Stručne: Zobrazená verzia PHP po PHP2Shell sama o sebe dokazuje málo, pretože poskytovatelia hostingu často nasadzujú opravy ako backport. Preto si vyžiadajte písomné potvrdenie aktualizácie PHP od hostingu: stav balíka pre každú vetvu PHP, okamih inštalácie a reštart všetkých procesov PHP. Vzor na skopírovanie nájdete nižšie.
Prečo je teraz dôležité písomné potvrdenie
Dňa 21. 10. 2026 projekt PHP zverejnil záplaty pre dve kritické zraniteľnosti známe pod názvom PHP2Shell. Obe umožňujú vykonanie škodlivého kódu na diaľku bez prihlásenia. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vyhlásil stupeň varovania 3 / oranžový a odporúča okamžitú aktualizáciu.
Kto prevádzkuje web u poskytovateľa hostingu, často nemôže aktualizáciu nasadiť sám. Zároveň však ako prevádzkovateľ nesiete zodpovednosť za údaje svojich zákazníkov. Písomné a konkrétne potvrdenie od poskytovateľa preto nie je len formalita. Je súčasťou vašej dokumentácie, napríklad voči zodpovedným osobám za ochranu údajov, poisťovateľom alebo vedeniu.
K tomu pristupuje: záplata neodstráni škodlivý softvér, ktorý bol zavlečený predtým. Podľa správ médií sa pozoroval prvý pokus o útok už 17. 10. Presný okamih, odkedy bol váš server chránený, je preto dôležitý pre otázku, či musíte kontrolovať ďalej.
Prečo zobrazená verzia PHP nestačí
Opravené sú PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Mnohé distribúcie a poskytovatelia hostingu však opravu preberajú ako backport do vlastného balíka. Rozhranie ako Plesk potom naďalej zobrazuje 8.2.34, hoci je server zaplátaný.
Naopak, správne číslo verzie môže klamať. Nové súbory samy o sebe nechránia, kým v pamäti bežia staré procesy PHP. Nový stav je aktívny až po reštarte všetkých workerov. Viac v príspevku Správne overiť verziu PHP a stav záplat.
| Vyhlásenie poskytovateľa | Čo dokazuje | Čo ešte chýba |
|---|---|---|
| „Všetky systémy sú aktuálne.“ | málo | Verzia alebo stav balíka, dátum, reštart |
| „PHP 8.3.36 je nainštalované.“ | Verzia | Dátum, reštart, dotknuté servery |
| „Backport v balíku xy, reštart dňa …“ | Záplata a aktivácia | prípadne údaje o PHP 8.1 a starších |
Aké údaje potrebujete od poskytovateľa
Požiadajte o odpovede na tieto body, podľa možnosti pre každý web alebo zmluvu:
- Ktoré vetvy a verzie PHP sú pre vaše weby aktívne, vrátane starších, ktoré bežia len pre jednotlivé adresáre?
- Sú zahrnuté opravy pre CVE-2026-109618 a CVE-2026-109619, ako oficiálna verzia alebo ako backport?
- Kedy sa aktualizácia nainštalovala a kedy sa reštartovali všetky procesy PHP (pooly FPM, Apache, LiteSpeed)?
- Je
session.upload_progress.enabledkvôli CVE-2026-115560 deaktivované? - Aký prevádzkový režim používa váš tarif, napríklad PHP-FPM alebo Apache s mod_php? Pri mod_php vidí tím PHP najvyššie riziko.
- Ktoré prístupové logy a logy chýb od 20. 10. 2026 sa uchovávajú a ako ich získate?
Ak niektorý web ešte beží na PHP 8.1 alebo starších, opýtajte sa osobitne. Pre tieto vetvy už neexistujú oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1.
Vzor: vyžiadať potvrdenie aktualizácie PHP od hostingu
Skopírujte text do tiketu podpory alebo do e-mailu svojmu poskytovateľovi hostingu. Doplňte údaje v hranatých zátvorkách.
Predmet: Žiadosť o potvrdenie stavu záplat PHP (PHP2Shell, CVE-2026-109618 / CVE-2026-109619)
Dobrý deň,
u vás prevádzkujeme tieto weby / zmluvy:
[zákaznícke číslo, zmluva, domény]
V súvislosti so zraniteľnosťami PHP CVE-2026-109618 a
CVE-2026-109619 (PHP2Shell, záplaty z 21. 10. 2026) ako aj s upozornením
k CVE-2026-115560 z 23. 10. 2026 vás žiadame o písomné
potvrdenie nasledujúcich bodov:
1. Aké verzie PHP, resp. stavy balíkov sú aktívne pre naše weby?
2. Obsahujú tieto opravy (oficiálna verzia alebo backport)?
3. Dátum a čas inštalácie.
4. Dátum a čas reštartu všetkých procesov PHP (FPM, Apache,
LiteSpeed a pod.).
