AnswersPublished33 sources
PHP2Shell: co znamenají chyby v PHP a jak je opravit
PHP2Shell jsou dvě kritické chyby v zabezpečení paměti, které mohou za určitých podmínek umožnit útočníkovi spustit kód na serveru bez přihlášení. Aktualizujte PHP runtime, který obsluhuje webové požadavky, nebo použijte opravu od dodavatele produktu.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- PHP2Shell jsou dvě kritické chyby v zabezpečení paměti, které mohou za určitých podmínek umožnit útočníkovi spustit kód na serveru bez přihlášení.
- Aktualizujte PHP runtime, který obsluhuje webové požadavky, nebo použijte opravu od dodavatele produktu.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell je souhrnné označení pro dvě kritické zranitelnosti v samotném běhovém prostředí PHP: CVE-2026-109618 a CVE-2026-109619. Za určitých podmínek mohou útočníkovi bez přihlášení umožnit vzdálené spuštění kódu na serveru. PHP vydalo opravy 21. října 2026 ve verzích 8.2.35, 8.3.36, 8.4.27 a 8.5.12.5
36 Provozovatelé by měli aktualizovat runtime, který zpracovává webové požadavky, případně nainstalovat opravu od dodavatele daného produktu, a následně ověřit, že změna platí i pro běžící službu.
Co obě zranitelnosti způsobují
Obě chyby souvisejí s bezpečností práce s pamětí přímo v PHP, nikoli s chybou v konkrétní webové aplikaci. Popsané scénáře zahrnují práci se zastaralou nebo již uvolněnou pamětí během běhu PHP.6
9
- CVE-2026-109618 souvisí se zpracováním průběhu nahrávání souborů a chybou typu use-after-free. Podle Wiz může za předvedených podmínek vést k odhalení obsahu paměti procesu PHP a přispět k poškození paměti i spuštění kódu.
6
- CVE-2026-109619 se týká práce s pamětí při vytváření zásobníku volání po fatální chybě a v souvislosti s OPcache. Podle upozornění PHP může zastaralý interní stav využít pozdější požadavek zpracovaný stejným pracovním procesem.
36
V citovaných zprávách mají zranitelnosti hodnocení 9,2 na škále CVSS.2
37 Wiz uvádí, že PHP používá přibližně 70 % internetu. Jde však o odhad rozšíření technologie — neznamená to, že je stejným způsobem zranitelných nebo kompromitovaných 70 % webů.
6
Které verze PHP jsou zasažené a kde jsou opravy
Zprávy uvádějí zranitelné verze od PHP 5.4 až po 8.5.11.56 PHP zveřejnilo opravené verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12.
36 Pokud systém používá starší nebo nepodporovanou verzi, ověřte u distributora PHP nebo dodavatele produktu, zda poskytuje podporovanou aktualizaci či zpětně přenesenou opravu. Nepředpokládejte, že pro daný systém půjde jednoduše nainstalovat běžné nové vydání PHP.
17
54
Samotná aktualizace balíčku PHP nemusí stačit, pokud web nebo zařízení používá vlastní, oddělený runtime. Zjistěte, která instalace PHP skutečně obsluhuje webové požadavky, a u produktů s přibaleným PHP postupujte podle pokynů jejich výrobce.5
54
Při hledání pomáhala AI, přesná časová osa se ale liší
Na výzkumu se podle zpráv podílely Calif, OpenAI a Wiz; popisy objevu zmiňují také pomoc modelů umělé inteligence.4
16 Zdroje se rozcházejí v tom, kdy výzkum začal: USA Today píše o prvním objevu společnosti Calif v červenci a nezávislém objevu Wiz v srpnu, zatímco The Register klade práci výzkumníků do období od srpna do září.
4
47 Některé zprávy zmiňují také modely Google, dostupné informace však neupřesňují jejich konkrétní přínos ani míru samostatnosti.
50
Je proto důležité rozlišovat mezi výzkumem s pomocí AI a tvrzením, že AI sama obě chyby nezávisle našla, ověřila a opravila. Zprávy popisují zapojení lidských výzkumníků i správců PHP.4
16
Co znamená souvislost s PAN-OS
Společnost Palo Alto Networks zveřejnila upozornění k dopadu obou zranitelností PHP na své produkty; mezi uvedenými produktovými řadami je i PAN-OS.34
35 Samotné upozornění ale nedokládá, že každá instalace PAN-OS je vystavena stejné cestě útoku jako webový server s PHP. Rozhodující jsou konkrétní konfigurace a opravy dodavatele.
