AnswersPublished24 sources
PHP2Shell: co znamenají kritické chyby v PHP a jak se bránit
PHP2Shell tvoří dvě zranitelnosti umožňující vzdálené spuštění kódu bez ověření totožnosti; obě mají hodnocení CVSS 9,2 z 10. Opravy jsou ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
PublikovalUpraveno pomocí GPT-6 LunaObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- PHP2Shell tvoří dvě zranitelnosti umožňující vzdálené spuštění kódu bez ověření totožnosti; obě mají hodnocení CVSS 9,2 z 10.
- Opravy jsou ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Organizace by měly zmapovat nasazení PHP a co nejdříve nainstalovat aktualizaci od dodavatele.
- Bezpečnostní firmy hlásily pokusy o útok. Pokus o zneužití ale není důkazem úspěšného průniku.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell je označení pro dvě kritické zranitelnosti v samotném PHP: CVE-2026-109618 a CVE-2026-109619. Útočník bez přihlášení může prostřednictvím speciálně upraveného požadavku potenciálně spustit kód na zranitelném serveru. PHP vydalo mimořádné opravy 21. října 2026, poté co se informace o chybách dostaly na veřejnost před plánovaným zveřejněním. Hlášené pokusy o útok samy o sobě nepotvrzují, že útočníci skutečně pronikli do systémů. 4
6
15
Co zranitelnosti PHP2Shell způsobují
Obě chyby se týkají přímo PHP, nikoli konkrétní webové aplikace. Bezpečnostní upozornění uvádějí jako zranitelné PHP 5.4 a novější verze. Riziko se týká systémů, které PHP používají ke zpracování webového provozu. 8
14
Příčiny se liší: CVE-2026-109618 souvisí s poškozením paměti při nedostatku paměti, zatímco CVE-2026-109619 s neaktuálním globálním stavem. Obě chyby získaly v systému CVSS 4.0 skóre 9,2 a označení „kritické“. 4
15
PHP je rozšířené, dostupné zdroje však nepotvrzují spolehlivé procento všech webů, které jsou zranitelností zasažené. Odhady navíc mohou vycházet z různých základů, a proto je nelze zaměňovat za počet ohrožených webů. Pro správce je podstatné zjistit, zda jejich webové služby používají neopravenou instalaci PHP. 3
14
Předčasné zveřejnění a vydání oprav
Informace o zranitelnostech se dostaly na veřejnost 20. října, tedy den před vydáním mimořádných oprav a před původně plánovaným zveřejněním 22. října. 6
7
16
Cloudflare ve svém popisu zveřejnění uvedl Calif, Wiz, OpenAI a Quarkslab. Dobové zprávy psaly o výzkumu Calif s pomocí umělé inteligence a o tom, že Wiz zranitelnosti nezávisle objevil a nahlásil. Z dostupných zdrojů ale nelze přesně určit technický podíl jednotlivých účastníků. 14
20
Opravy vydané 21. října jsou součástí verzí PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. 15
16 Správci by měli zjistit, které verze PHP běží v produkčním prostředí, a přejít na odpovídající opravenou verzi nebo ověřenou opravu dodanou poskytovatelem. Někteří poskytovatelé mohou opravu zpětně začlenit do svého balíčku, aniž by změnili jeho základní číslo verze. Pokud se proto zobrazená verze zdá starší, ověřte stav v bezpečnostním upozornění poskytovatele.
1
Co se vědělo o pokusech o zneužití
Bezpečnostní zprávy z 21. října popisovaly pokusy o útok na tyto zranitelnosti. Cloudflare uvedl, že zaznamenal útočný provoz, a SecurityWeek napsal, že několik společností zabývajících se kybernetickou bezpečností zaznamenalo pokusy ještě před vydáním oprav PHP. 14
15
Dostupné informace tehdy nedávaly jednoznačnou odpověď na otázku, zda se útočníkům podařilo chyby úspěšně zneužít. Pozdější souhrn zpráv z 21. října uváděl, že CISA a Kanadské centrum pro kybernetickou bezpečnost v té době zneužití nezaznamenaly ani nepotvrdily, zatímco bezpečnostní firmy hlásily pokusy. Jde o rozdílná tvrzení: pokus o útok není důkazem úspěšného průniku a skutečnost, že jej určitý úřad nezaznamenal, zase nedokazuje, že k žádnému napadení nedošlo. 25
Aktualizace, přehled systémů a dočasná ochrana
Americká Národní bezpečnostní agentura (NSA) doporučila dát přednost opravám od dodavatelů a zmapovat hardware i softwarové služby závislé na zranitelných verzích PHP. 17 Podle zpráv vyzývala k okamžité instalaci oprav také CISA.
20 Pokud zasaženou službu nelze rychle aktualizovat, zprávy popisovaly doporučení dočasně ji odpojit od internetu, místo aby zůstala vystavená útokům.
7
21
Cloudflare uvedl, že od 21. října od 03:02 UTC měli jeho zákazníci s bezplatnou i placenou verzí WAF ve výchozím nastavení zapnutou ochranu proti PHP2Shell. WAF, tedy firewall pro webové aplikace, může představovat další obrannou vrstvu, nenahrazuje však aktualizaci zranitelného PHP. Samotné filtrování provozu není důkazem, že je server opravený. 14
17
Událost vedla také ke kontrolám mimo běžné webové hostingy. Help Net Security uvedl, že podle společnosti Palo Alto Networks byly zasaženy všechny verze PAN-OS a Panorama a v době vydání zprávy ještě nebyly dostupné opravy. 33 Rizika a opatření se u jednotlivých produktů liší. Organizace používající síťová zařízení nebo spravované platformy by proto měly postupovat podle upozornění jejich dodavatele a nepředpokládat, že aktualizace PHP vyřeší i tyto případy.
Co si z toho odnést
PHP2Shell je naléhavý důvod zkontrolovat a aktualizovat systémy: zmapujte služby používající PHP, nainstalujte opravenou verzi nebo potvrzenou opravu od dodavatele a dočasné odpojení či filtrování berte jen jako přechodné opatření. Zprávy z 21. října opravňují k obavám z pokusů o útok, nikoli však k tvrzení, že každý pokus znamenal potvrzené napadení. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: co znamenají kritické chyby v PHP a jak se bránit"?
PHP2Shell tvoří dvě zranitelnosti umožňující vzdálené spuštění kódu bez ověření totožnosti; obě mají hodnocení CVSS 9,2 z 10.
What are the key points to validate first?
PHP2Shell tvoří dvě zranitelnosti umožňující vzdálené spuštění kódu bez ověření totožnosti; obě mají hodnocení CVSS 9,2 z 10. Opravy jsou ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Organizace by měly zmapovat nasazení PHP a co nejdříve nainstalovat aktualizaci od dodavatele.
What should I do next in practice?
Bezpečnostní firmy hlásily pokusy o útok. Pokus o zneužití ale není důkazem úspěšného průniku.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...