PHP2Shell: kritické zranitelnosti PHP. Je váš web v bezpečí?

Dominik Výtisk · Ajťák na pomoc

Publikováno 22. 10. 2026 · aktualizováno 22. 10. 2026

CVE-2026-109618 a CVE-2026-109619 (označované jako PHP2Shell) jsou dvě kritické zranitelnosti běhového prostředí PHP s hodnocením CVSS 4.0 9,2 z 10. Projekt PHP je opravil 22. října 2026 ve verzích 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Útočníkovi umožňují vzdáleně spustit vlastní kód na serveru, a to bez přihlášení.

Bezpečnostní aktualizace už tedy existují. Ne každý provozovatel webu je však může jednoduše nainstalovat. Zvláštní pozornost si zaslouží weby na PHP 8.1 a starším, pro které oficiální oprava nevyšla.

Co se stalo a proč by vás to mělo zajímat?

PHP je jedním z nejpoužívanějších jazyků pro tvorbu webových stránek a aplikací. Běží na něm například redakční systémy, firemní prezentace, e-shopy i interní informační systémy.

Zranitelnosti označované jako CVE-2026-109618 a CVE-2026-109619 se týkají samotného běhového prostředí PHP. Nejde tedy o chybu konkrétního redakčního systému nebo zastaralého pluginu.

Podle oficiálních bezpečnostních oznámení jde o chyby ve správě paměti. CVE-2026-109618 se projeví, když PHP při zpracování požadavku vyčerpá paměť – útočník toho dosáhne speciálně sestaveným požadavkem s formulářovými daty. CVE-2026-109619 souvisí se stavem, který na serveru zůstane po předchozím požadavku (tzv. use-after-free). U serverů s Apache a mod_php dochází ke zneužití ještě před spuštěním samotného webu, takže nepomůže ani bezpečnostní plugin ve WordPressu nebo jiném redakčním systému.

Projekt PHP hodnotí obě chyby CVSS 4.0 skóre 9,2, americká databáze zranitelností NVD jim přidělila CVSS 3.1 skóre 9,8 (kritické). K 22. říjnu 2026 nejsou v katalogu aktivně zneužívaných zranitelností CISA KEV – to se ale u chyb s veřejně popsaným mechanismem může změnit během dní.

Následky úspěšného útoku mohou zahrnovat například:

• kompromitaci webového serveru
• neoprávněný přístup k datům a souborům
• ohrožení databáze a zákaznických údajů
• zneužití serveru k dalším útokům
• výpadek webových stránek nebo provozních systémů
• náklady na obnovu, zabezpečení a řešení následků incidentu

Útočníci podobné chyby zneužívají automaticky – skenery procházejí internet a hledají zranitelné servery bez ohledu na to, komu web patří. Riziku proto čelí i malé firmy a živnostníci, jejichž web několik let nikdo technicky neudržoval.

Největší problém? Staré verze PHP bez bezpečnostní podpory

Vývoj PHP probíhá v jednotlivých verzích a každá z nich má omezenou dobu podpory. Jakmile konkrétní verze dosáhne konce životního cyklu, označovaného jako EOL (End of Life), vývojový tým PHP pro ni standardně přestává vydávat bezpečnostní aktualizace.

To znamená, že pokud váš web používá například PHP 7.4, PHP 7.1 nebo ještě starší verzi, nestačí vždy jen spustit běžnou aktualizaci balíčků. Pro tyto verze už nemusí být oficiální bezpečnostní oprava dostupná.

U aktuálně řešených zranitelností byly vydány opravené verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. PHP 8.1 a starší verze již od projektu PHP nedostávají standardní bezpečnostní aktualizace. Někteří dodavatelé operačních systémů nebo komerční poskytovatelé dlouhodobé podpory mohou vydávat vlastní opravy, ale jejich dostupnost je nutné ověřit pro konkrétní prostředí.

Proč nestačí pouze aktualizovat server?

Starší webové aplikace mohou být úzce navázané na konkrétní verzi PHP. Po přechodu na novější verzi se proto mohou objevit problémy s kompatibilitou, zastaralými knihovnami, databázovým připojením nebo samotným zdrojovým kódem.

Typickým příkladem je web, který bez problémů funguje mnoho let na PHP 7.4, ale po přepnutí na PHP 8.3 začne vykazovat chyby nebo přestane fungovat úplně.

