Kritická chyba v PHP (php2shell) — co to znamená pro váš web

Na většině webů na světě běží PHP — od osobních blogů na WordPressu přes e-shopy až po firemní intranety. A právě v něm se našly dvě chyby, kterým se přezdívá php2shell. Útočníkovi dovolí spustit na serveru vlastní kód, a to bez jakéhokoli přihlášení. Odborně se tomu říká neautentizované vzdálené spuštění kódu a je to ten nejhorší druh zranitelnosti, jaký web může mít.

Opravy vyšly ve středu 21. října 2026. Tři dny poté bylo potvrzené, že se chyby skutečně zneužívají v praxi, a americká agentura CISA je zařadila do seznamu aktivně zneužívaných zranitelností. Varoval i český NÚKIB. To znamená, že nejde o teoretické riziko — na neopravené servery se útočí teď.

Proč nestačí mít aktuální WordPress

Tohle je hlavní věc, kterou je dobré pochopit. Chyba není v redakčním systému ani v žádném doplňku. Je v samotném PHP, tedy v tom, na čem váš web běží.

U rozšířené konfigurace (Apache s modulem mod_php) se navíc chyba dá spustit ještě dřív, než se vůbec dostane na kód vašeho webu. Žádný bezpečnostní plugin, žádné přihlašování, žádné omezení v administraci tomu nezabrání. Pomůže jedině aktualizace PHP na serveru.

Týká se to prakticky všeho, co odpovídá na požadavky z internetu: Apache s mod_php, PHP-FPM, php-cgi, FrankenPHP i LiteSpeed.

Které verze jsou v pořádku

Opravené verze PHP jsou:

PHP 8.1 a starší už oficiální opravu nedostanou. Některé linuxové distribuce vydaly vlastní záplaty pro verze, které samy balí, ale pokud na takové verzi běžíte, je to signál, že se web potřebuje přestěhovat na podporované PHP. Není to chyba, kterou by šlo přečkat.

Jak zjistíte, na čem jste

Když máte web u českého hostingu (Wedos, Active24, Forpsi a podobně), verzi PHP si najdete v administraci hostingu u domény. Většina poskytovatelů aktualizaci provedla hned, ale vyplatí se to ověřit — a zkontrolovat, jestli nemáte u domény ručně nastavenou starší řadu PHP, protože na ní kdysi něco nefungovalo.

Když si web spravujete sami na vlastním serveru, VPS nebo v Dockeru, zjistíte verzi příkazem php -v. Pozor na dvě pasti:

• Verze v příkazové řádce a verze, která obsluhuje web, nemusí být stejná. Rozhoduje ta druhá.
• Po aktualizaci se musí restartovat služba (Apache, případně PHP-FPM). Jinak běží dál stará knihovna a vy žijete v domnění, že je zaplátováno.

V Dockeru nestačí aktualizovat systém — je potřeba nový základní obraz a kontejner postavit znovu. A nezapomeňte na věci, na které se běžně nemyslí: testovací a vývojové weby, staré prezentace na poddoménách, zapomenutý intranet ve firemní síti.

Co dělat, když to někdo nestihl zaplátovat včas

Samotná aktualizace zranitelnost zavře, ale neuklidí po někom, kdo se dovnitř dostal dřív. Když váš web běžel několik dní na neopravené verzi a byl dostupný z internetu, patří k tomu kontrola:

• neobvyklé procesy spouštěné službou PHP (to je podle NÚKIB hlavní známka zneužití),
• nové nebo nedávno změněné soubory ve složce webu, obzvlášť .php na místech, kde nemají co dělat,
• cizí administrátorské účty v redakčním systému,
• odchozí spojení ze serveru, která tam nepatří,
• záznamy v logu webserveru z doby před aktualizací.

Když se něco najde, správné řešení není smazat nalezený soubor a jít dál. Je potřeba zjistit, kudy se útočník dostal a co po sobě nechal, a obnovit web ze zálohy z doby před napadením.

Nabídka: projdeme to za vás

Jestli nevíte, na jaké verzi PHP váš web běží, nebo si nejste jistí, že to váš hosting opravdu vyřešil, ozvěte se. Děláme to takto:

1. Zjistíme verze PHP na všech vašich webech a serverech, včetně těch, na které se zapomnělo.
2. Doplníme chybějící aktualizace a restartujeme, co je potřeba, aby oprava skutečně platila.
3. Zkontrolujeme, zda nejsou vidět známky napadení.
4. Dáme vám písemný výstup — co jsme našli, co jsme opravili a co doporučujeme dál.

Za kontrolu si účtujeme fixní cenu podle počtu webů, takže předem víte, na čem jste. Pokud se při kontrole ukáže napadení, nejdřív se ozveme a dohodneme postup — nikdy to neřešíme na vlastní pěst bez vašeho vědomí.

Napište nám nebo zavolejte a ještě dnes budete vědět, jak na tom jste.

Zdroje: blog.nic.cz · NÚKIB · chyby jsou vedené jako CVE-2026-109618 a CVE-2026-109619 se závažností 9,2 z 10.