5. Je session.upload_progress.enabled vypnuté na strane servera?
6. Aký režim prevádzky PHP sa používa (napr. PHP-FPM, mod_php)?
7. Uchovávajú sa prístupové logy a logy chýb od 20. 10. 2026 a
ako ich môžeme získať?
8. Ak niektorý web ešte používa PHP 8.1 alebo starší: Aké zabezpečenie
tam existuje a aký prechod odporúčate?
Tieto údaje potrebujeme pre našu internú dokumentáciu.
Ďakujeme a zdravíme
[meno, firma, funkcia]
Správne posúdiť odpoveď a samostatne ju overiť
Dobrá odpoveď uvádza konkrétne stavy, dátumy a časy. Všeobecné formulácie ako „zareagovali sme“ pre váš spis nestačia. V takom prípade sa priateľsky opýtajte na chýbajúce body.
Ak to váš tarif umožňuje, overte si to navyše sami. S prístupom cez SSH zvyčajne stačia tieto príkazy:
# Verzia príkazového riadka (môže sa líšiť od webovej verzie)
php -v
# Stav balíka na Debiane/Ubuntu
dpkg -l | grep -E "php[0-9.]*-(fpm|cli|common)"
# Stav balíka na RHEL, Alma, Rocky
rpm -qa | grep -i php
# Odkedy bežia procesy PHP-FPM?
ps -eo pid,lstart,cmd | grep "[p]hp-fpm"
Ak je čas spustenia procesov PHP skôr než potvrdený dátum inštalácie, reštart nebol úplný.
Ak poskytovateľ neodpovedá alebo odpovedá len vyhýbavo
Ak odpoveď nepríde alebo chýbajú rozhodujúce údaje, situáciu by ste nemali považovať za vyjasnenú. BSI odporúča dočasne odpojiť webové servery od siete, ak aktualizácia nie je okamžite možná. Či je to pre váš web primerané, rozhoduje vedenie, ideálne písomne a s dátumom.
Súbežne sa oplatí pozrieť sa na možné stopy útoku, pretože okamih záplatovania zostáva otvorený. Východiskové body poskytuje príspevok Som už kompromitovaný?. Bez prístupu cez SSH zostáva písomné potvrdenie vaším najdôležitejším dokladom. Ktoré povinnosti má poskytovateľ a ktoré vy, vysvetľuje stránka Zdieľaný hosting: čo robí poskytovateľ; pre spravované servery pomáha Spravovaný server: ujasniť zodpovednosť.
Žiadosť, odpoveď a vlastné výsledky kontroly uložte s dátumom do jedného priečinka. Tento spis neskôr pomôže pri otázkach poisťovateľov alebo zodpovedných osôb za ochranu údajov.
Ako konkrétne pomáha PHP SOS?
- S vami sformulujeme žiadosť pre poskytovateľa hostingu a odborne posúdime odpoveď.
- Kde existuje prístup, stav balíka, aktívny prevádzkový režim a reštart procesov PHP skontrolujeme sami.
- Ak zostanú medzery, nastavíme prechodné opatrenia alebo naplánujeme prechod na podporovanú verziu.
- Výsledok a časové údaje zachytíme v doklade, ktorý môžete interne odovzdať ďalej.
Ako prebieha aktualizácia s reštartom a dokladom, popisuje naša služba záplatovania PHP.
Časté otázky
Stačí, ak mi poskytovateľ hostingu napíše, že je všetko aktuálne?
Pre vašu dokumentáciu skôr nie. Požiadajte o konkrétne údaje: stav balíka alebo verziu pre každú vetvu PHP, dátum inštalácie a dátum reštartu všetkých procesov PHP. Až s nimi môžete vymedziť časové okno zraniteľnosti.
Prečo mi hostingové rozhranie stále zobrazuje PHP 8.2.34?
Distribúcie a poskytovatelia hostingu niekedy nasadzujú bezpečnostné opravy ako backport bez zmeny čísla verzie. Plesk môže potom naďalej zobrazovať 8.2.34, hoci je server zaplátaný. Jasno vytvorí len potvrdenie poskytovateľa o stave balíka.
Čo mám robiť, ak poskytovateľ hostingu neodpovedá?
Zdokumentujte svoju žiadosť s dátumom a po primeranom čase sa opýtajte znova. Súčasne preverte, či si môžete prechodné opatrenia nastaviť sami, a dohodnite s vedením, či sa web do vyjasnenia odpojí od siete, ako to BSI odporúča pri nezaplátaných serveroch.
Uzatvorí zraniteľnosť aj aktualizácia WordPressu alebo e-shopu?
Nie. PHP2Shell sídli v samotnom PHP. Aktualizácia CMS alebo softvéru e-shopu nič nemení na interpreteri PHP, ktorý beží na serveri.