Stručne: To, či ste postihnutý PHP2Shell, závisí od troch vecí: od verzie PHP, od režimu prevádzky a od toho, či a ako sa záplatovalo. Ak si nie ste istý, ozvite sa hneď. Ste postihnutý? Zavolajte. Pomôžeme vám. Objasníme to na diaľku priamo na serveri, nie od oka, a zraniteľnosť uzavrieme, ak je otvorená.
Teraz nič nemažte a nič neinštalujte odznova. Aj keď chcete len zistiť, či ste postihnutý: ak je server možno už napadnutý, potrebujeme súbory a logy nezmenené. Nahláste núdzový prípad, kontrolu prejdeme spoločne.
Ste postihnutý? Tieto prípady patria do kontrolného zoznamu
PHP2Shell sú dve kritické zraniteľnosti v samotnom PHP (CVE-2026-109618 a CVE-2026-109619, obe s najvyšším hodnotením 9.2 podľa CVSS v4.0). Umožňujú spustenie škodlivého kódu na diaľku bez prihlásenia. Postihnuté môžu byť všetky režimy prevádzky: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Skontrolujte každý z týchto systémov:
- vlastné servery, vServery a root servery s PHP
- hostingové balíky a managed servery, aj keď nemáte prístup ku konfigurácii
- kontajnery a platformové služby, ktoré obsahujú obraz PHP
- testovacie systémy, staging prostredia a zabudnuté staré systémy dostupné z internetu
- NAS, appliance alebo softvér od dodávateľov, ktoré interne používajú PHP
Práve zabudnuté systémy sú riziko. Podľa Unit 42 existuje viac ako 22,6 milióna exponovaných, potenciálne zraniteľných inštancií a BSI počítalo s rýchlym plošným zneužitím.
Čo urobiť hneď
- Založte inventár. Zapíšte si všetky servery, domény a hostingové zmluvy, na ktorých beží PHP, a kto za ne zodpovedá.
- Zistite verziu PHP pre každý systém. Na serveroch pomocou
php -v. Pamätajte, že príkazový riadok môže používať inú verziu než webový server. - Objasnite režim prevádzky. Beží PHP ako PHP-FPM, ako mod_php alebo cez LiteSpeed? Pri mod_php tím PHP hodnotí riziko najvyššie.
- Opýtajte sa poskytovateľa hostingu a dodávateľov. Písomne: Aká verzia beží, bola oprava nasadená, boli všetky procesy reštartované?
- Uchovajte logy. Odborná tlač radí uchovať logy od 20. 10. 2026.
- Nečakajte dlho. Ak je systém otvorený a záplatu nemožno nasadiť hneď, BSI odporúča webový server dočasne odpojiť od siete.
Ako PHP SOS konkrétne pomáha?
Postihnutie objasňujeme na diaľku a s dôkazmi.
- Zmapovať situáciu: Necháme si opísať váš inventár a systémy zoradíme podľa dostupnosti a rizika.
- Zabezpečiť a uzavrieť: Tam, kde je otvorené, najprv zabezpečíme stav a potom zraniteľnosť uzavrieme aktualizáciou vrátane reštartu. Tam, kde to hneď nejde, nasadíme prechodné opatrenia, ktoré nie sú úplnou ochranou.
- Skontrolovať a vyčistiť: Preveríme, či sa zraniteľnosť pred záplatou zneužila, a v prípade potreby vyčistíme. To, či je server postihnutý a možno už napadnutý, jasne oddeľujeme.
- Spevniť a podať správu: Dostanete zoznam pre každý systém: verzia, režim prevádzky, doklad o záplate, otvorené body.