Bez přípravy může nepromyšlená aktualizace způsobit výpadek webu, nefunkční objednávky nebo problémy s administrací.

Správný postup proto zahrnuje nejen výběr bezpečné verze PHP, ale také kontrolu kompatibility, zálohování, otestování aplikace a ověření jejího fungování po nasazení.

Jak zjistit, jestli je váš web ohrožený?

Váš web je ohrožený, pokud běží na PHP 8.2 starším než 8.2.35, 8.3 starším než 8.3.36, 8.4 starším než 8.4.27, 8.5 starším než 8.5.12, nebo na PHP 8.1 a starším, pro které oficiální oprava nevyšla. Nejvyšší riziko mají servery s Apache a mod_php, týká se ale i PHP-FPM. Samotný vzhled ani bezproblémový chod webu o bezpečnosti verze PHP nic neříká.

Jak zjistit verzi PHP vašeho webu

1. 1Bezplatná kontrola výše: Zadejte adresu webu a během pár sekund uvidíte verzi PHP. Funguje, pokud ji server nezakrývá.
2. 2Administrace hostingu: Většina hostingů ukazuje verzi PHP v nastavení webu nebo domény a často ji tam jde i přepnout.
3. 3Soubor phpinfo: Nahrajte na server soubor info.php s obsahem <?php phpinfo(); a otevřete ho v prohlížeči. Po zjištění verze ho hned smažte – prozrazuje podrobnosti o serveru.

Co ověřujeme při odborné kontrole

• Verzi PHP: Na jaké verzi web skutečně běží a zda pro ni existují bezpečnostní opravy.
• Stav podpory: Zda jde o podporovanou verzi, nebo o systém po skončení životního cyklu.
• Kompatibilitu aplikace: Zda lze web bezpečně provozovat na novější verzi PHP.
• Závislosti a rozšíření: Zda používané knihovny, moduly a další komponenty odpovídají modernímu prostředí.
• Konfiguraci serveru: Zda jsou správně nastavené služby, oprávnění, aktualizace a další bezpečnostní prvky.

Pomůžeme vám se zabezpečením i modernizací webu

Pokud váš web běží na starší verzi PHP, nemusíte hned objednávat úplně nové stránky. V první řadě je důležité zjistit, v jakém stavu se váš web nachází a jaký postup bude nejbezpečnější a ekonomicky nejrozumnější.

V Ajťák na pomoc nabízíme pomoc s technickou modernizací webů, aktualizací PHP a řešením problémů s kompatibilitou. Díky dlouholetým zkušenostem s vývojem webových aplikací, backendovými technologiemi a správou serverového prostředí dokážeme posoudit konkrétní situaci a navrhnout odpovídající řešení. Působíme v Brně, Olomouci, Studénce a okolí, s weby a servery pracujeme i na dálku po celé ČR.

Pomoci vám můžeme například s:

Naším cílem není doporučovat kompletní přestavbu za každou cenu. Pokud lze váš stávající web bezpečně a rozumně modernizovat, pomůžeme vám najít cestu, jak jej zachovat. Pokud je naopak jeho technický stav dlouhodobě neudržitelný, probereme s vámi možnosti nového řešení. Kromě PHP se vyplatí projít i další slabá místa – na to slouží náš audit webu.

Kdy už dává smysl vytvořit nový web?

Upgrade se většinou vyplatí. Nový web je lepší volbou hlavně tehdy, když:

• původní aplikace vyžaduje velmi starou verzi PHP,
• používá neudržované knihovny nebo závislosti,
• její zdrojový kód je obtížné dále rozvíjet,
• opakovaně se objevují bezpečnostní nebo provozní problémy,
• potřebujete nové funkce, lepší výkon nebo modernější administraci.

Podívejte se, jaké weby tvoříme

Co udělat hned

1. Zjistěte verzi PHP – bezplatnou kontrolou výše nebo v administraci hostingu.
2. Pokud je verze zranitelná, aktualizujte na 8.2.35, 8.3.36, 8.4.27, 8.5.12 nebo novější. Na hostingu obvykle stačí přepnout verzi v administraci – předtím web zazálohujte a potom ho otestujte.
3. Na PHP 8.1 a starším naplánujte přechod na podporovanou verzi včetně kontroly kompatibility webu. Oficiální oprava pro tyto verze nevyšla.

Nevíte si rady s některým krokem? Ozvěte se – první konzultace je zdarma a cenu případné práce znáte vždy předem.

Časté otázky k PHP2Shell