Stručne: BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vyhlásilo k PHP2Shell stupeň varovania 3 (oranžový). Odporúčanie je jednoznačné: PHP okamžite aktualizovať a, ak to nejde hneď, dotknuté webservery dočasne odpojiť od siete. BSI počítalo s rýchlym plošným zneužitím; potvrdené úspešné útoky v širokom rozsahu neboli spočiatku známe.
Varovanie BSI k PHP v skratke
Bundesamt für Sicherheit in der Informationstechnik (BSI) je centrálny odborný úrad pre kybernetickú bezpečnosť v Nemecku. K PHP2Shell zverejnil varovanie stupňa 3 (oranžový). Dôvodom sú dve kritické zraniteľnosti v samotnom PHP: CVE-2026-109618 a CVE-2026-109619, obe s hodnotením CVSS v4.0 9.2. Umožňujú útočníkom spustiť škodlivý kód na serveri bez prihlásenia.
Hlavné vyjadrenia varovania sa dajú zhrnúť takto:
| Vyjadrenie | Význam pre prevádzkovateľov |
|---|---|
| Stupeň varovania 3 / oranžový | vážna situácia, treba konať |
| Odporúčaná okamžitá aktualizácia | nasadiť opravené verzie PHP |
| Inak dočasne odpojiť od siete | dostupnosť podriadiť ochrane |
| Očakáva sa rýchle plošné zneužitie | nečakať na prvé hlásenia škôd |
| Úspešné útoky v širokom rozsahu spočiatku nepotvrdené | nie je dôvod na uvoľnenie |
Vždy aktuálnu verziu nájdete na stránke BSI.
Čo prakticky znamená „okamžite aktualizovať“
Projekt PHP zverejnil 21. 10. 2026 o 14:00 UTC (16:00 nemeckého času) opravené verzie: PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už oficiálne aktualizácie neexistujú, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1.
Aktualizácia je účinná až vtedy, keď boli reštartované všetky procesy PHP. Nové súbory samy nestačia, kým v pamäti bežia starí workeri. Navyše platí: distribúcie a poskytovatelia hostingu nasadzujú opravy sčasti ako backport. Potom napríklad Plesk naďalej zobrazuje 8.2.34, hoci je zaplátané. Rozhodujúci je stav balíkov a potvrdenie poskytovateľa. A aktualizácia CMS, napríklad WordPressu, zraniteľnosť PHP neuzavrie.
Ak aktualizácia nie je možná okamžite
Pre tento prípad BSI odporúča webservery dočasne odpojiť od siete. Je to tvrdé opatrenie, ale jasné. Pre mnohé firmy je plánovaný výpadok niekoľkých hodín menej škodlivý než vlámanie s únikom údajov.
php.net navyše uvádza prechodné opatrenia, ktoré znižujú riziko, ale výslovne neposkytujú úplnú ochranu. Patrí k nim session.upload_progress.enabled=0 v konfigurácii servera, obmedzené hodnoty post_max_size, obmedzenia pamäte cez kontajnery alebo cgroups a pri PHP 8.5 fatal_error_backtraces=0, vždy s následným reštartom všetkých workerov. Podrobnosti nájdete na stránke Okamžité opatrenia bez záplaty.
Ak verejne dostupný webserver ešte beží s nezaplátaným PHP a bez prechodných opatrení, z odporúčania BSI vyplýva: server odpojiť od siete, kým nie je nasadená aktualizácia a reštartované všetky procesy.
Zaradenie situácie
BSI nie je so svojím posúdením samo. Cloudflare hlásil pozorované pokusy o útok a nasadil ochranné pravidlá, varuje však, že pravidlá len podľa údajov požiadavky nestačia. Palo Alto Networks (Unit 42) napočítalo viac ako 22,6 milióna exponovaných, potenciálne zraniteľných inštancií. Podľa správ médií bol prvý pokus o útok pozorovaný už 17. 10. 2026, teda pred zverejnením záplat.
Pre prevádzkovateľov z toho vyplýva triezve hodnotenie: Kto dodnes nezaplátal, mal by nielen zaplátať, ale aj skontrolovať, či sa už niečo nestalo. Záplata neodstráni zavlečený škodlivý softvér. Zverejnené, potvrdené Indicators of Compromise neexistujú; detekcia sa opiera o analýzu správania. Odborná tlač radí uchovať logy servera od 20. 10. 2026. Upozornenia na hľadanie stôp nájdete na stránke Som už kompromitovaný?.
Čo odporúčanie znamená pre zodpovedných
Varovanie BSI nie je zákon. Je to však posúdenie príslušného odborného úradu a pri neskoršom hodnotení rozhodnutí môže zohrávať úlohu, napríklad u poisťovateľov alebo kontrolórov. Vedenia firiem by preto mali zdokumentovať, kedy sa o varovaní dozvedeli, ako posúdili vlastné systémy a aké opatrenia prijali. Všeobecné upozornenia k tomu nájdete na stránke Zodpovednosť konateľa; nejde o právne poradenstvo.
V praxi sa odporúča varovanie neprečítať len raz. BSI svoje hlásenia aktualizuje, ak sa situácia zmení, napríklad pri nových poznatkoch o zneužití alebo o ďalších zraniteľnostiach. Od 23. 10. 2026 existuje navyše upozornenie od php.net k CVE-2026-115560, ktoré sa týka iba nezvyčajných konfigurácií a tiež sa zmierňuje pomocou session.upload_progress.enabled=0. Určte osobu, ktorá až do uzavretia situácie denne kontroluje BSI a php.net a zmeny odovzdáva technike a vedeniu. Takto nevznikne rozdiel vo vedomostiach medzi tými, ktorí rozhodujú, a tými, ktorí vykonávajú.
Ako konkrétne pomáha PHP SOS?
- Porovnáme vaše webservery s odporúčaním BSI: verzia, stav balíkov, reštart, dostupnosť.
- V rámci okamžitej pomoci pri PHP2Shell zaplátame, reštartujeme všetky procesy a dodáme dôkaz.
- Kde aktualizácia nie je možná hneď, nastavíme prechodné opatrenia a podľa potreby poskytneme statickú náhradnú stránku.
- Zabezpečíme logy a skontrolujeme stopy, aby ste po záplate mohli situáciu spoľahlivo posúdiť.
Časté otázky
Čo znamená stupeň varovania 3 (oranžový) u BSI?
Farba opisuje zvýšenú, vážnu situáciu ohrozenia s potrebou konať. Pri PHP2Shell to BSI odôvodňuje kritickosťou zraniteľností a očakávaným rýchlym zneužitím. Presnú definíciu stupňov nájdete na stránke BSI.
Musím sa riadiť odporúčaním BSI?
Varovanie BSI je odporúčanie, nie zákon. Je to však závažné posúdenie príslušného odborného úradu, o ktoré sa môžu opierať poisťovatelia, kontrolóri a súdy. Kto sa odchýli, mal by zdokumentovať dôvody. Nejde o právne poradenstvo.
Boli podľa BSI už úspešné útoky?
Potvrdené úspešné útoky v širokom rozsahu neboli podľa BSI spočiatku známe. BSI však počítalo s rýchlym plošným zneužitím. Iné miesta už hlásili pokusy o útok.
Kde nájdem aktuálnu verziu varovania?
Na stránke BSI medzi aktuálnymi bezpečnostnými varovaniami. Situácia sa môže meniť; najnovší stav pravidelne kontrolujte tam a na php.net.