PHP2Shell: Kritické zraniteľnosti PHP – ako ich zaplátať teraz

21. októbra 2026 | PHP | IT bezpečnosť

Dňa 21. októbra 2026 vydal bezpečnostný tím PHP aktualizácie pre všetky stále podporované verzie PHP. Opravujú dve kritické zraniteľnosti, ktoré sa stali známymi ako PHP2Shell. BSI k tomu vydalo varovanie a vyžaduje, aby sa dotknuté systémy bezodkladne zaplátali. Kto prevádzkuje webový server s PHP, mal by konať ešte dnes. Platí to aj pre všetkých, ktorí prevádzkujú „iba“ WordPress, Nextcloud alebo Joomla, pretože tieto aplikácie bežia na PHP.

Tento príspevok zhŕňa, čo sa stalo, ktoré verzie PHP sú dotknuté, akú verziu teraz potrebujete a ako za niekoľko minút skontrolujete, či je váš server zabezpečený.

Čo sa stalo? Časový priebeh

Bezpečnostný tím PHP vopred oznámil zverejnenie opráv, aby mali poskytovatelia hostingu a administrátori čas pripraviť sa. Samotné zverejnenie sa uskutočnilo 21. októbra 2026. BSI vydalo svoje varovanie (verzia 1.1) ešte v ten istý deň.

• 20. októbra 2026: Predbežné varovanie bezpečnostného tímu PHP, že nasledujúci deň vyjdú bezpečnostné aktualizácie.
• 21. októbra 2026, 14:00 UTC (16:00 SELČ): Záplaty pre PHP 8.5, 8.4, 8.3 a 8.2 sú zverejnené.
• 21. októbra 2026: BSI varuje pred „kritickými zraniteľnosťami, ktoré ohrozujú webové aplikácie na celom svete“, a odporúča bezodkladne zaplátať. Podľa údajov BSI veľkí poskytovatelia hostingu čiastočne preventívne odpojili servery od siete.

Obe zraniteľnosti PHP v prehľade

Ide o dve samostatné chyby v jadre PHP: CVE-2026-109618 a CVE-2026-109619. Obe môžu podľa údajov bezpečnostného tímu PHP viesť k tomu, že útočník môže spustiť programový kód na serveri bez prihlásenia (unauthenticated Remote Code Execution). Zraniteľnosti sú ohodnotené CVSS v4.0: 9,2 (kritické).

Podľa posúdenia BSI neboli v čase zverejnenia žiadne potvrdené útoky, jestvovali však nepotvrdené náznaky pokusov o zneužitie. Pri kritických zraniteľnostiach v tak rozšírenom softvéri sa podľa skúseností treba obávať, že útočníci opravy analyzujú a pripravia automatizované útoky. Časové okno na zaplátanie je preto krátke.

Koho sa to týka?

Dotknutý je v zásade každý server, na ktorom beží PHP, bez ohľadu na to, ako je PHP napojené: PHP-FPM, mod_php v Apache, php-cgi, FrankenPHP alebo LiteSpeed. Podľa bezpečnostného tímu PHP je riziko najvyššie pri Apache s mod_php.

BSI výslovne uvádza aplikácie, ktoré stavajú na PHP a preto môžu byť tiež dotknuté:

• Systémy na správu obsahu: WordPress, Drupal, TYPO3, Joomla
• Obchodné systémy: Magento
• Cloud a ukladanie súborov: Nextcloud
• Rozhrania firewallov: pfSense, OPNsense

Aplikácia sama pritom nemusí byť chybná. Zraniteľnosť je v PHP, preto samotná aktualizácia WordPressu, Nextcloudu & spol. nepomôže. Musí sa aktualizovať verzia PHP na serveri. Pri firewalloch ako pfSense a OPNsense prichádza opravená verzia PHP cez príslušnú aktualizáciu firmvéru od výrobcu.

Tieto verzie PHP sú bezpečné

Zraniteľnosti sú opravené v nasledujúcich verziách. Všetko pod tým sa považuje za zraniteľné.

Takto skontrolujete a aktualizujete svoj server

1. Zistiť nainštalovanú verziu PHP

Na príkazovom riadku servera zobrazí php -v verziu PHP pre príkazový riadok. Webový server môže používať inú verziu PHP. Skontrolujte preto aj verziu PHP-FPM, resp. modulu Apache, napríklad pomocou php-fpm8.3 -v alebo cez stránku, ktorá vypisuje phpinfo() (tú potom okamžite odstráňte).

2. Nainštalovať aktualizáciu cez správcu balíkov

Pri Debiane, Ubuntu, RHEL a príbuzných prichádza opravená verzia cez bežného správcu balíkov, napríklad apt update && apt upgrade alebo dnf upgrade. Pri externých zdrojoch ako Sury PPA alebo repozitár Remi sa nové balíky zvyčajne objavia v krátkom čase.

