PHP Foundation 21. října 2026 vydala opravy dvou kritických chyb označovaných jako PHP2Shell. Zranitelnosti ohrožují neaktualizované weby a servery s programovacím jazykem PHP, který využívá asi 70 procent veřejného webu.
Chyby nesou označení CVE-2026-109618 a CVE-2026-109619. Útočník je může zneužít přes internet bez hesla, aniž by uživatel musel cokoli udělat. Vzdálené spuštění kódu mu může umožnit ovládnout server, získat přístup k datům a instalovat škodlivý software.
Výzkumníci ze společnosti Calif našli způsob, jak zneužít chyby známé už od roku 2024. Tehdy se nepovažovaly za prakticky zneužitelné, a proto nebyly opraveny. Calif informoval PHP Foundation, která připravila záplaty a předem je poskytla vybraným velkým provozovatelům internetových služeb.
Tento postup zabránil rozsáhlému napadání bezprostředně po zveřejnění oprav. Některé banky, obchody, nemocnice, herní služby a úřady dočasně odstavily své weby, aby mohly aktualizovat servery. Mnoho dotčených systémů však podle bezpečnostních výzkumníků zůstává bez opravy.
Amazon zachytil pokusy o zneužití už 17. října, tedy před veřejným vydáním záplat. Není jasné, jak se útočníci o chybách dozvěděli. Palo Alto Networks a Trail of Bits později potvrdily úspěšné napadení a navazující škodlivou aktivitu u blíže neurčeného cíle. Cloudflare po zveřejnění oprav zaznamenal prudký nárůst pokusů o útok.
V jazyce PHP jsou napsané například systémy WordPress, Drupal, Joomla a MediaWiki. PHP se používá také v interních firemních webech, vývojářských nástrojích, úložištích, směrovačích, firewallech a VPN. Není uvedeno, kterých konkrétních verzí PHP se chyby a opravy týkají.
Samotné používání WordPressu neznamená, že byl web napaden. Rozhodující jsou verze PHP a stav záplat, které může ověřit správce serveru nebo poskytovatel hostingu. Pokud lze PHP aktualizovat, není nutné automaticky nahrazovat celý web. U staršího systému, který opravit nelze, však riziko přetrvává a běžná údržba je neodstraní.
Při plánování bezpečnostních aktualizací nestačí vysoké skóre zranitelnosti. Přednost má oprava systému, který je vystaven útoku a jehož napadení ohrozí přístupy, data nebo provoz.
Během 30 dní lze určit odpovědnost za kyberbezpečnost, prověřit účty, obnovu záloh i postup pro první hodinu incidentu.
Kdo drží obnovovací slova, může s bitcoinem nakládat, zatímco logo banky v aplikaci z něj bankovní vklad neudělá a pojištění vkladů se na něj nevztahuje.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
