Zraniteľnosť PHP2Shell: čo znamená pre váš web, e-shop či aplikáciu

V skratke

• PHP2Shell sú dve kritické chyby priamo v jazyku PHP (CVSS 9,2) – útočník môže bez prihlásenia spustiť na serveri vlastný kód.
• Zraniteľnosť PHP sa týka webov, WordPressu, e-shopov aj webových aplikácií a API.
• Opravené sú verzie PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 – PHP 8.1 a staršie opravu nedostali.
• Na zdieľanom hostingu aktualizuje PHP poskytovateľ, na VPS a v cloude to musí urobiť špecialista.
• Verziu PHP neprepínajte sami – starší web či aplikácia ju nemusia podporovať.

Chyba, ktorá bola v PHP viac ako desať rokov, sa za jeden deň stala najväčšou bezpečnostnou témou internetu. 21. októbra 2026 vyšla núdzová oprava dvoch kritických zraniteľností PHP, ktoré dostali spoločný názov PHP2Shell. Vládne inštitúcie vo viacerých krajinách preventívne vypínali svoje weby a bezpečnostné firmy už hlásia prvé útoky.

PHP pritom poháňa väčšinu internetu – od firemných webov cez e-shopy až po interné systémy. Ak máte web alebo aplikáciu, je veľká šanca, že sa vás to týka. V článku sa dozviete, čo zraniteľnosť PHP2Shell znamená, ako zistiť, či ste ohrození, kto má PHP aktualizovať a čo urobiť ešte dnes.

Čo je zraniteľnosť PHP2Shell?

PHP2Shell je označenie pre dve kritické chyby v interpretri PHP – CVE-2026-109618 a CVE-2026-109619. Obe majú hodnotenie závažnosti 9,2 z 10. Chyby súvisia s tým, ako PHP spracúva nedostatok pamäte a fatálne chyby počas požiadavky. Na Slovensku na ne oficiálne upozornil Národný bezpečnostný úrad vo svojom varovaní.

Čo môže útočník urobiť?

V najhoršom prípade útočník spustí na serveri vlastný kód bez prihlásenia a prevezme ho. Môže nainštalovať malvér, zmeniť obsah webu alebo ukradnúť dáta. Podľa technického rozboru spoločnosti Tenable hrozí aj únik údajov z pamäte servera – teda hesiel, tokenov či API kľúčov.

Ako chyby objavila umelá inteligencia?

Zraniteľnosti našli výskumníci z firiem Wiz a Calif v spolupráci s OpenAI s pomocou pokročilých AI modelov. Chyby existovali v kóde PHP od verzie 5.4, no zostaviť funkčný útok bolo podľa výskumníkov natoľko zložité, že bez AI by to bolo na hranici ľudských možností.

Ponaučenie pre majiteľov webov: AI urýchľuje hľadanie chýb u obrancov aj útočníkov. Čas medzi zverejnením chyby a jej zneužitím sa skracuje na hodiny, preto je pravidelná údržba webu nevyhnutnosť.

Týka sa zraniteľnosť PHP aj vás?

Ak beží váš web alebo systém na PHP, takmer s istotou áno. Chyba nie je v konkrétnom plugine ani redakčnom systéme, ale priamo v PHP – ohrozená môže byť aj úplne jednoduchá aplikácia. Patchstack upozorňuje, že výskumníci útok predviedli na aktuálnych inštaláciách WordPressu, Drupalu aj Joomly.

Zraniteľnosť PHP sa týka najmä:

• firemných webov a WordPress stránok,
• e-shopov – WooCommerce, PrestaShop, Magento aj e-shopov na mieru,
• webových aplikácií – CRM, ERP, rezervačných a skladových systémov,
• klientskych zón, portálov a administrácií,
• API a backendov mobilných aplikácií,
• systémov na frameworkoch Laravel, Symfony, Nette či CodeIgniter.

Ktoré verzie PHP sú bezpečné?

Tím PHP vydal opravy pre štyri podporované vetvy. Podľa Help Net Security sú opravené tieto verzie:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Weby a aplikácie na PHP 8.1 alebo staršom (napríklad 7.4 či 5.x) opravu nedostali. Ohrozené sú bežné spôsoby nasadenia – PHP-FPM, Apache mod_php, php-cgi, LiteSpeed aj FrankenPHP.

Kto aktualizuje PHP na vašom webe?

Záleží na tom, kde váš web alebo aplikácia beží.

Zdieľaný hosting (Websupport a iní)

Na zdieľanom hostingu rieši aktualizáciu PHP poskytovateľ hostingu, nie vy. Websupport o situácii informuje na svojej stavovej stránke a opravy nasadzuje po ich vydaní a otestovaní.

Pozor: oprava od poskytovateľa ochráni len weby na PHP 8.2 a vyššie. Ak beží váš web na staršej verzii, zostáva zraniteľný.

VPS, dedikovaný server a cloud

Na VPS, dedikovanom serveri alebo v cloude (AWS, Microsoft Azure, Google Cloud, DigitalOcean a podobne) poskytovateľ prenajíma len server – PHP za vás neaktualizuje. Aktualizáciu musí urobiť správca servera alebo špecialista, ktorý pozná server aj aplikáciu. Treba overiť kompatibilitu, správne reštartovať služby, otestovať systém a skontrolovať, či už nedošlo k prieniku.

Prečo neprepínať verziu PHP sami?

