Vyjádření společnosti Impnet ke kritické zranitelnosti PHP2Shell a jak jsme zabezpečili naše klienty

Ve středu 21. října 2026 vydal projekt PHP mimořádné opravy dvou kritických chyb, které média pojmenovala PHP2Shell. Psaly o nich Seznam Zprávy, Lupa.cz, Root.cz i Živě.cz a varoval před nimi také Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Některé organizace, například Úřad vlády ČR, své weby dočasně odstavily, aby mohly provést opravy.

Protože PHP běží na velké části internetu, týkala se chyba potenciálně milionů webů a e-shopů. Našim klientům jsme situaci již oznámili informačním e-mailem. Tento článek je kompletní shrnutí a naše oficiální stanovisko.

Co se stalo

Co je PHP. Je to technologie v zákulisí, na které funguje velká část webů, včetně WordPressu, Drupalu, Joomly nebo Magenta. Když si otevřete web nebo e-shop, PHP často sestaví stránku, než se vám zobrazí. Vy o něm nevíte, ale je v základu mnoha firemních webů.

V čem byl problém. Chyby nebyly v jednom konkrétním webu ani pluginu, ale přímo v PHP. Je to podobné, jako by se v základní konstrukci zámku našla vada, kterou mají všechny dveře z jedné série. Nestačilo mít „bezpečný“ web, když bylo zranitelné to, na čem běží. Jde o dvě samostatné chyby, označené CVE-2026-109618 a CVE-2026-109619. Obě souvisejí s nesprávným zacházením s pamětí serveru.

Co mohl útočník udělat. Na zranitelném serveru mohl za určitých podmínek spustit vlastní příkazy, a to bez hesla a bez přihlášení. Následkem mohl být únik dat, změna obsahu webu, podstrčení škodlivého kódu návštěvníkům nebo převzetí celého serveru.

Proč to bylo vážné. Obě chyby dostaly hodnocení 9,2 z 10 podle škály CVSS, tedy nejvyšší kategorii závažnosti. Informace o nich navíc unikly dřív, než byly připraveny opravy pro všechny. Útokíníci pak začali weby hromadně skenovat. Cloudflare zaznamenal miliony pokusů o zneužití a bezpečnostní výzkumníci později potvrdili i úspěšný útok na nezaplátovaný server. Podle Amazonu byl první zachycený pokus o zneužití již 17. října, tedy před oficiálním zveřejněním.

Které verze byly dotčeny. Podle dostupných zdrojů se problém týká verzí přibližně od PHP 5.4 výše a nezáleží na tom, jak PHP běží (PHP-FPM, Apache s mod_php i další způsoby). Opravy jsou ve verzích 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Starší verze už oficiální opravy nedostávají a řeší je distribuce Linuxu nebo poskytovatelé dlouhodobé podpory. Jediným plným řešením je aktualizace.

Co to znamená pro běžné návštěvníky webů. Nemusí nic instalovat ani měnit, chyba je na straně serverů, ne osobních počítačů a telefonů. V následujících týdnech je ale vhodná opatrnost u podvodných e-mailů a falešných „aktualizací“, které mohou zneužívat medializované téma.

Jak reagovala společnost Impnet

Hned po zveřejnění informací o zranitelnostech 20. října 2026 jsme situaci začali aktivně řešit. První opatření na našich serverech jsme nasadili 21. října odpoledne.

1. Mapování. Zjistili jsme, kde všude u klientů běží PHP: na šesti vlastních serverech se stovkami webů i u externích poskytovatelů hostingu, u kterých pro klienty weby provozujeme. U externích poskytovatelů jsme si ověřili, jak zranitelnost řeší. U vlastních serverů jsme prošli i nastavení jednotlivých webů, protože řada z nich má vlastní konfiguraci PHP, která má přednost před tou celoserverovou.
2. Aktualizace a záplaty. Na serverech s aktuálními verzemi PHP jsme 22. října nasadili opravené verze vydané 21. října (PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12). U starších verzí PHP, pro které tvůrci PHP oficiální opravy nevydávají, jsme mezi 21. a 26. říjnem nasadili aktualizované balíčky od dodavatele operačního systému.
3. Dočasná ochranná opatření. Na serverech jsme vypnuli funkci PHP, přes kterou je část zranitelností zneužitelná. Na serveru, kde nebylo možné PHP okamžitě aktualizovat, jsme dočasně zablokovali nahrávání souborů přes web přímo na úrovni webového serveru. Někteří klienti proto mohou dočasně narážet na omezení při nahrávání obrázků a souborů v administraci. Weby z tohoto serveru přesuneme v týdnu od 3. listopadu na nový, zabezpečený server, kde nahrávání znovu pojede bez omezení. Do té doby jsme u vybraných webů nasadili vlastní ochranný modul, díky kterému nahrávání funguje a web zůstává chráněný.
4. Komunikace s klienty. Klienty jsme o situaci informovali e-mailem 22. října a informační lištou na webu impnet.cz. Na individuální dotazy odpovídáme průběžně. Pokud jste e-mail nedostali, napište nám.

