# PHP2Shell: všetko o kritickej zraniteľnosti PHP

> PHP2Shell jednoducho vysvetlený: CVE-2026-109618 a CVE-2026-109619, dotknuté verzie, kontrola, reštart a prechodné opatrenia.

Zdroj: https://phpsos.de/sk/php2shell/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

Dve kritické zraniteľnosti v samotnom PHP, CVSS 9.2, škodlivý kód bez prihlásenia. Tu nájdete, čo je preukázané, ktoré verzie sú bezpečné a čo máte teraz urobiť.

- [Čo je PHP2Shell? Zraniteľnosť jednoducho vysvetlená](https://phpsos.de/sk/php2shell/was-ist-php2shell/): PHP2Shell sú dve kritické zraniteľnosti v samotnom PHP, cez ktoré môžu útočníci bez prihlásenia spúšťať kód na webových serveroch. Situácia jasnými slovami.
- [CVE-2026-109618: RCE cez stav out-of-memory](https://phpsos.de/sk/php2shell/cve-2026-109618/): CVE-2026-109618 je jedna z dvoch zraniteľností PHP2Shell: stav out-of-memory môže PHP prerušiť uprostred spracovania požiadavky. Opravené od PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
- [CVE-2026-109619: RCE cez zastaraný globálny stav](https://phpsos.de/sk/php2shell/cve-2026-109619/): CVE-2026-109619 je druhá zraniteľnosť PHP2Shell: vnútorný stav požiadavky môže po uvoľnení pamäte zostať zachovaný a využiť ho môže ďalšia požiadavka v tom istom workerovi.
- [CVE-2026-115560: upozornenie k session upload progress](https://phpsos.de/sk/php2shell/cve-2026-115560/): CVE-2026-115560 je upozornenie php.net z 23. 10. 2026: možné spustenie kódu iba pri nezvyčajnej konfigurácii relácií. Náprava do ďalšieho vydania: session.upload_progress.enabled=0.
- [Ktoré verzie PHP sú dotknuté?](https://phpsos.de/sk/php2shell/betroffene-php-versionen/): PHP2Shell je opravené v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie. Tabuľka ukazuje stav pre každú vetvu.
- [Správne overenie verzie a stavu záplat PHP](https://phpsos.de/sk/php2shell/php-version-pruefen/): Zobrazená verzia PHP sama nehovorí, či je PHP2Shell uzavreté. Rozhodujú stav balíka, backporty a to, či naozaj bežia nové procesy.
- [Prečo nesie mod_php najvyššie riziko](https://phpsos.de/sk/php2shell/mod-php-risiko/): Pri Apache s mod_php hodnotí tím PHP riziko PHP2Shell ako najvyššie: bol tam ukázaný exploit ešte predtým, než sa spustí kód aplikácie. Ako preveriť a konať.
- [Po aktualizácii: reštart PHP-FPM a všetkých workerov](https://phpsos.de/sk/php2shell/php-fpm-neustart/): Aktualizácia PHP zaberie až po reštarte všetkých procesov PHP. Príkazy pre PHP-FPM, Apache, LiteSpeed a kontajnery a ako reštart overiť.
- [Okamžité opatrenia, ak ešte nemôžete záplatovať](https://phpsos.de/sk/php2shell/sofortmassnahmen-ohne-patch/): Ak aktualizácia PHP ešte nie je možná, prechodné opatrenia php.net znižujú riziko, ale nechránia úplne. Ako ich správne nastaviť.
- [PHP 8.1 a staršie: čo teraz platí](https://phpsos.de/sk/php2shell/php-8-1-und-aelter/): Pre PHP 8.1, 8.0, 7.4 a staršie verzie neexistujú proti PHP2Shell oficiálne aktualizácie. Čo backporty zdrojového kódu poskytujú a ako vyzerá cesta k podporovanej verzii.
- [Záplatovanie PHP v kontajneroch Docker](https://phpsos.de/sk/php2shell/docker-container-patchen/): Kontajnery sa nezáplatujú samy. Proti PHP2Shell musíte image PHP znova zostaviť alebo stiahnuť a každý kontajner vytvoriť nanovo z nového image.
- [Som už kompromitovaný? Príznaky po PHP2Shell](https://phpsos.de/sk/php2shell/bin-ich-gehackt-anzeichen/): Pre PHP2Shell neexistujú potvrdené Indicators of Compromise. Podľa čoho napriek tomu spoznáte, či bol váš server hacknutý, a ako kontrolovať bez zničenia stôp.