AnswersPublished22 sources
PHP2Shell: co znamenají kritické chyby PHP a jaké verze je opravují
PHP2Shell jsou dvě zranitelnosti PHP, které mohou útočníkovi bez přihlášení umožnit vzdálené spuštění kódu na napadeném serveru. Opravené verze vyšly 21.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- PHP2Shell jsou dvě zranitelnosti PHP, které mohou útočníkovi bez přihlášení umožnit vzdálené spuštění kódu na napadeném serveru.
- Opravené verze vyšly 21. října 2026.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell je označení pro dvě kritické zranitelnosti v PHP: CVE-2026-109618 a CVE-2026-109619. Obě získaly v systému CVSS v4.0 hodnocení 9,2 z 10 a mohou umožnit vzdálenému útočníkovi spustit kód na zranitelném serveru, aniž by se musel přihlásit. Opravy PHP vydalo 21. října 2026, poté co se informace o chybách dostaly na veřejnost před plánovaným oznámením. Brzy se objevily také zprávy o pokusech o útok — ty však nejsou důkazem úspěšného napadení. 1
3
14
Co zranitelnosti PHP2Shell dělají
Chyby se týkají zpracování požadavků a práce s pamětí přímo v PHP, nikoli konkrétního webového frameworku. CVE-2026-109618 souvisí se zpracováním nedostatku paměti, zatímco CVE-2026-109619 s ponecháním neplatného interního stavu. U obou je uváděným rizikem vzdálené spuštění kódu bez ověření totožnosti útočníka. 1
14
Proto záleží na verzi samotného PHP, i když v kódu webové aplikace není známá žádná chyba. Podle provozních pokynů je třeba prověřit instalace PHP, které obsluhují webové požadavky. 55
Které verze PHP jsou opravené
PHP zveřejnilo opravená vydání 21. října 2026. Jde o tyto verze:
Pokud systém používá starší vydání některé z těchto větví, měl by být aktualizován na odpovídající opravenou verzi. Zprávy také uváděly, že informace o chybách unikly před plánovaným oznámením, a vydání oprav se proto urychlilo. 3
13
33
Jak se informace dostaly na veřejnost
Příspěvek na Hacker News z 20. října uvedl identifikátory obou zranitelností CVE a tvrdil, že podrobnosti mají být zveřejněny 22. října. Příspěvek byl smazán, jeho snímky obrazovky se ale dál šířily. Bezpečnostní výzkumníci následně potvrdili, že informace jsou skutečné a že se na zranitelnosti vztahovalo embargo. 3
Podle zveřejněných zpráv chybu odhalil výzkumník Calif s pomocí modelu OpenAI. Zranitelnosti nezávisle objevila a nahlásila také společnost Wiz. Dostupné informace nepotvrzují, že chyby existovaly zhruba 20 let, ani neumožňují přiřadit každou zranitelnost konkrétnímu objevitelskému týmu. 27
33
Odstávky a doporučení úřadů
Některé organizace preventivně odstavily služby, zatímco řešily riziko. Zprávy zmiňovaly služby spojované s japonským ministerstvem financí, platformou BambooHR, přístavem v Rotterdamu a Wikimedia. Samotná odstávka ale nedokazuje, že byl některý z těchto provozovatelů napaden. 19
Americká agentura CISA vyzvala organizace provozující weby na PHP, aby opravy nainstalovaly bez odkladu. 33 Dostupné zprávy neposkytují úplný přehled preventivních odstávek ani nepotvrzují všechny zmínky o zasažených nemocnicích, školách a státních službách.
Co víme o pokusech o zneužití — a co z toho neplyne
Zprávy popisují aktivitu před zveřejněním zranitelností i po něm:
- Amazon uvedl, že jeho honeypot MadPot zaznamenal pokus o zneužití 17. října, tedy před vydáním oprav 21. října. Záznam z honeypotu dokládá pokus proti tomuto senzoru, nikoli úspěšné napadení jiného serveru.
50
58
- Cloudflare oznámil tisíce pokusů během deseti hodin před veřejným oznámením a miliony dalších po něm. Jde o pokusy zaznamenané v jeho síti, ne o počet úspěšně napadených serverů.
36
- CISA v době svého upozornění uvedla, že zneužití nezaznamenala. To popisuje její tehdejší pozorování a nevylučuje pokusy zachycené jinými bezpečnostními firmami s odlišnými zdroji dat.
- Sophos opravil své dřívější tvrzení o úspěšném zneužití v prostředích zákazníků. Podle aktualizovaného vyjádření jeho telemetrie ukazovala skenování a několik neúspěšných pokusů; k danému okamžiku neměl důkaz o úspěšném napadení ve vlastních sledovaných prostředích.
7
Souhrn těchto zjištění je důvodem brát PHP2Shell vážně: pokusy o útok byly zaznamenány a možný dopad je závažný. Dostupné údaje však nedokazují, že každý pokus uspěl, ani neposkytují celkový spolehlivý počet napadených systémů.
Co dostupné informace nepotvrzují
Zveřejněné zprávy neposkytují spolehlivý počet zranitelných serverů dostupných z internetu. Nepotvrzují ani tvrzení, že chyby existovaly zhruba 20 let, nebo že útočníci použili umělou inteligenci k vývoji útoků na PHP2Shell. O použití AI se hovořilo v souvislosti s objevováním zranitelností; to ale není důkaz o tom, jak je útočníci našli nebo zneužili. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: co znamenají kritické chyby PHP a jaké verze je opravují"?
PHP2Shell jsou dvě zranitelnosti PHP, které mohou útočníkovi bez přihlášení umožnit vzdálené spuštění kódu na napadeném serveru.
What are the key points to validate first?
PHP2Shell jsou dvě zranitelnosti PHP, které mohou útočníkovi bez přihlášení umožnit vzdálené spuštění kódu na napadeném serveru. Opravené verze vyšly 21. října 2026.