AnswersPublished24 sources
PHP2Shell: co se stalo a proč správci webů dostali jen pár hodin navíc
PHP2Shell označuje dvě závažné chyby v jádru PHP. Obě dostaly hodnocení CVSS 9,2 a za určitých podmínek mohly umožnit vzdálené spuštění kódu bez přihlášení.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- PHP2Shell označuje dvě závažné chyby v jádru PHP. Obě dostaly hodnocení CVSS 9,2 a za určitých podmínek mohly umožnit vzdálené spuštění kódu bez přihlášení.
- Na odhalení se podílely Calif a Wiz; zprávy popisují využití nástrojů GPT 5.6 Sol, Wiz Atlas a Gemini 4 Argon.
- Po úniku informací 20. října vydal projekt PHP opravy už 21.
- Odhad více než 22,6 milionu potenciálně zranitelných internetových instancí neznamená, že byly všechny napadeny.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell nebyla chyba v konkrétním pluginu nebo redakčním systému, ale dvojice zranitelností přímo v jádru PHP. Za určitých podmínek mohly útočníkům umožnit spustit na serveru vlastní kód, aniž by se museli přihlásit. Protože PHP používá velké množství webů a aplikací, správci po zveřejnění dostali naléhavý úkol: zjistit, kde PHP běží, a aktualizovat ho. 5
9
Jak se na chyby přišlo
Zranitelnosti CVE-2026-109618 a CVE-2026-109619 odhalili výzkumníci ze společností Calif a Wiz. Calif na problémech pracoval v rámci iniciativy OpenAI „Patch the Planet“; podle zpráv při hledání využil model GPT-5.6 Sol. Wiz chyby identifikoval nezávisle. Zpráva popisující zapojení Wiz uvádí také Wiz Atlas a Gemini 4 Argon mezi použitými nástroji. 6
18
21
Jedna chyba souvisela s poškozením paměti při nedostatku paměti, druhá se zastaralým globálním stavem, který mohl zůstat po předchozím zpracování požadavku. Obě mohly vést ke vzdálenému spuštění kódu. Jejich hodnocení CVSS v4.0 bylo 9,2 z 10. 7
10
Únik posunul vydání oprav
Podrobnosti se dostaly na veřejnost 20. října 2026. Bezpečnostní aktualizace se původně očekávaly o den později, 22. října, ale PHP vydalo opravy už 21. října. Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. 24
Projekt PHP doporučil aktualizovat všechny instalace, které zpracovávají webové požadavky. Starší větve, včetně PHP 8.1 a nižších, už od projektu nedostávají běžné bezpečnostní aktualizace; některé distribuce Linuxu nebo dodavatelé dlouhodobé podpory mohou poskytovat vlastní opravy. Správci by proto měli ověřit, jaké aktualizace nabízí jejich dodavatel.
Rozsah problému byl podle bezpečnostních přehledů široký: chyby se týkaly verzí PHP od 5.4 do 8.5. TechTarget uvedl odhad, že PHP pohání přibližně 70 % webu, a citoval údaj společnosti Palo Alto Networks o více než 22,6 milionu potenciálně zranitelných instancí vystavených internetu. Jde o odhady možného dosahu, nikoli o počet potvrzeně napadených serverů. 14
23
Pokusy o útok nejsou totéž co úspěšný průnik
Amazon Threat Intelligence podle médií zaznamenal v telemetrii svého honeypotu pokus o zneužití už 17. října, tedy před veřejným oznámením. Další zprávy popisují následné pokusy o útok. Samotná detekce pokusů ale nepotvrzuje, že útočníci převzali kontrolu nad produkčními servery. 4
Také odhady rizika se vyvíjely. Společnost Sansec 22. října uvedla, že masové zneužívání je méně pravděpodobné, než se obávala v den vydání oprav. Z dostupných zpráv proto nelze vyvozovat, že PHP2Shell vedla k rozsáhlé vlně úspěšných průniků. Je důležité rozlišovat mezi pokusem o útok, funkční ukázkou zneužití a potvrzeným napadením systému. 10
Americká NSA doporučila organizacím zmapovat služby závislé na zranitelných verzích PHP a upřednostnit dostupné opravy. CISA rovněž vyzvala k okamžité aktualizaci; pokyny pro zákazníky zveřejnily také Google, AWS a Microsoft. 3
17
18
Další upozornění a otevřené otázky
Dne 23. října PHP upozornilo na související, ale nepravděpodobnou cestu ke vzdálenému spuštění kódu, vedenou jako CVE-2026-115560. Týká se neobvyklé kombinace nastavení relací. Do příští pravidelné opravy PHP doporučilo vypnout session.upload_progress.enabled=0. Oficiální upozornění dodává, že aplikace, které za běhu nemění serializační obslužnou rutinu, mohou tuto funkci ponechat zapnutou. 19
Dostupné podklady potvrzují, že při hledání chyb pomáhala umělá inteligence. Samy o sobě ale nedokládají, zda AI v tomto případě přinesla větší výhodu obráncům, nebo útočníkům. Stejně tak z nich nelze spolehlivě doložit některá širší tvrzení o konkrétním selhání PHP Foundation nebo o souvisejících plánech OpenAI. 6
21
Praktický závěr je méně dramatický než některé titulky: organizace měly zkontrolovat své instalace PHP a nasadit odpovídající opravy. Vysoký počet potenciálně zranitelných serverů je důvodem k rychlé reakci, nikoli důkazem, že všechny už někdo napadl. 17
23
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: co se stalo a proč správci webů dostali jen pár hodin navíc"?
PHP2Shell označuje dvě závažné chyby v jádru PHP. Obě dostaly hodnocení CVSS 9,2 a za určitých podmínek mohly umožnit vzdálené spuštění kódu bez přihlášení.
What are the key points to validate first?
PHP2Shell označuje dvě závažné chyby v jádru PHP. Obě dostaly hodnocení CVSS 9,2 a za určitých podmínek mohly umožnit vzdálené spuštění kódu bez přihlášení. Na odhalení se podílely Calif a Wiz; zprávy popisují využití nástrojů GPT 5.6 Sol, Wiz Atlas a Gemini 4 Argon.
What should I do next in practice?
Po úniku informací 20. října vydal projekt PHP opravy už 21.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
cyberkendra.comPHP2Shell: Critical PHP Flaws Allow Remote Code Execution
infosecurity-magazine.comPHP2Shell Exploitation Attempt Detected Four Days Before Disclosure
scworld.comCISA advises orgs to patch PHP2Shell bugs immediately