Ako preukázať postihnutie
Samotné číslo verzie nestačí, pretože poskytovatelia opravy prenášajú späť (backport). Ubuntu 24.04 napríklad podľa správ ukazuje aj po aktualizácii naďalej 8.3.6. Spoľahlivé sú tri cesty:
| Cesta | Čo ukazuje | Hranica |
|---|---|---|
| Porovnať verziu so stavmi opráv | 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35 či vyššia je opravená | platí len pre originálne verzie, nie pre backporty |
Test na memory_hard_limit_percent |
bool(false) znamená: direktíva neznáma, teda postihnutá |
spustiť osobitne pre každú verziu a režim prevádzky |
| Prehľadať changelog balíka podľa čísel CVE | preukazuje backporty pri distribúciách | zdrojom je bezpečnostný archív poskytovateľa |
Test vyzerá takto:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Ako správne skontrolovať verziu a stav záplat, nájdete na stránke Ako správne skontrolovať verziu PHP a stav záplat. Prehľad vetiev poskytuje Ktoré verzie PHP sú postihnuté?. Prečo môže zobrazenie aj po záplate vyzerať staro, vysvetľuje príspevok php -v zobrazuje staré číslo.
Postihnuté a už nezáplatovateľné: PHP 8.1 a staršie
Pre PHP 8.1 a staršie už projekt PHP nevydáva oficiálne aktualizácie, iba minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Kto také verzie používa, má väčšinou dve cesty: poskytovateľa s preukázaným backportom alebo migráciu na udržiavanú verziu. Komerčné ponuky dlhodobej podpory existujú, ale to, či a kedy pokrývajú PHP2Shell, musí poskytovateľ potvrdiť písomne. Pomôžeme vám s posúdením na stránke PHP 8.1 a staršie: čo teraz platí a s realizáciou v službe PHP-Patch.
Čo by ste nám mali poslať
- Zoznam vašich serverov, domén a poskytovateľov hostingu
- Verziu PHP pre každý systém, ak je známa
- Režim prevádzky a webový server, ak sú známe
- Údaj, či je predradený Cloudflare alebo iná ochrana a či je origin server dostupný priamo
- Odpovede vášho poskytovateľa hostingu, ak ste sa už pýtali
- Kontaktná osoba pre schválenia a reštarty
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Máte jedného kontaktného partnera, ktorý prejde váš inventár a každé tvrdenie preukáže, namiesto toho, aby len odčítal čísla verzií. Pracujeme na diaľku, bez výjazdu, a dokumentujeme, čo sme skontrolovali. Výrok ako „bezpečné“ vyslovíme len v takom rozsahu, v akom sa dá preukázať. Pre väčšie prostredia prichádza do úvahy okamžitá pomoc pri PHP2Shell.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Ak neviete, či ste postihnutý, je to dostatočný dôvod ozvať sa hneď. Zavolajte alebo napíšte cez WhatsApp. Preberáme prípad od prvej správy a objasníme ho s vami priamo na serveri. Nahlásiť núdzový prípad teraz.
Časté otázky
Som postihnutý PHP2Shell, ak používam iba WordPress alebo e-shop?
Možno áno. Zraniteľnosti sú v PHP, nie v CMS. Rozhodujúce je, ktorá verzia PHP a ktorý režim prevádzky u vás skutočne obsluhuje požiadavky; aktualizácia WordPressu na tom nič nemení.
Stačí číslo verzie na to, aby som vedel, či mám záplatu?
Nie vždy. Distribúcie a poskytovatelia hostingu niekedy nasadzujú opravy formou backportu a číslo potom zostane rovnaké. Výpovednú hodnotu majú changelog balíka s číslami CVE alebo písomné potvrdenie vášho poskytovateľa.
Existuje rýchly test, či moja verzia PHP obsahuje opravu?
Podľa príručky PHP je postihnutá verzia, ktorá nepozná direktívu memory_hard_limit_percent. Test sa musí spustiť osobitne pre každú verziu PHP a každý režim prevádzky, pretože príkazový riadok môže používať inú verziu než webový server.
Sú postihnuté aj staršie verzie PHP, ako 7.4 alebo 8.0?
Podľa odbornej tlače sú postihnuté takmer všetky verzie až po PHP 5.4. Pre 8.1 a staršie už projekt PHP nevydáva oficiálne aktualizácie, len minimálne backporty zdrojového kódu. Či ich poskytovateľ nasadil, musí potvrdiť on.
Chráni ma Cloudflare, ak som postihnutý?
Čiastočne. Cloudflare nasadil ochranné pravidlá, ale sám varuje, že nenahrádzajú aktualizáciu. Ak je váš origin server dostupný priamo, ochrana sa obíde.