Situace se stále vyvíjí. Byla zveřejněna další zranitelnost (CVE-2026-115560), na kterou v době psaní textu nebyla k dispozici oprava. Týká se jen aplikací s neobvyklou kombinací nastavení PHP. Vývojáři PHP jako dočasné opatření doporučili vypnout funkci session.upload_progress. Toto opatření nasazujeme a ověřujeme u jednotlivých webů. Situaci sledujeme a opravu nasadíme hned, jak vyjde.

Doporučení pro klienty

Pokud servery a aplikace spravujeme za vás my, nemusíte dělat nic navíc. Pokud máte část systémů ve vlastní správě nebo u jiného poskytovatele, doporučujeme:

• Ověřit verzi PHP a aktualizovat na opravenou verzi (8.2.35, 8.3.36, 8.4.27 nebo 8.5.12 a novější). Po aktualizaci je potřeba restartovat služby, které PHP využívají, jinak stále běží stará verze. U již nepodporovaných verzí si vyžádejte informaci od poskytovatele hostingu nebo distribuce a naplánujte přechod na podporovanou verzi.
• Projít všechna místa, kde PHP běží: nejen hlavní web, ale i testovací prostředí, administrační rozhraní, ovládací panely, aplikace třetích stran a případně domácí zařízení typu NAS dostupná z internetu.
• Nenechávat nezaplátovaný systém veřejně dostupný. Pokud ho nelze hned aktualizovat, omezte přístup nebo ho chraňte firewallem webových aplikací (WAF) či VPN.
• Zkontrolovat neobvyklou aktivitu nejlépe od 17. října 2026: nové nebo změněné soubory, neznámé uživatelské účty, naplánované úlohy nebo neočekávané procesy webového serveru.
• Při podezření na kompromitaci uchovat logy, server izolovat a obrátit se na nás nebo na svého poskytovatele.
• Dbát opatrnosti u e-mailů o „bezpečnostních aktualizacích“. Instalujte jen z oficiálních zdrojů.

Závěr

Bezpečnost systémů a dat našich klientů je pro Impnet dlouhodobá priorita. Tato událost znovu ukázala, jak důležité je mít přehled o tom, co kde běží, umět rychle aktualizovat a průžně monitorovat. Situaci dál sledujeme a o dalším vývoji budeme klienty informovat.

Máte-li dotazy, obraťte se na naši podporu na telefon +420 739 544 733 a e-mail podpora@impnet.cz. 

Zdroje

• Seznam Zprávy: Unikla kritická chyba, která umožní útočníkům spustit cokoli
• Lupa.cz: PHP2Shell: kritické zranitelnosti v PHP dávají útočníkům možnost spustit kód na serverech
• Root.cz: Vážné chyby v PHP umožňují vzdálené spuštění kódu, aktualizace byly vydány
• Živě.cz: PHP je děravé a webům hrozí apokalypsa
• Root.cz: Miliony pokusů o zneužití chyby PHP2Shell, Útok začal již čtyři dny před zveřejněním, PHP2Shell je nyní úspěšně zneužíván v reálném prostředí

Lukáš Bryksa

Lukáš Bryksa stojí za vznikem naší agentury. Ve vodách IT a online marketingu se pohybuje už více než 14 let a má bohaté zkušenosti s IT start-upy. Můžete se spolehnout, že se bude vždy snažit najít to nejlepší řešení pro každého klienta a dotáhne váš projekt do konce. Lukáš je totiž jeden z těch lidí, ze kterých nadšení pro věc a láska ke své práci přímo čiší.

všechny články autora