NOUZOVÉ UPOZORNĚNÍ: Kritické chyby PHP („PHP2Shell“) vyžadují okamžitou nápravu

Závažnost: KRITICKÁ (CVSS 9.2) | Vydáno: 22. října 2026

21. října byly odhaleny dvě kritické chyby v PHP, CVE-2026-109618 a CVE-2026-109619. Společně se jim přezdívá „PHP2Shell“. Kterákoli z nich může útočníkovi umožnit ovládnout webový server bez nutnosti přihlášení. Existují veřejné exploity typu proof-of-concept a byly hlášeny i pokusy o zneužití.

PHP provozuje velkou část webu, včetně WordPressu, Laravelu, zákaznických portálů a mnoha produktů dodavatelů. Pokud má vaše firma webové stránky nebo webovou aplikaci, pravděpodobně někde používáte i PHP.

Stav CyberHootu

Společnost CyberHoot zkontrolovala a opravila všechny relevantní systémy. Od zákazníků CyberHoot se v souvislosti s naší platformou nevyžaduje žádná akce.

Váš dnešní cíl: Najít to a pak to opravit

Krok 1: Nejprve proveďte audit systémů přístupných k internetu. Veřejné webové stránky, zákaznické portály, webové aplikace a vše, co je dostupné z internetu. Ověřte, zda je přítomno PHP a jaká je jeho verze.

Krok 2: Následně proveďte audit interních systémů. Intranety, interní nástroje, kontejnery, zařízení a produkty dodavatelů, které obsahují PHP.

Krok 3: Oprava co nejdříve. Aktualizujte na PHP 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, nebo si stáhněte potvrzenou opravu portovanou dodavatelem. Poté restartujte webový server nebo PHP workery, protože oprava se neprojeví, dokud to neuděláte.

Nemůžeš teď opravit?

Vypněte systém do režimu offline nebo jej odeberte z veřejného internetu, dokud nebude opraven.

Firewall webových aplikací pomáhá jen částečně.

PHP 8.1 a starší verze nemají žádné běžné upstreamové opravy. Požádejte svého dodavatele o backport nebo naplánujte migraci.

Zkontrolujte, zda jste již byli zasaženi

Oprava zavře dveře, ale neřekne vám, zda se do systému již někdo dostal. Nechte svůj IT tým nebo poskytovatele spravovaných služeb (MSP) podívat se zpět k 17. říjnu pomocí protokolů a dat z koncových bodů na:

• Neobvyklé vícedílné POST požadavky
• PHP_SESSION_UPLOAD_PROGRESS v požadavcích
• Chyby vyčerpání paměti PHP při spuštění požadavku
• Nové nebo neočekávané soubory PHP a neočekávané procesy spuštěné webovým serverem
• Neznámé naplánované úlohy (cron úlohy)

Nástroje, které mohou pomoci:

Existují bezplatné nástroje, které vám mohou pomoci posoudit vaši expozici vůči těmto rizikům PHP. Zde jsou dva, o kterých jsme věděli, ale sami jsme je netestovali. Používejte je na vlastní nebezpečí.

1. Detekce v Corelight PHP2Shell Detekce Zeek a Suricata vytvořené pro tento incident. Odhaluje podezřelý HTTP provoz. Zobrazuje pokusy, ale nedokáže prokázat úspěšný kompromitační útok. Šifrovaný provoz vyžaduje kontrolu viditelnosti.
2. PHP2Shell Guard zdarma, komunitou vytvořený nástroj Bash pro Linux. Jeho příkaz hunt kontroluje známky kompromitace od 17. října. Nový, neověřený kód třetí strany. Před spuštěním se zvýšenými oprávněními zkontrolujte zdrojový kód.

Pokud najdete cokoli podezřelého: uschovejte protokoly a důkazy předtím, než cokoli znovu provedete nebo vymažete, a poté to eskalujte k forenznímu posouzení.

Váš důvěryhodný partner v oblasti kybernetické bezpečnosti: CyberHoot. Smějte se. Učte se. Rozjeďte se!

---

Zdroje

• Výstraha CISA
• Kanadské kybernetické centrum AL26-026
• Analýza Rapid7
• Wiz Research
• PHP.net ChangeLog
• Stáhněte si jednostránkový leták „Co dělat dnes“ (níže).

---

Zabezpečte své podnikání s CyberHootem ještě dnes!