V administrácii hostingu sa síce dá novšia verzia PHP zvoliť jedným klikom, no starší web, framework alebo aplikácia ju nemusia podporovať. Výsledkom môže byť nefunkčný web, chybové hlášky, nefunkčné objednávky v e-shope či výpadok firemného systému. Pred zmenou verzie PHP preto kontaktujte svojho developera alebo agentúru.

Čo robiť so starším webom alebo aplikáciou?

Pri systémoch na PHP 8.1 a starších máte dve možnosti:

• Aktualizácia na novšiu verziu PHP – ak to stav systému dovoľuje. Developer upraví kód, aktualizuje framework, pluginy či šablónu, všetko otestuje a až potom prepne systém na podporovanú verziu.
• Nahradenie novým riešením – ak je systém postavený na technológii, ktorú už nemá zmysel aktualizovať. Do budúcna je nový web na mieru alebo nová webová aplikácia bezpečnejšie a často aj lacnejšie riešenie ako opakované záplatovanie.

Ako postupovať hneď: 6 krokov

1. Zistite verziu PHP

Nájdete ju v administrácii hostingu (cPanel, Plesk, Websupport a pod.), vo WordPresse v časti Nástroje → Stav webu → Informácie → Server, alebo vám ju povie developer či agentúra.

2. Zabezpečte aktualizáciu PHP

Na zdieľanom hostingu overte, či ju poskytovateľ už nasadil. Na VPS a v cloude ju musí urobiť špecialista. Pri staršej verzii kontaktujte developera.

3. Ak sa aktualizovať nedá, systém dočasne odstavte

Toto odporúčajú národné bezpečnostné agentúry. Dočasný výpadok je menšia škoda ako napadnutý server a únik zákazníckych údajov.

4. Skontrolujte známky prieniku

Prejdite logy servera, nové alebo zmenené súbory, neznáme administrátorské účty a podozrivé procesy.

5. Vymeňte citlivé prístupové údaje

Preventívne zmeňte heslá do databázy, API kľúče platobných brán, e-mailových a AI služieb, tokeny aj kľúč aplikácie.

6. Nezabudnite na „skryté“ PHP

Staré subdomény, testovacie prostredia, intranety či softvér tretích strán môžu bežať na PHP bez toho, aby ste o tom vedeli. Ak ste náš klient, nahláste nám požiadavku a prejdeme ich za vás.

Ako to riešime v MR. Digital

Od roku 2012 sme dodali viac ako 600 projektov a weby, e-shopy aj aplikácie programujeme prevažne na Laraveli, teda na PHP. Pri takýchto udalostiach postupujeme systematicky: preveríme verzie PHP na spravovaných serveroch, nasadíme opravy, skontrolujeme logy a v prípade potreby vymeníme prístupové kľúče.

Často kladené otázky

Čo je PHP2Shell?

PHP2Shell je názov dvoch kritických zraniteľností v jazyku PHP (CVE-2026-109618 a CVE-2026-109619) s hodnotením 9,2 z 10. Umožňujú útočníkovi spustiť na serveri vlastný kód bez prihlásenia a čítať údaje z pamäte servera.

Týka sa to aj môjho webu, e-shopu alebo aplikácie?

Ak beží na PHP, takmer s istotou áno. Týka sa to webov, WordPressu, e-shopov, webových aplikácií, interných firemných systémov, klientskych zón aj API na frameworkoch ako Laravel či Symfony.

Ktoré verzie PHP sú opravené?

Opravu obsahujú PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. PHP 8.1 a staršie verzie opravu nedostali.

Mám web na Websupporte. Musím niečo robiť?

Aktualizáciu PHP na zdieľanom hostingu rieši poskytovateľ. Ochráni však len weby a aplikácie na PHP 8.2 a vyššie. Ak beží váš web na staršej verzii, kontaktujte svojho developera alebo agentúru.

Mám web alebo aplikáciu na VPS či v cloude. Kto aktualizuje PHP?

Na VPS, dedikovanom serveri alebo v cloude poskytovateľ PHP za vás neaktualizuje. Aktualizáciu musí urobiť správca servera alebo špecialista, ktorý server a aplikáciu pozná.

Môžem si verziu PHP prepnúť sám v administrácii hostingu?

Neodporúčame to. Starší web, framework alebo aplikácia novšiu verziu PHP nemusia podporovať a po prepnutí môžu prestať fungovať. Zmenu nechajte na svojho developera alebo agentúru.

Čo ak sa web alebo aplikácia nedá aktualizovať?

Bezpečnostné agentúry odporúčajú systém dočasne odstaviť, kým nebude opravený. Do budúcna je pri zastaraných systémoch bezpečnejšie nahradiť ich novým webom alebo aplikáciou.

Ako zistím, či už nedošlo k útoku?

Treba skontrolovať logy servera, nové alebo zmenené súbory, neznáme administrátorské účty a podozrivé procesy. Preventívne odporúčame vymeniť heslá do databázy, API kľúče a tokeny.

Záver

Zraniteľnosť PHP2Shell patrí k najvážnejším bezpečnostným chybám posledných rokov a týka sa veľkej časti webov aj aplikácií. Najdôležitejšie je zistiť verziu PHP, zabezpečiť aktualizáciu cez poskytovateľa alebo špecialistu a starší systém neprepínať naslepo. Ak si nie ste istí, ozvite sa nám – radšej to overíme dnes, ako riešiť útok zajtra.

Informácie sú platné k 21. októbru 2026.
Autori: tím MR. Digital