Stručne: Bezpečnostná zraniteľnosť PHP2Shell sa týka vetiev 8.2 až 8.5 až do vydaní z 21. októbra 2026, podľa odbornej tlače prakticky všetkých verzií až po PHP 5.4. Je opravená v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1.
Ktoré verzie bezpečnostná zraniteľnosť PHP postihla?
PHP2Shell zahŕňa obe zraniteľnosti CVE-2026-109618 a CVE-2026-109619, každú s hodnotením CVSS v4.0 9,2. Obe umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Dňa 21. októbra 2026 o 14:00 UTC (16:00 nemeckého času) zverejnil projekt PHP opravy pre všetky podporované vetvy.
| Vetva PHP | Posledný stav pred opravou | Opravené od | Podpora |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | oficiálne podporovaná |
| 8.4 | 8.4.26 | 8.4.27 | oficiálne podporovaná |
| 8.3 | 8.3.35 | 8.3.36 | oficiálne podporovaná |
| 8.2 | 8.2.34 | 8.2.35 | končí 31. 12. 2026 |
| 8.1, 8.0, 7.4 | všetky stavy | žiadne oficiálne vydanie | iba minimálne backporty zdrojového kódu |
| 7.3 až 5.4 | podľa odbornej tlače prakticky všetky dotknuté | žiadna aktualizácia | roky bez podpory |
Údaje k 8.2 až 8.5 pochádzajú z hlásení php.net. Tvrdenie o verziách až po PHP 5.4 pochádza z odbornej tlače; úplný oficiálny zoznam pre staré verzie neexistuje.
Pre netechnikov v niekoľkých vetách: ak je na vašom serveri verzia zo stĺpca „Opravené od“ alebo vyššia a potom sa reštartovali všetky procesy PHP, PHP2Shell je uzavreté. Ak je tam staršie číslo, buď ide o backport, ktorý musí potvrdiť váš poskytovateľ, alebo je zraniteľnosť otvorená. Opýtajte sa svojho IT alebo poskytovateľa hostingu v prípade pochybností presne na tieto tri body: verzia, backport, reštart.
Dotknuté spôsoby prevádzky
Číslo verzie je len polovica odpovede. Dotknuté sú všetky bežné spôsoby prevádzky PHP na webovom serveri: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Tím PHP hodnotí riziko pri mod_php ako najvyššie, pretože tam bol ukázaný exploit ešte predtým, než sa vôbec spustí kód aplikácie. Podrobnosti na stránke Prečo nesie mod_php najvyššie riziko.
Z aplikácie nevyplýva žiadna ochrana: či WordPress, Shopware, TYPO3, Laravel alebo vlastný vývoj, aktualizácia aplikácie zraniteľnosť v PHP neuzavrie.
Backporty: keď číslo verzie klame
Mnohé distribúcie Linuxu a poskytovatelia hostingu dodávajú PHP vo vlastných balíkoch. Namiesto skoku na novú verziu upstreamu preberajú opravu ako backport do svojej existujúcej verzie. To má praktický dôsledok: zobrazené číslo zostáva staré. Príkladom z aktuálnej situácie je Plesk, ktorý môže naďalej zobrazovať 8.2.34, hoci je chyba opravená.
Pre vás to znamená: tabuľka vyššie platí pre oficiálne vydania z php.net. Pri balíkoch z vašej distribúcie alebo od poskytovateľa hostingu rozhodujú stav balíka a potvrdenie poskytovateľa. Ako preveriť oboje, ukazuje stránka Správne overenie verzie a stavu záplat PHP. Pre rýchly test na príkazovom riadku:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, názov balíka sa líši podľa verzie a zdroja
dnf info php-fpm # rodina RHEL
Opravené číslo verzie na pevnom disku ešte neznamená, že beží. Až po reštarte všetkých procesov PHP pracuje server s opraveným kódom.
Čo platí pre PHP 8.1 a staršie?
Pre PHP 8.1, 8.0 a 7.4 existujú iba minimálne backporty zdrojového kódu, teda opravy v zdrojovom kóde, ktoré si niekto musí sám prevziať a skompilovať. Oficiálne vydania nevychádzajú. Niektoré distribúcie s dlhodobou starostlivosťou takéto opravy zabudovávajú do svojich balíkov; či to platí pre váš systém, sa dá objasniť iba podľa changelogu balíka alebo u poskytovateľa.
Z dlhodobého hľadiska nevedie okolo podporovanej verzie žiadna cesta. Ktorú verziu PHP vaše CMS alebo obchod znesie, preverte podľa systémových požiadaviek výrobcu, napríklad na wordpress.org, shopware.com alebo typo3.org. Viac na stránke PHP 8.1 a staršie: čo teraz platí.
A CVE-2026-115560?
Dňa 23. októbra zverejnil php.net upozornenie na tretiu zraniteľnosť. Uplatní sa iba pri nezvyčajnej konfigurácii relácií. Opravená verzia podľa stavu z 25. októbra zatiaľ neexistuje; do ďalšieho riadneho vydania s opravami chýb platí ako náprava session.upload_progress.enabled=0. Zoznam verzií sa očakáva až s úplným advisory.
Ako konkrétne pomáha PHP SOS?
- Inventár: Zaznamenáme všetky verzie PHP na vašich serveroch, aj druhé inštalácie pre jednotlivé weby, ktoré sa radi prehliadajú.
- Porovnanie: Pre každú inštaláciu objasníme, či ide o oficiálne vydanie, distribučný backport alebo žiadnu opravu.
- Aktualizácia s dokladom: Cez službu záplatovania PHP nasadíme opravu a reštartujeme všetky procesy.
- Plán migrácie: Pre verzie bez oficiálnych aktualizácií naplánujeme prechod s migráciou z PHP 8.1 a starších a dovtedy server zabezpečíme.
Časté otázky
Je PHP 8.3.35 ešte bezpečné?
Nie, pokiaľ váš poskytovateľ nenasadil backport. 8.3.35 je posledný stav pred opravou; PHP2Shell je vo vetve 8.3 opravené od 8.3.36. Pri distribučných balíkoch môže číslo zostať rovnaké, hoci je chyba opravená. Vtedy rozhoduje changelog balíka alebo potvrdenie poskytovateľa.
Je PHP 7.4 dotknuté PHP2Shell?
Podľa odbornej tlače sú dotknuté prakticky všetky verzie až po PHP 5.4. Pre 7.4, 8.0 a 8.1 existujú iba minimálne backporty zdrojového kódu a žiadne oficiálne vydania. Spoľahlivou cestou je prechod na podporovanú verziu.
Prečo Plesk zobrazuje 8.2.34, hoci bolo záplatované?
Distribúcie a poskytovatelia hostingu preberajú opravy čiastočne ako backport do svojich existujúcich balíkov. Číslo verzie potom zostane rovnaké, chyba je napriek tomu opravená. Skontrolujte stav balíka alebo si nechajte záplatu potvrdiť od poskytovateľa.
Ktorú verziu PHP by som mal teraz zvoliť?
Podporovanú verziu, ktorú vaša aplikácia podľa systémových požiadaviek výrobcu podporuje. PHP 8.2 dosiahne koniec podpory 31. 12. 2026; kto teraz tak či tak mení verziu, mal by s tým počítať.