AnswersPublished23 sources
PHP2Shell: proč je důležité PHP co nejdříve aktualizovat
PHP2Shell tvoří dvě kritické zranitelnosti, CVE 2026 109618 a CVE 2026 109619. Obě mají podle CVSS v4.0 hodnocení 9,2 a mohou umožnit vzdálené spuštění kódu bez přihlášení.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- PHP2Shell tvoří dvě kritické zranitelnosti, CVE 2026 109618 a CVE 2026 109619. Obě mají podle CVSS v4.0 hodnocení 9,2 a mohou umožnit vzdálené spuštění kódu bez přihlášení.
- Jedna chyba souvisí se zpracováním nedostatku paměti, druhá se zastaralým interním stavem.
- Pokusy o zneužití byly zaznamenány, mimo jiné v honeypotu Amazonu. Samotný záznam pokusu ale nepotvrzuje průnik do skutečného produkčního systému.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell je souhrnné označení dvou kritických zranitelností v jádru PHP: CVE-2026-109618 a CVE-2026-109619. Obě mají podle systému CVSS v4.0 hodnocení 9,2 z 10, tedy Critical, a mohou útočníkovi bez přihlášení umožnit spustit kód na zranitelném serveru. Vývojáři PHP vydali mimořádné opravy 21. října 2026. 
Pro správce webů a serverů je nejdůležitější nainstalovat opravu. Zprávy o pokusech o zneužití — včetně záznamu z honeypotu Amazonu ještě před zveřejněním zranitelností — jsou důvodem neotálet. Neprokazují však, že útočník pronikl do produkčního systému. 36
Co se při PHP2Shell děje
Dvě chyby mají podle dostupných informací odlišné mechanismy:
- CVE-2026-109618 souvisí s nedostatkem paměti. Při jeho zpracování může PHP přerušit práci ve chvíli, kdy jsou interní údaje požadavku inicializovány jen částečně. Při následném úklidu pak může s neplatnými daty zacházet jako s platnými.
58
- CVE-2026-109619 souvisí se zastaralým interním stavem. Popis chyby uvádí, že stav spojený s požadavkem může přetrvat i poté, co byla uvolněna paměť, kterou využíval. Jde o problém typu use-after-free — použití paměti po jejím uvolnění.
9
Zranitelnosti se týkají zpracování speciálně upravených HTTP požadavků, včetně dat ve formátu multipart/form-data, který se běžně používá při odesílání souborů přes webový formulář. 1
Proč je hodnocení 9,2 — a co samo o sobě neříká
Obě zranitelnosti mají podle CVSS v4.0 hodnocení 9,2 z 10, Critical. Závažnost vyplývá mimo jiné z možnosti vzdáleného spuštění kódu bez přihlášení: útočník se tedy nemusí nejprve dostat k platnému účtu, aby se o útok pokusil.
Dostupné podklady neobsahují úplné vektory CVSS, a proto z nich nelze přesně rozebrat, jak jednotlivé vstupní parametry vedly právě k hodnotě 9,2. Skóre popisuje závažnost zranitelnosti — neříká, jak pravděpodobný je útok na konkrétní server ani zda některý zaznamenaný pokus uspěl.
Které verze PHP opravy obsahují
Podle zveřejněných zpráv začíná zranitelný rozsah verzí u PHP 5.4. 55 Pro větve PHP 8.x jsou uvedena tato mimořádná opravená vydání:
| Větev PHP | Opravená verze |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Všechny uvedené verze vyšly 21. října 2026. Aktualizujte na opravené vydání odpovídající vaší větvi, případně na novější vydání v téže větvi.
Seznam zahrnuje opravy pro větve 8.2 až 8.5. Pokud váš systém používá starší nebo nepodporovanou větev, ověřte možnosti aktualizace u distributora PHP nebo dodavatele operačního systému. Nepředpokládejte, že se na ni některá z uvedených verzí vztahuje přímo.
Únik informací a pokusy o zneužití nejsou totéž co potvrzený průnik
Informace o zranitelnostech se dostaly na veřejnost 20. října, tedy před plánovaným zveřejněním 22. října. PHP následně vydalo mimořádné opravy 21. října. 8
42 Zdroje potvrzují předčasné zveřejnění a dřívější vydání oprav, neprokazují však, že spouštěčem bylo chybně zveřejněné demonstrační video společnosti Calif.
Amazon Threat Intelligence uvedla, že v telemetrii svého honeypotu MadPot našla pokus o zneužití PHP2Shell z 17. října — čtyři dny před veřejným oznámením. Amazon také uvedl, že kolem vydání oprav 21. října zaznamenal proof-of-concept exploity. Honeypot je návnadový systém: jeho záznam dokládá aktivitu namířenou proti němu, nikoli potvrzený průnik do skutečné organizace.
Cloudflare uvedl, že v době zveřejnění nasadil ochranná opatření, a dobové zprávy popisovaly pokusy či škodlivý provoz zaznamenaný bezpečnostními společnostmi. 55
35 Informace o rozsahu a úspěšnosti útoků se ale rozcházely. Někteří dodavatelé hlásili aktivní nebo rozsáhlé zneužívání, zatímco jiné dobové zprávy uváděly, že státní instituce úspěšné útoky nepotvrdily.
33
36
Dostupné důkazy jsou důvodem brát pokusy o zneužití vážně. Neopravňují ale k závěru, že každý zaznamenaný pokus skončil průnikem nebo že útoky byly plošné. Při vyhodnocování rizika i bezpečnostních hlášení je důležité tyto situace rozlišovat.
Co dělat do instalace opravy
Hlavním řešením je přejít na opravenou verzi PHP. Podle AWS je aktualizace jedinou úplnou nápravou. Pokud ji nelze provést okamžitě, lze dočasně omezit riziko například blokováním nahrávání souborů přes multipart/form-data. Takové opatření ale aktualizaci nenahrazuje.
Kanadské kybernetické centrum vydalo kritické upozornění, které popisuje zranitelnosti i riziko spuštění kódu bez ověření totožnosti. 2 Dostupné zdroje také uvádějí doporučení NSA odstavit systémy, které nelze bezodkladně aktualizovat.
27 Řiďte se rovněž pokyny dodavatele svého řešení a příslušnými vládními doporučeními — obzvlášť pokud je PHP součástí hotového produktu nebo jeho aktualizace zajišťuje poskytovatel hostingu.
Praktický závěr je jednoduchý: zjistěte, kde všude ve vaší infrastruktuře PHP běží, nainstalujte odpovídající opravu a bezpečnostní upozornění vyhodnocujte pečlivě. Závažnost PHP2Shell vyžaduje rychlou reakci, ale pokus o útok, funkční exploit a potvrzené napadení produkčního systému jsou tři odlišné věci.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: proč je důležité PHP co nejdříve aktualizovat"?
PHP2Shell tvoří dvě kritické zranitelnosti, CVE 2026 109618 a CVE 2026 109619. Obě mají podle CVSS v4.0 hodnocení 9,2 a mohou umožnit vzdálené spuštění kódu bez přihlášení.
What are the key points to validate first?
PHP2Shell tvoří dvě kritické zranitelnosti, CVE 2026 109618 a CVE 2026 109619. Obě mají podle CVSS v4.0 hodnocení 9,2 a mohou umožnit vzdálené spuštění kódu bez přihlášení. Jedna chyba souvisí se zpracováním nedostatku paměti, druhá se zastaralým interním stavem.
What should I do next in practice?
Pokusy o zneužití byly zaznamenány, mimo jiné v honeypotu Amazonu. Samotný záznam pokusu ale nepotvrzuje průnik do skutečného produkčního systému.