3. Reštartovať službu PHP

Samotná aktualizácia balíka nestačí: bežiace procesy PHP si ponechávajú starý kód v pamäti. Reštartujte PHP-FPM (systemctl restart php8.3-fpm), resp. Apache (systemctl restart apache2) a potom skontrolujte, či sa procesy spustili po aktualizácii.

4. Hostované webové stránky

Pri zdieľanom hostingu zvyčajne aktualizuje poskytovateľ. V zákazníckom menu sa väčšinou dá nastaviť verzia PHP pre každú webovú stránku. Vyberte tam jednu z vyššie uvedených bezpečných verzií alebo sa poskytovateľa opýtajte na stav záplat. Podľa údajov BSI jednotliví poskytovatelia preventívne odpojili servery od siete. Ak je vaša stránka krátko nedostupná, môže to byť príčina.

PHP 8.1 a staršie: žiadna oficiálna aktualizácia

Pre PHP 8.1 a staršie už neexistujú oficiálne bezpečnostné aktualizácie. Prevádzkovatelia takýchto systémov majú dve možnosti:

• Prejsť na podporovanú verziu (odporúča sa). Čím staršia verzia, tým väčšia je náročnosť úprav aplikácie a rozšírení, preto by sa mal prechod vopred otestovať.
• Spätne portovať opravy. Bezpečnostný tím PHP sprístupnil opravy vo vývojových vetvách na GitHube. Kto PHP kompiluje sám, môže tieto zmeny preniesť do starších verzií. Je to prechodné riešenie a vyžaduje odborné znalosti.

Aj PHP 8.2 je podporované už len do 31. decembra 2026. Plánujte preto prechod na PHP 8.4 alebo 8.5 už teraz a neodkladajte ho na prelom roka.

Prechodné opatrenia a otázka „Odpojiť server od siete?“

Bezpečnostný tím PHP s oznámením opísal aj predbežné ochranné opatrenia. Tie znižujú riziko, zraniteľnosti však úplne neuzatvárajú. Aktualizáciu nenahrádzajú a sú určené len na preklenutie času do aktualizácie.

To, či sa má server do aktualizácie odpojiť od siete, závisí od jeho významu a dostupnosti. BSI uvádza, že veľkí poskytovatelia tento krok urobili. Ako zásada platí:

• Verejne dostupný server, aktualizácia je teraz možná: zaplátať okamžite, odpojenie nie je potrebné.
• Verejne dostupný server, aktualizácia nie je krátkodobo možná: obmedziť prístup (napríklad cez firewall iba pre známe adresy) alebo službu dočasne vypnúť, osobitne pri mod_php.
• Iba interne dostupný server: zaplátať v krátkom čase, naliehavosť je nižšia.

Časté otázky

Musím aktualizovať WordPress, Joomla alebo Nextcloud?

Nie kvôli tejto zraniteľnosti. Nachádza sa v PHP, nie v aplikácii. Aktualizujte verziu PHP na serveri. Aktualizácia aplikácie je nezávisle od toho napriek tomu zmysluplná.

Ako poznám, či niekto zraniteľnosť už zneužil?

Spoľahlivé vyhlásenie je ťažké. Nápadné sú neznáme súbory PHP vo webovom adresári, nezvyčajné procesy pod používateľom webového servera, nové používateľské kontá alebo cron úlohy a nezvyčajná odchádzajúca sieťová prevádzka. Pri konkrétnom podozrení by sa mal systém forenzne preveriť a v prípade pochybností nanovo nainštalovať.

Stačí Web Application Firewall?

Firewall dokáže zachytiť známe vzory útokov, no nenahrádza aktualizáciu. Viac o spolupôsobení viacerých ochranných vrstiev si prečítate v našom článku Zabezpečenie Odoo 19: firewall, 2FA & Web RBL. Zásady platia pre každú webovú aplikáciu.

Týka sa to aj Odoo?

Nie. Odoo je napísané v Pythone a nebeží na PHP. Dotknuté by boli iba aplikácie PHP, ktoré bežia na tom istom serveri.

Kde nájdem oficiálne informácie?

Oznámenie bezpečnostného tímu PHP nájdete v archívoch noviniek na php.net (záznam z 20. októbra 2026), verzie na php.net/downloads. Varovanie BSI má číslo 2026-297981-1032 a je zverejnené na bsi.bund.de .

Podpora od Biricon IT Services

Ak si nie ste istí, ktorá verzia PHP beží na vašom serveri, alebo potrebujete pomoc s opravami, radi vás podporíme: pri inventúre všetkých systémov PHP, pri inštalácii aktualizácií, pri prechode na podporovanú verziu PHP a pri kontrole na kompromitáciu. Ako poskytovateľ IT služieb spravujeme servery, firewally a webové aplikácie pre malé a stredné podniky.

Kontaktujte nás

Stav k 21. októbru 2026. Situácia sa môže rýchlo zmeniť; rozhodujúce sú zverejnenia bezpečnostného tímu PHP a BSI.