Kritická chyba v PHP ohrozila weby po celom svete: ako zistiť, či ste zraniteľní, a čo urobiť ešte dnes

Predstavte si, že váš web zrazu zobrazí prázdnu stránku - a vy nemáte tušenie, či ide o výpadok hostingu, alebo o niekoho, kto práve číta databázu vašich zákazníkov.

Presne to sa tento týždeň stalo prevádzkovateľom webov po celom svete. Projekt PHP 21. októbra 2026 vydal mimoriadne bezpečnostné aktualizácie pre dve kritické chyby, ktoré výskumníci pomenovali PHP2Shell. Niektoré štáty, napríklad Holandsko a Fínsko, podľa agentúry Reuters preventívne vypli časť vládnych webov, kým ich nezaplátali. Nie je teda čas na „pozriem sa na to cez víkend“.

Čo sa vlastne stalo a prečo je to iné

PHP poháňa veľkú časť webov, ktoré poznáte, od firemných stránok cez e-shopy až po WordPress a Drupal. Chyby nesú označenie CVE-2026-109618 a CVE-2026-109619 a majú hodnotenie závažnosti CVSS 9,2 z 10. Útočník ich môže zneužiť bez prihlásenia a v najhoršom prípade spustiť na serveri vlastný kód.

Podstata je v tom, ako PHP zvláda fatálne chyby počas požiadavky, najmä nedostatok pamäte. Zlyhaná požiadavka môže po sebe nechať poškodený vnútorný stav a ďalšia požiadavka na tom istom procese ho použije. Preto nezáleží na tom, aký web máte: podľa výskumníkov z firmy Wiz môže byť zraniteľná aj jednoduchá stránka „Hello World“. Najväčšie riziko je pri module mod_php v Apache, kde útok prebehne ešte pred spustením kódu vašej aplikácie.

Chyby v kóde sedeli viac ako desať rokov. Každá verzia PHP za posledné desaťročie, až po verziu 5.4, obsahuje aspoň jednu z nich.

Kľúčový rozdiel je v tom, ako sa našli. Nezávisle na nich narazili dva tímy a oba pracovali s umelou inteligenciou. Firma Calif s modelom GPT-5.6 Sol od OpenAI a Wiz s modelmi Gemini 4 Argon a GPT-5.6 Sol. Prvý nález je z augusta, PHP o chybách vedelo od 24. augusta a záplaty vyšli spolu so zverejnením 21. októbra. Cloudflare už hlási prvé pokusy o útok.

Ako zistiť, či ste zraniteľní - konkrétne kroky

Nečakajte na to, kým vám hosting pošle e-mail. Overte si to sami, dnes:

• Zistite verziu PHP. V administrácii hostingu alebo príkazom php -v na serveri. Pozor, webový server môže bežať na inej verzii než príkazový riadok, istotu dá výpis phpinfo() alebo informácia v administrácii redakčného systému.
• Porovnajte ju so záplatovanými verziami. Opravené sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Ak máte v danej vetve nižšie číslo, ste zraniteľní.
• Staršie verzie než 8.2. PHP 8.1 a staršie už oficiálne aktualizácie nedostávajú. Niektoré linuxové distribúcie a platení dodávatelia opravu doplnili, preto sa spýtajte svojho hostingu, inak je jediná cesta prechod na podporovanú verziu.
• Pozrite sa na logy. Výskumníci odporúčajú sledovať neobvyklé požiadavky typu multipart, po ktorých nasledujú chyby pamäťového limitu alebo opakované chyby 500, nezvyčajne veľké či poškodené cookies PHPSESSID a nevysvetliteľné reštarty procesov PHP. Nie je to dôkaz napadnutia, ale signál, ktorý si zaslúži pozornosť.

Ak si nie ste istí, nepredpokladajte, že ste v poriadku len preto, že web funguje. Zraniteľnosť nezávisí od toho, aký redakčný systém alebo doplnky používate.

