PHP patří mezi nejrozšířenější technologie pro provoz webových stránek a aplikací. Na jeho zabezpečení proto závisí fungování velkého množství firemních webů, e-shopů i dalších online služeb. V říjnu 2026 byly zveřejněny dvě kritické zranitelnosti označované jako PHP2Shell, které mohou útočníkům umožnit převzít kontrolu nad zranitelným serverem. Na riziko upozornily také Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) a evropský bezpečnostní tým CERT-EU.
Co je PHP2Shell a proč představuje riziko?
Dvě zranitelnosti evidované pod označeními CVE-2026-109618 a CVE-2026-109619 se nacházejí přímo v PHP, tedy v technologii, na které webové aplikace běží. Nejde proto o chybu konkrétního redakčního systému nebo jeho doplňku.
Závažnost obou zranitelností byla ohodnocena 9,2 z 10 bodů. Za určitých podmínek mohou útočníkovi umožnit vzdáleně spustit vlastní kód na serveru, a to bez předchozího přihlášení.
V případě úspěšného útoku může dojít například k narušení provozu webu, neoprávněnému přístupu k citlivým datům nebo ke zneužití serveru pro další škodlivé aktivity.
Riziko se týká širokého spektra řešení využívajících PHP, včetně webů postavených na WordPressu, Drupalu nebo PrestaShopu i vlastních webových aplikací. Samotná aktualizace redakčního systému nebo jeho pluginů tuto konkrétní zranitelnost neodstraní – opravu je nutné provést na úrovni PHP.
Proč je nutné reagovat rychle?
Bezpečnostní opravy byly zveřejněny 21. října 2026. Současně se začaly veřejně objevovat technické informace a ukázky možného zneužití zranitelností.
To výrazně zvyšuje riziko, že se informace dostanou i k útočníkům, kteří je mohou využít při automatizovaném vyhledávání zranitelných serverů. U kritických chyb proto může být rozhodující rychlost reakce mezi zveřejněním opravy a jejím nasazením.
Nejde přitom pouze o teoretickou hrozbu. NÚKIB výslovně doporučil neodkládat aktualizaci a upozornil také na možnost vzdáleného spuštění kódu bez autentizace.
Co by měly firmy udělat?
Základem je ověřit používanou verzi PHP a zajistit instalaci bezpečnostních oprav. U starších verzí je nutné prověřit dostupnost aktualizací nebo přejít na podporovanou verzi.
Doporučujeme také sledovat neobvyklou aktivitu serverů a pravidelně aktualizovat nejen webové aplikace, ale i technologie, na kterých běží. Pokud nelze opravu nasadit okamžitě, je vhodné dočasně omezit dostupnost zranitelné služby z internetu.
Závěr a doporučení od arionu
Bezpečnost našich zákazníků bereme vážně. Po zveřejnění informací o zranitelnostech PHP2Shell jsme situaci vyhodnotili a bezpečnostní opravy na našem hostingu nasadili ihned po jejich vydání. Zákazníky využívající náš hosting jsme zároveň o situaci informovali.
PHP2Shell je zároveň dobrou připomínkou toho, že zabezpečení firmy nekončí u antiviru nebo firewallu. Důležité je mít přehled o používaných technologiích, pravidelně je aktualizovat, sledovat nově zveřejněné zranitelnosti a umět na kritické hrozby rychle reagovat.
V ARIONu pomáháme firmám se zabezpečením a správou IT prostředí, serverové infrastruktury i cloudových služeb. Pokud si nejste jistí, zda jsou vaše systémy aktuální a správně zabezpečené, můžeme s vámi jejich stav prověřit a doporučit konkrétní opatření.
Ozvěte se nám ZDE a podíváme se na bezpečnost vašeho IT prostředí společně.