Správci by měli v aktuálním upozornění Palo Alto Networks ověřit stav konkrétního produktu a jeho verze a řídit se pokyny výrobce. Nepovažujte termíny z neoficiálních přehledů za potvrzení, že je oprava dostupná: jeden z šířených trackerů výslovně uvádí, že informace o stavu oprav generovala AI a je nutné je ověřit.21
Pokusy o útok nejsou totéž co potvrzené napadení
Zpráva o threat intelligence popisuje pokus o zneužití zaznamenaný 17. října, tedy před veřejným technickým zveřejněním a vydáním oprav 21. října.53 Podle serveru Nextgov pak provoz zaznamenaný Cloudflare vzrostl z tisíců pokusů na miliony.
22 Jde o počty pokusů o útok, nikoli o počet úspěšně převzatých serverů.
Zprávy o úspěšném zneužití se rozcházejí. BBC 22. října uvedla, že do té doby nebyl hlášen žádný úspěšný útok.18 Později Unit 42 od Palo Alto Networks sdělila, že nemůže potvrdit, zda aktivita, kterou původně spojovala s PHP2Shell, souvisela s těmito konkrétními CVE, a svou dřívější aktualizaci stáhla.
30 Dostupné informace tedy potvrzují hlášení o pokusech o zneužití, ale neumožňují jasně určit, zda došlo k úspěšným průnikům, které lze připsat PHP2Shell.
Některé úřady a firmy údajně dočasně odstavily online služby, zatímco připravovaly nebo instalovaly opravy.26
51 Opatrnostní odstávka sama o sobě není důkazem, že byl daný provozovatel napaden.
Co mají udělat organizace a provozovatelé webů
- Najděte všechny instalace PHP. Prověřte weby, aplikační servery, kontejnery, hostingová prostředí i zařízení. U hostingu nebo správce služeb si nechte potvrdit používaný runtime a příslušnou opravu.
- Nainstalujte ověřenou aktualizaci. Použijte opravené vydání PHP nebo balíček od dodavatele, který obsahuje příslušné opravy. U zařízení a jiného softwaru s přibaleným PHP postupujte podle pokynů výrobce.
17
54
- Zkontrolujte běžící službu. Ověřte, že aktualizaci dostala webová instalace PHP, nejen případná samostatná verze pro příkazovou řádku. Zkontrolujte také, zda potřebné procesy a služby běží s opraveným runtime.
- Omezte riziko, pokud nemůžete opravit hned. NSA doporučuje upřednostnit opravy od dodavatelů a při nemožnosti okamžité aktualizace systém odstavit.
25
- Oddělte instalaci opravy od vyšetřování. Aktualizace uzavře zranitelnost, ale sama neprokáže, zda dříve nedošlo k průniku. Pokud máte důvod se domnívat, že k němu mohlo dojít, prověřte příslušné záznamy a aktivitu systému.
Pokud vlastníte web, ale jeho server nespravujete, obraťte se na poskytovatele hostingu nebo správce a zeptejte se, zda PHP aktualizoval. Opravy neinstalujte z nevyžádaných zpráv — řiďte se oficiálními pokyny svého poskytovatele.
Podstatné je nezaměňovat tři různé věci: zranitelný systém, pokus o útok a skutečně kompromitovaný systém. Aktualizujte dotčený runtime, stav oprav produktů jako PAN-OS ověřujte u jejich výrobce a případné podezření na průnik posuzujte zvlášť.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: co znamenají chyby v PHP a jak je opravit"?
PHP2Shell jsou dvě kritické chyby v zabezpečení paměti, které mohou za určitých podmínek umožnit útočníkovi spustit kód na serveru bez přihlášení.
What are the key points to validate first?
PHP2Shell jsou dvě kritické chyby v zabezpečení paměti, které mohou za určitých podmínek umožnit útočníkovi spustit kód na serveru bez přihlášení. Aktualizujte PHP runtime, který obsluhuje webové požadavky, nebo použijte opravu od dodavatele produktu.