AnswersPublished17 sources
Kritické chyby PHP2Shell: proč je potřeba aktualizovat PHP bez odkladu
PHP2Shell jsou dvě zranitelnosti PHP, CVE 2026 109618 a CVE 2026 109619, které mohou umožnit vzdálené spuštění kódu bez přihlášení. Protože PHP využívají weby a služby postavené například na WordPressu, Drupalu či Joomle, je třeba prověřit samotné PHP na serveru, nejen aktualizovat redakční systém.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- PHP2Shell jsou dvě zranitelnosti PHP, CVE 2026 109618 a CVE 2026 109619, které mohou umožnit vzdálené spuštění kódu bez přihlášení.
- Protože PHP využívají weby a služby postavené například na WordPressu, Drupalu či Joomle, je třeba prověřit samotné PHP na serveru, nejen aktualizovat redakční systém.
- Bezpečnostní opravy vyšly 21. října 2026.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the two critical PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619), how can attackers exploit them without login cred. Article summary: PHP2Shell is the collective name for two critical PHP runtime vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can enable remote code execution without authentication. [7][8] PHP maintainers released emergency . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell je souhrnné označení pro dvě kritické zranitelnosti běhového prostředí PHP: CVE-2026-109618 a CVE-2026-109619. Mohou útočníkovi umožnit vzdáleně spustit kód na zranitelném serveru, aniž by se musel přihlásit. Vývojáři PHP vydali bezpečnostní opravy 21. října 2026 a komisařka singapurské Agentury pro kybernetickou bezpečnost (CSA) Gwenda Fong vyzvala organizace k rychlému zásahu následující den. 5
6
Co je dobré vědět
- Jde o chyby v samotném PHP. Riziko se netýká jen jednoho redakčního systému nebo konkrétního webu.
5
24
- Útočník nepotřebuje účet. Pokud zneužití uspěje, může podle nastavení a oprávnění napadené služby získat kontrolu nad webovým serverem, dostat se k datům nebo narušit provoz.
- Zranitelný systém automaticky neznamená napadený systém. Aktualizace je nutná, ale organizace by měla zvlášť prověřit, zda už někdo zranitelnost nezneužil.
Jak zranitelnosti fungují
Obě chyby souvisejí s tím, jak PHP nakládá s pamětí a stavem požadavků. Podle technického popisu může CVE-2026-109618 při nedostatku paměti ponechat stav požadavku v neplatném stavu. CVE-2026-109619 se týká globálního stavu spojeného s požadavkem, který může být použit i poté, co byla jeho paměť uvolněna. Tyto chyby mohou vytvořit cestu ke vzdálenému spuštění kódu. 1
V praxi to znamená, že zranitelná služba může zpracovat škodlivý požadavek bez ověření identity útočníka. Pokud se útok podaří, kód běží v kontextu dané služby; konkrétní dopad závisí mimo jiné na jejích oprávněních a konfiguraci. 11
24
Proč se týká i běžných webů
PHP pohání mnoho webů a online služeb. Používají ho také weby postavené na platformách jako WordPress, Drupal nebo Joomla. Proto nestačí předpokládat, že aktualizace redakčního systému vyřeší problém: organizace musí ověřit a případně aktualizovat i PHP, které na serveru skutečně běží. 9
24
Načasování varování bylo důležité: bezpečnostní opravy vyšly 21. října a Gwenda Fong vyzvala organizace k rychlému jednání už 22. října. CSA upozornila, že zejména menší firmy nemusejí vědět, že jejich systémy jsou zranitelné. To ale samo o sobě nepotvrzuje, že už byly napadeny. 6
9
CSA také uvedla, že urychluje aktualizace ve spolupráci s vládními agenturami, vlastníky kritické informační infrastruktury, velkými podniky a partnery z oboru. Menší organizace chce oslovovat prostřednictvím podnikatelských sdružení, poskytovatelů kybernetické bezpečnosti a technologických partnerů. 27
Co by měly organizace udělat
- Zmapovat všechny instalace PHP. Prověřte prostředí, které obsluhuje weby, aplikace a online služby, včetně systémů spravovaných externím vývojářem nebo poskytovatelem hostingu. Pokyny CSA obsahují také informace, jak zranitelné instalace hledat.
- Přednostně opravit systémy dostupné z internetu. Nainstalujte aktualizaci určenou pro používanou větev PHP a dané hostingové prostředí. Ověřte, že byla aktualizována skutečně běžící služba PHP, nejen software webu. Opravy vyšly 21. října.
6
- Prověřit možné zneužití. Aktualizace omezí další vystavení riziku, ale neřekne, zda útočník systém napadl už dříve. Zkontrolujte dostupné bezpečnostní záznamy a postupujte podle doporučení CSA pro sledování možných pokusů o zneužití.
- Požádat o pomoc, pokud stav nedokážete ověřit. Obraťte se na interní IT, správce webu nebo poskytovatele hostingu. Požádejte je o potvrzení používané verze PHP, instalované opravy a případných známek napadení. Zvláštní pozornost tomu mohou věnovat menší firmy, které správu IT svěřují externím dodavatelům.
27
- Řídit se technickým upozorněním CSA. Singapurský tým SingCERT zveřejnil upozornění „Critical Vulnerabilities in PHP (PHP2Shell)“ s dalšími pokyny pro vlastníky webů, poskytovatele služeb, správce systémů a bezpečnostní týmy.
Prvním krokem je zjistit, které služby PHP jsou vystavené internetu, a bez odkladu je aktualizovat. Pokud systém před opravou používal zranitelnou verzi, prověřte možné napadení samostatně — samotná instalace aktualizace tuto otázku nevyřeší. 5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Kritické chyby PHP2Shell: proč je potřeba aktualizovat PHP bez odkladu"?
PHP2Shell jsou dvě zranitelnosti PHP, CVE 2026 109618 a CVE 2026 109619, které mohou umožnit vzdálené spuštění kódu bez přihlášení.
What are the key points to validate first?
PHP2Shell jsou dvě zranitelnosti PHP, CVE 2026 109618 a CVE 2026 109619, které mohou umožnit vzdálené spuštění kódu bez přihlášení. Protože PHP využívají weby a služby postavené například na WordPressu, Drupalu či Joomle, je třeba prověřit samotné PHP na serveru, nejen aktualizovat redakční systém.
What should I do next in practice?
Bezpečnostní opravy vyšly 21. října 2026.
Sources