Čo urobiť ešte dnes - realistický zoznam

Nejde o to, aby ste strávili noc panikou. Ide o to, aby ste mali prehľad:

• Aktualizujte PHP na záplatovanú verziu. Projekt PHP výslovne píše, že aktualizácia je jediná úplná oprava. Ak to neviete spraviť sami, požiadajte hosting. Pri vlastnom serveri nezabudnite po aktualizácii reštartovať všetky procesy PHP.
• Zálohujte pred zmenou. Pred akýmkoľvek zásahom do servera urobte zálohu súborov aj databázy. Ak sa niečo pokazí, vrátite sa o krok späť.
• Ak nemôžete aktualizovať hneď, znížte riziko. Projekt PHP odporúča okrem iného vypnúť session.upload_progress.enabled a obmedziť veľkosť požiadaviek na webovom serveri. Upozorňuje však, že tieto kroky inštaláciu bezpečnou nespravia, len zmenšia priestor na útok. Pomáhajú aj ochranné pravidlá, ktoré pripravili Cloudflare, Fastly, Google či Vercel, ak web stojí za niektorou z ich služieb.
• Skryté chybové hlášky nepomôžu. Vypnutie zobrazovania chýb ani potlačenie hlásení útok nezastaví, chyba sa deje hlbšie.
• Sledujte oznámenia PHP a svojho hostingu. Ak hosting ešte neaktualizoval, opýtajte sa ho priamo, kedy to urobí.

Kde sú slabiny a čo od toho nečakať

Toto nie je chyba, ktorú „vyrieši“ antivírus na vašom počítači. Ide o serverovú záležitosť, o kód, ktorý beží na strane poskytovateľa. Ak ste bežný používateľ bez vlastného webu, priamo zasiahnutý nebudete; ak máte firemný web alebo e-shop, týka sa vás priamo.

Druhá vec: záplata nevymaže to, čo sa stalo pred ňou. Ak bol web medzi zverejnením a aktualizáciou otvorený, pozrite sa aj do histórie: logy, nové účty administrátorov, zmenené súbory. Preto je dôležité pozerať sa aj dozadu, nie iba dopredu.

Tretia vec: umelá inteligencia mení tempo. Tie isté nástroje, ktoré pomohli chybu nájsť, pomáhajú aj rýchlejšie písať útoky. Čas medzi zverejnením chyby a prvými útokmi sa skracuje, takže „aktualizujem budúci mesiac“ už neplatí.

Čo si vybrať: rýchla oprava, alebo komplexný audit

Ak prevádzkujete web na podporovanej verzii PHP, prioritou číslo jedna je aktualizácia dnes. Je to najlacnejší a najúčinnejší krok. Komplexný bezpečnostný audit má zmysel až potom, keď máte základy pod kontrolou.

Ak máte starší systém na PHP 8.1 alebo staršom, naplánujte prechod na podporovanú verziu. Pozor aj na PHP 8.2: podpora mu končí 31. decembra 2026, takže ďalšia podobná chyba po tomto dátume už oficiálnu záplatu nedostane.

A ak si nie ste istí, kde začať: kontaktujte svoj hosting a spýtajte sa na verziu PHP a stav záplat pre PHP2Shell. Pri takejto chybe sa problém sám nevyrieši.

PHP2Shell: čo si z toho odniesť pre správu webu

Kritická chyba v PHP ukázala dve veci naraz. Prvá: starý kód nemusí byť bezpečný len preto, že roky fungoval. Druhá: umelá inteligencia urýchľuje obe strany, obrancov aj útočníkov. Pre prevádzkovateľa webu z toho plynie jednoduché pravidlo: vedieť, na akej verzii web beží, mať zálohu a vedieť, na koho sa obrátiť. Nie dokonalá obrana, ale realistická príprava. A tá sa vypláca práve v dňoch, ako je tento.

Zdroje

• PHP - bezpečnostné vydania 8.5.12, 8.4.27, 8.3.36 a 8.2.35 a odporúčania k CVE-2026-109618 a CVE-2026-109619, php.net (citované 22. 10. 2026)
• Wiz Research - PHP2Shell: AI uncovers critical RCE vulnerabilities, wiz.io (citované 22. 10. 2026)
• Fortune - AI helped discover the PHP vulnerability that could take down 70% of the internet, fortune.com (citované 22. 10. 2026)