Časová os PHP2Shell: chronológia od 17. do 25. októbra 2026

Stručne: Časová os PHP2Shell zahŕňa zatiaľ štyri doložené dátumy: prvý pozorovaný pokus o útok 17. 10., vopred oznámenie na php.net 20. 10., záplaty 21. 10. o 16:00 nemeckého času a ďalšie upozornenie k CVE-2026-115560 23. 10. 2026. Pre prevádzkovateľov z toho vyplýva: záplatovať, reštartovať všetky procesy PHP a zabezpečiť logy najneskôr od 20. 10.

Prečo je časová os PHP2Shell pre prevádzkovateľov dôležitá

Pri zraniteľnosti takejto závažnosti nezáleží iba na tom, či je váš server dnes zaplátaný. Rozhodujúce je aj to, ako dlho bol predtým zraniteľný. Toto časové okno určuje, ktoré logy zabezpečíte, ktoré súbory skontrolujete a či môžete kompromitáciu s dobrým dôvodom vylúčiť.

PHP2Shell sa týka samotného PHP, nie jedného konkrétneho CMS. Dve kritické zraniteľnosti, CVE-2026-109618 a CVE-2026-109619, umožňujú vykonanie škodlivého kódu na diaľku bez prihlásenia. Obe sú hodnotené CVSS v4.0 na 9,2. Zrozumiteľný úvod nájdete na stránke Čo je PHP2Shell?.

Nasledujúca chronológia obsahuje iba údaje, ktoré sú k stavu 25. 10. 2026 doložené. Kde sa údaj opiera o správy médií, je to uvedené.

17. októbra: prvý pozorovaný pokus o útok

Podľa správ médií bol 17. 10. 2026 pozorovaný prvý pokus o útok, ktorý nahlásil Amazon. Bolo to štyri dni pred záplatami. Existovalo teda obdobie, v ktorom sa už útoky skúšali, ale ešte neexistovala aktualizácia.

Či a koľko útokov bolo v tejto fáze úspešných, nie je doložené. Dôležitý je dôsledok pre vašu vlastnú kontrolu: server, ktorý je dnes zaplátaný, mohol byť predtým kompromitovaný. Záplata neodstráni zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo.

20. a 21. októbra: vopred oznámenie a záplaty

Dňa 20. 10. 2026 projekt PHP oznámil bezpečnostné aktualizácie na php.net. Dňa 21. 10. 2026 o 14:00 UTC, teda o 16:00 nemeckého času, nasledovali opravené verzie.

Pre PHP 8.1 a staršie už nie sú k dispozícii oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Podľa odbornej tlače sú dotknuté takmer všetky verzie až po PHP 5.4. Dotknuté sú prevádzkové režimy PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Najvyššie riziko vidí tím PHP pri mod_php, kde bol exploit predvedený ešte predtým, než sa vôbec spustí kód aplikácie.

Distribúcie a poskytovatelia hostingu niekedy nasadzujú backporty. Plesk potom napríklad naďalej zobrazuje 8.2.34, hoci je server zaplátaný. Rozhodujúci je stav balíka a potvrdenie poskytovateľa, nie zobrazené číslo verzie. Ako to správne overiť, sa dočítate na stránke Správne overiť verziu PHP a stav záplat.

23. októbra: upozornenie k CVE-2026-115560

Dňa 23. 10. 2026 projekt PHP zverejnil ďalšie upozornenie, tentoraz k CVE-2026-115560. Zneužitie je podľa neho možné iba pri nezvyčajnej konfigurácii: v konfigurácii je serialize_handler php_binary alebo php_serialize, aplikácia ho pred session_start() pomocou ini_set() prestaví na php a je aktívny session upload progress.

Náprava je jednoduchá a mali by ste ju nastaviť bez ohľadu na to, či takúto konšteláciu u seba poznáte:

; v php.ini, v poole FPM alebo v konfigurácii servera
; nie cez ini_set() ani .user.ini
session.upload_progress.enabled = 0

Potom reštartujte všetkých workerov PHP. Úplný advisory má vyjsť s ďalším pravidelným vydaním s opravami chýb. Dovtedy zostáva toto nastavenie odporúčaným prechodným riešením.

Stav k 25. októbru: situácia a otvorené otázky

BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vyhlásil stupeň varovania 3 / oranžový. Odporúča okamžitú aktualizáciu a, ak to nie je okamžite možné, dočasné odpojenie webových serverov od siete. BSI počítal s rýchlym plošným zneužitím; potvrdené úspešné útoky vo väčšom rozsahu neboli podľa BSI spočiatku známe. Zaradenie situácie zo strany BSI zhŕňa stránka Čo BSI odporúča k PHP2Shell.

Cloudflare hlásil pozorované pokusy o útok a nasadil ochranné pravidlá, upozorňuje však, že pravidlá založené iba na údajoch z požiadaviek nestačia. Palo Alto Networks (Unit 42) napočítal viac než 22,6 milióna exponovaných, potenciálne zraniteľných inštancií. Potvrdené Indicators of Compromise nie sú zverejnené; rozpoznávanie sa opiera o analýzu správania.

Niektorí poskytovatelia preventívne odstavili webové stránky. To automaticky neznamená, že boli tieto stránky hacknuté. K stavu tohto prehľadu zostáva otvorené predovšetkým to, koľko serverov bolo v období pred záplatou skutočne kompromitovaných.

Čo časová os znamená pre vaše logy a kontroly

Z dátumov vyplývajú tri obdobia: pred 17. 10., medzi 17. 10. a vaším vlastným okamihom záplatovania a reštartu a po ňom. Kritické je prostredné obdobie. Čím dlhšie u vás trvalo, tým dôkladnejšia by mala byť kontrola.

Jednoduchý spôsob, ako logy zabezpečiť nezmenené a zachytiť stav:

# Logy zabezpečiť naraz (cesty prispôsobiť vášmu systému)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Kontrolný súčet pre neskorší dôkaz
sha256sum /root/logs-sicherung-*.tar.gz
# Ako dlho systém logy uchováva?
grep -R "rotate" /etc/logrotate.d/

Poznačte si aj to, kedy presne sa aktualizácia nasadila a kedy sa procesy PHP reštartovali. Nové súbory samy o sebe nechránia, kým v pamäti bežia staré procesy. Ako vyhodnotiť zabezpečené logy, popisuje príručka Vyhodnotenie logov webového servera po útoku.

Ako konkrétne pomáha PHP SOS?

• S vami určíme skutočné okno zraniteľnosti vášho servera: stav balíkov, okamih záplatovania, reštart všetkých workerov.
• Logy a stav systému zabezpečíme dohľadateľným spôsobom skôr, než sa niečo zmení.
• Skontrolujeme nápadnosti v správaní, ako sú nové súbory PHP, cudzie procesy a nezvyčajné odchádzajúce spojenia.
• Výsledok zdokumentujeme tak, aby s ním mohli pracovať vedenie, zodpovedné osoby za ochranu údajov a poisťovatelia.

Postup po jednotlivých krokoch popisuje naša núdzová pomoc pri PHP2Shell.

Časté otázky

Zdroje

• php.net: bezpečnostné hlásenia
• PHP 8 ChangeLog
• BSI: Spolkový úrad pre informačnú bezpečnosť
• TechTarget: PHP2Shell, 22M exposed servers at risk