AnswersPublished25 sources
PHP2Shell: proč byly dvě chyby v PHP tak závažné
Dvě chyby PHP2Shell mohly umožnit vzdálené spuštění kódu bez přihlášení. Každá dostala v systému CVSS 4.0 hodnocení 9,2 z 10.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Dvě chyby PHP2Shell mohly umožnit vzdálené spuštění kódu bez přihlášení. Každá dostala v systému CVSS 4.0 hodnocení 9,2 z 10.
- Calif při hledání jedné z chyb využila GPT 5.6 Sol od OpenAI; společnost Wiz nezávisle objevila a nahlásila obě zranitelnosti.
- Opravy vyšly 21. října 2026.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell je označení pro dvě kritické zranitelnosti přímo v PHP, programovacím jazyce používaném v zákulisí řady webů a webových aplikací. Chyby CVE-2026-109618 a CVE-2026-109619 mohly útočníkům umožnit vzdáleně spustit kód na serveru, a to i bez přihlášení. Obě získaly v systému CVSS 4.0 hodnocení 9,2 z 10. Opravy PHP vydalo 21. října 2026. 8
9
10
Případ zároveň upozornil na rostoucí roli umělé inteligence v bezpečnostním výzkumu. Calif jednu z kritických chyb identifikovala s pomocí modelu GPT-5.6 Sol od OpenAI, zatímco Wiz obě zranitelnosti objevila a nahlásila nezávisle. Zprávy o skenování nebo pokusech o zneužití však nejsou důkazem, že útočníci skutečně pronikli na konkrétní servery. 20
29
34
Co chyby PHP2Shell umožňovaly
Nešlo o chybu konkrétního redakčního systému, webu ani zásuvného modulu, ale o zranitelnosti samotného PHP. U CVE-2026-109618 souvisel problém se zpracováním situace, kdy dojde paměť, zatímco interní data požadavku ještě nejsou kompletně připravena. CVE-2026-109619 se týkala zastaralého interního stavu, který mohl přetrvat i poté, co byla paměť, na niž odkazoval, uvolněna. Obě chyby mohly vést ke vzdálenému spuštění kódu. 10
26
Hodnocení 9,2 podle CVSS 4.0 řadí obě zranitelnosti do kritické kategorie. Riziko spočívalo v tom, že útočník mohl na zranitelném serveru spouštět vlastní kód přes síť, aniž by se nejprve musel přihlásit. 9
10
Jak se na odhalení podílela AI
Calif našla jednu kritickou chybu s pomocí GPT-5.6 Sol v rámci iniciativy Patch the Planet. Společnost Wiz obě zranitelnosti nezávisle objevila a nahlásila; podle zpráv při výzkumu využila svůj nástroj Wiz Atlas i modely Gemini 4 Argon a GPT-5.6 Sol. 20
29
Zdroje se mírně rozcházejí v časové ose prvního nálezu a jeho oznámení. Jedna zpráva uvádí, že Calif chyby objevila 1. srpna, jiná píše, že výzkumníci první zranitelnost nahlásili projektu PHP 11. srpna. Obě líčení popisují koordinovanou práci s vývojáři před říjnovým zveřejněním. 20
30
Je přitom důležité rozlišovat mezi AI jako pomocníkem při hledání chyb a AI jako nástrojem útoku. Dostupné zprávy dokládají AI asistovaný bezpečnostní výzkum, nikoli to, že by následné útoky provedla autonomní neboli „agentická“ AI.
Opravy vyšly v říjnu. Na samotném čísle verze ale nemusí záležet
Projekt PHP zveřejnil opravená vydání 21. října: 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Jde o čísla verzí vydávaných přímo projektem PHP. Linuxové distribuce mohou opravy přenést do svých balíčků, aniž by převzaly stejné číslo verze, proto by správci měli zkontrolovat také bezpečnostní upozornění své distribuce. 8
27
Po zveřejnění zranitelností některé organizace dočasně odstavily weby, zatímco posuzovaly riziko. Zprávy uváděly, že 21. října přestaly být dostupné některé vládní weby v Evropě i jinde. Podle jiného líčení přispěl únik podrobností o chybách k tomu, že PHP posunulo plánované vydání oprav o den dopředu. 21
22
33
Pro provozovatele webů je zásadní ověřit, že opravená verze běží právě na instanci PHP, která obsluhuje webový provoz. Poté je třeba nainstalovat odpovídající aktualizaci a řídit se pokyny poskytovatele ohledně případného restartu a ověření opravy. Pokud server spravuje hostingová firma, požádejte ji o potvrzení, že aktualizaci nasadila; samotné běžné fungování webu to nezaručuje. 8
24
Pokusy o útok nejsou potvrzeným průnikem
Cloudflare a Patchstack podle zpráv zaznamenaly skenování či pokusy o zneužití ještě před vydáním opravy 21. října. Pozdější bezpečnostní zpráva mluvila o milionech pokusů, zatímco BBC k 22. říjnu uváděla, že nejsou známy žádné úspěšné exploity. Tyto informace jsou důvodem k opatrnosti, ale nepotvrzují, že se útočníkům podařilo proniknout na servery, které se staly terčem pokusů. 2
3
34
Střízlivý závěr je tedy dvojí: PHP2Shell byla závažná hrozba, která rychle přitáhla pozornost útočníků a vyžadovala naléhavé záplatování. Počty skenování a pokusů ale nelze vydávat za počet potvrzených napadení. Citované zprávy také neposkytují spolehlivý odhad počtu vystavených webů ani důkaz o útocích provedených agentickou AI.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: proč byly dvě chyby v PHP tak závažné"?
Dvě chyby PHP2Shell mohly umožnit vzdálené spuštění kódu bez přihlášení. Každá dostala v systému CVSS 4.0 hodnocení 9,2 z 10.
What are the key points to validate first?
Dvě chyby PHP2Shell mohly umožnit vzdálené spuštění kódu bez přihlášení. Každá dostala v systému CVSS 4.0 hodnocení 9,2 z 10. Calif při hledání jedné z chyb využila GPT 5.6 Sol od OpenAI; společnost Wiz nezávisle objevila a nahlásila obě zranitelnosti.
What should I do next in practice?
Opravy vyšly 21. října 2026.
Sources
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...