PHP2Shell: dvě kritické zranitelnosti v PHP ohrožují většinu webů, oprava je k dispozici

Dvě nově odhalené chyby v jazyce PHP, souhrnně označované jako PHP2Shell, mohou útočníkovi umožnit spustit na webovém serveru libovolný kód, a to na dálku a bez přihlášení. Zranitelné jsou verze PHP od 5.4 až po 8.5.11, tedy obrovská část webů včetně těch na WordPressu. Podle týmu PHP žádné náhradní řešení riziko spolehlivě neodstraní a jedinou bezpečnou cestou je aktualizace.

Co se stalo

Chyby odhalila bezpečnostní firma Wiz a mají označení CVE-2026-109618 a CVE-2026-109619. Server Lupa.cz uvádí, že v kódu byly skryté déle než deset let a podařilo se je najít díky analýze pomocí AI modelů. Opravy vydal tým PHP ve středu 21. října 2026 ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

Před rizikem varoval také český NÚKIB a doporučil aktualizovat PHP co nejdříve. Některé instituce raději své weby preventivně vypnuly. Úřad vlády ČR svůj web odstavil 21. října od 19:00 a podle Lupa.cz byl 22. října ráno znovu v provozu. Podobně postupovaly vládní, školské a nemocniční weby v dalších evropských zemích.

Search Engine Journal upozorňuje, že nejvyšší riziko hrozí serverům Apache s modulem mod_php. Verze PHP 8.1 a starší už běžné oficiální aktualizace nedostávají. Pro verze 7.4 až 8.1 sice vyšly omezené opravy zdrojového kódu, plnou podporu ale neobnovují.

Co to znamená pro firmy

U mnoha menších firem se o PHP stará poskytovatel hostingu. Je ale dobré vědět, že aktualizace WordPressu nebo pluginů PHP neaktualizuje. Oprava musí proběhnout na straně serveru. Pokud si nejste jisti, kdo se o váš server stará, je teď dobrý čas si to vyjasnit. S tím vám může pomoct i naše služba správy hostingu a serveru.

Napadený web může přijít o data zákazníků i o pozice ve vyhledávání. Pokud web kvůli opravě dočasně vypnete, záleží i na tom, jak to uděláte. John Mueller z Google doporučil vracet stavový kód HTTP 503 místo chyb 404, 500 nebo vypršení spojení. Stránku s tímto kódem musí poskytovat něco, co běží mimo PHP, například CDN nebo dočasný server, na který přesměrujete DNS. Podle dokumentace Google by kód 503 neměl být nasazený déle než jeden až dva dny, jinak hrozí vyřazení stránek z indexu. Soubor robots.txt by měl dál normálně odpovídat. Více o rizicích pro indexaci najdete v našem článku o technických chybách, které brání indexaci.

Co doporučujeme udělat

U RBK Digital doporučujeme projít tento postup:

• Zjistěte verzi PHP. Ve WordPressu ji najdete v nabídce Nástroje > Stav webu > Informace > Server. Případně se zeptejte hostingu.
• Požádejte hosting o aktualizaci na některou z opravených verzí (8.5.12, 8.4.27, 8.3.36 nebo 8.2.35). Pokud verzi přepínáte sami, například v cPanelu, ověřte, že vybraná verze opravu obsahuje.
• U PHP 8.1 a starších web zálohujte a naplánujte přechod na podporovanou verzi. Mezitím se zeptejte hostingu, zda umí nasadit dočasnou opravu.
• Nespoléhejte jen na firewall. WAF, například Cloudflare, může část útoků zachytit, aktualizaci ale nenahradí. Zkontrolujte, že k serveru nevede přímý přístup mimo firewall.
• Pokud nejde opravit hned, zvažte dočasné vypnutí webu se stránkou údržby a kódem 503, servírovanou mimo PHP.
• Po aktualizaci prověřte web. Hledejte podezřelé skripty (tzv. web shelly), neznámé administrátorské účty a nečekané změny v PHP souborech. Samotná oprava už proběhlý průnik neodstraní.

Pokud si nejste jisti stavem svého webu, můžete využít naši bezplatnou kontrolu webu, která se zaměřuje i na bezpečnost. Do budoucna se vyplatí mít s hostingem domluveno, kdo a jak rychle nasadí mimořádné opravy.