vlastných údajov zreprodukoval CVE-2026-109618. Huntress naopak v čase svojho hlásenia nezaznamenal žiadne útoky v prostrediach partnerov.
Tieto tvrdenia si neodporujú. Opisujú rôzne výseky: veľkú proxy službu, firmu zameranú na bezpečnosť zásuvných modulov, výskumný tím a firmu s vlastnou zákazníckou základňou. Celkový obraz z toho nevznikne.
Podobne pri otázke, ktoré verzie sú dotknuté. Pre 8.2 až 8.5 je situácia jasná. Pre staršie vetvy existujú minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1, ale žiadne oficiálne vydania. Čo leží ešte skôr, je podľa odbornej tlače takmer bez výnimky dotknuté. Pre vaše plánovanie to takmer nič nemení: server s PHP 8.1 alebo starším bez potvrdeného backportu treba považovať za ohrozený.
Chýbajúce dôkazy o útokoch nie sú dôkazom bezpečnosti. Keďže neexistujú potvrdené rozpoznávacie znaky, útok na jednotlivý server možno posúdiť len kontrolou správania, nie zoznamom.
Čo z toho odvodiť pre vaše servery
Z preukázaných faktov vyplýva niekoľko jasných krokov. Z nepreukázaných vyplýva predovšetkým opatrnosť.
- Skontrolovať stav záplat: opravená verzia alebo backport potvrdený poskytovateľom. Samotné zobrazené číslo verzie nestačí.
- Reštartovať všetky procesy PHP: Nové súbory zaberú až vtedy, keď už nebežia staré procesy.
- Zálohovať logy od 20. 10.: Odborná tlač to odporúča, aby zostala možná neskoršia kontrola.
- Hľadať stopy: Nové súbory PHP v priečinkoch s uploadmi, neznáme cronjoby, procesy webového servera so shellom. Kontrolou vás prevedie stránka Som už kompromitovaný?.
- Rady si overiť: Tipy z fór a sociálnych sietí realizujte len vtedy, ak sa dajú vysledovať k php.net alebo k úradu. Ktoré odporúčania práve škodia, zbiera príspevok Nebezpečné falošné tipy k PHP2Shell.
Aj pri internej komunikácii pomáha rovnaké rozlíšenie. Kto vedeniu predkladá „preukázané“, „hlásené“ a „otvorené“ oddelene, vyhne sa poplašnému tónu aj falošnému uisteniu.
Ako konkrétne pomáha PHP SOS?
- Situácia pre vaše systémy: Preukázané fakty prenášame na vaše servery a v dokumentácii oddeľujeme, čo bolo namerané, čo je hlásené a čo zostáva otvorené.
- Záplata a doklad: Kontrolujeme stav balíkov a reštart každej služby PHP a zaznamenávame to písomne.
- Kontrola stôp: Zálohujeme logy od 20. októbra a hľadáme nápadnosti v správaní, kým nie je incident uzavretý a zdokumentovaný.
- Priebežné zaradenie: Nové hlásenia pre vás zaraďujeme ešte predtým, než z nich vzniknú opatrenia.
Postup popisuje okamžitá pomoc pri PHP2Shell.
Záver
PHP2Shell je vážne a je to dobre doložené. Práve preto sa oplatí triezvy pohľad: primárne zdroje stačia na všetky dôležité rozhodnutia. To, čo koluje navyše, je často rýchlejšie než presné. Záplatovať, reštartovať, zálohovať logy a hľadať stopy zostáva odpoveďou bez ohľadu na to, ktoré číslo práve koluje.
Časté otázky
Je PHP2Shell hodnotené CVSS 10?
Nie. Číslo 10 pochádza podľa správ z príspevku vo fóre, ktorý kolovalo pred oficiálnym hlásením. Tím PHP hodnotí obe zraniteľnosti podľa CVSS v4.0 hodnotou 9,2. Aj to je kategória kritická.
Existuje zoznam rozpoznávacích znakov útokov PHP2Shell?
Zatiaľ nie. Neexistujú žiadne zverejnené a potvrdené Indicators of Compromise. Kto chce overiť, či bol server dotknutý, musí sledovať nápadnosti v správaní, napríklad procesy webového servera, ktoré spúšťajú shell, alebo nové súbory PHP v priečinkoch s uploadmi.
Ktorý zdroj je pri PHP2Shell najspoľahlivejší?
Pre technické fakty hlásenia na php.net, pre posúdenie situácie v Nemecku BSI. Mediálne správy a blogy výrobcov obraz dopĺňajú, mali by sa však označovať ako správy a čítať v porovnaní s primárnym zdrojom.
Sú naozaj dotknuté všetky verzie PHP od PHP 5?
Preukázaná je situácia pre vetvy 8.2 až 8.5, pre ktoré existujú aktualizácie. Podľa odbornej tlače sú dotknuté takmer všetky verzie až po PHP 5.4; CERT-EU podľa správ považoval za možné verzie od PHP 5. Pre staršie verzie neexistujú oficiálne aktualizácie, a preto ich v každom prípade považujte za ohrozené.