AnswersPublished25 sources
PHP2Shell: co se stalo a které verze PHP jsou opravené
Dne 21. října PHP vydalo opravy dvou kritických chyb umožňujících vzdálené spuštění kódu bez přihlášení. Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Dne 21. října PHP vydalo opravy dvou kritických chyb umožňujících vzdálené spuštění kódu bez přihlášení.
- Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Správci serverů by měli ověřit používanou verzi PHP a nainstalovat odpovídající opravu.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Dvě kritické chyby v PHP, označované jako PHP2Shell a evidované pod čísly CVE-2026-109618 a CVE-2026-109619, vedly k mimořádně rychlé bezpečnostní reakci. PHP vydalo opravy 21. října 2026 poté, co informace o zranitelnostech unikly ještě před plánovaným zveřejněním. O den později bezpečnostní firmy hlásily prudký nárůst pokusů o jejich zneužití. Odhad, že PHP používá zhruba 70 % webů, vysvětluje rozsah obav — neznamená však, že bylo napadeno 70 % webových stránek. 1
2
9
18
19
Co chyby PHP2Shell umožňovaly
Šlo o chyby umožňující vzdálené spuštění kódu (RCE). Za určitých podmínek tak útočník mohl spustit kód na zranitelném serveru, aniž by se nejprve přihlásil. Jedna chyba souvisela s poškozením paměti při jejím nedostatku, druhá se zastaralým globálním stavem programu. 6
7
Podle dostupných zpráv sahala potenciálně zasažená řada až k PHP 5.4. Široký rozsah možného dopadu ale sám o sobě nedokazuje, že každá instalace PHP byla zranitelná ve svém konkrétním nastavení nebo že byla úspěšně napadena. 14
21
Opravy vyšly po předčasném úniku
PHP zveřejnilo opravené verze 21. října: 8.5.12, 8.4.27, 8.3.36 a 8.2.35. 1
6 Stalo se tak po úniku informací 20. října, tedy před plánovaným zveřejněním 22. října. Předčasný únik narušil koordinovaný harmonogram a vedl k vydání nouzových oprav.
2
9
13
Provozovatelé by měli zjistit, kterou verzi PHP používá každý server přístupný z internetu, a nainstalovat opravu určenou pro příslušnou větev. Doporučení se týkají instalací, které zpracovávají webové požadavky; není bezpečné předpokládat, že problém zasahuje jen určitý web nebo aplikaci. 7
11
Při hledání chyb pomáhala AI, opravy připravili lidé
OpenAI uvedla, že bezpečnostní firma Calif odhalila jednu z chyb s pomocí modelu GPT-5.6 Sol v rámci iniciativy Patch the Planet. Společnost Wiz nezávisle objevila a nahlásila obě zranitelnosti. Opravy a jejich vydání vedli správci PHP. 48
OpenAI také uvedla, že předchozí dva měsíce koordinovala práci správců, výzkumníků a bezpečnostních společností. Tento případ ukazuje využití AI při bezpečnostním výzkumu, nikoli to, že by chyby bez lidského zapojení sama objevila, ověřila nebo opravila. 35
48
Přibylo pokusů o útoky, nikoli potvrzený počet průniků
Cloudflare hlásil nárůst z tisíců pokusů o zneužití před zveřejněním informací na miliony poté. Amazon měl zaznamenat pokus o útok už 17. října, tedy čtyři dny před veřejným zveřejněním. Jde o hlášené pokusy, nikoli o počet úspěšných napadení. 19
Bezpečnostní firmy zaznamenaly aktivitu i mimo takzvané honeypoty — návnadové systémy určené ke sledování útoků. V té době však oficiální úřady tato hlášení nepotvrdily. 17 Zprávy zároveň popisovaly preventivní odstávky vládních webů a služeb, mimo jiné více než 30 služeb britské vlády.
23
Americká Národní bezpečnostní agentura (NSA) varovala, že útočníci mohou chyby využít k převzetí kontroly nad webovými servery, krádeži dat, narušení služeb nebo k dalšímu průniku do sítí. USA Today uvedl, že agentura doporučila webům, které nemohou problém rychle opravit, aby přešly do režimu offline. 18
23
Dostupné zprávy dokládají rychlou reakci a vysoký objem pokusů o útok. Neposkytují však celosvětový součet úspěšných průniků. Ani odhad podílu webů využívajících PHP nelze zaměňovat za počet potvrzeně zranitelných nebo napadených stránek.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: co se stalo a které verze PHP jsou opravené"?
Dne 21. října PHP vydalo opravy dvou kritických chyb umožňujících vzdálené spuštění kódu bez přihlášení.
What are the key points to validate first?
Dne 21. října PHP vydalo opravy dvou kritických chyb umožňujících vzdálené spuštění kódu bez přihlášení. Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Správci serverů by měli ověřit používanou verzi PHP a nainstalovat odpovídající opravu.