Co se stalo
Projekt PHP 21. října 2026 vydal mimořádné bezpečnostní verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravují dvě kritické zranitelnosti označované jako php2shell (CVE-2026-109618 a CVE-2026-109619, hodnocení CVSS 9.2). Obě mohou útočníkovi umožnit na dálku a bez přihlášení spustit vlastní kód na serveru — tedy převzít web i data, ke kterým má přístup.
Informace o chybách unikly ještě před plánovaným zveřejněním, proto vydání proběhlo o den dřív. Ukázka zneužití se rychle rozšířila a NÚKIB i zahraniční úřady vyzývají k okamžité aktualizaci. Úřad vlády ČR svůj web preventivně odstavil, než opravy nasadí.
Koho se to týká
- každého, kdo provozuje web nebo aplikaci na PHP — WordPress, PrestaShop, Drupal, Joomla i vlastní systémy
- chyba je v samotném PHP, ne v redakčním systému — aktualizace WordPressu nebo pluginů ji neopraví
- PHP 8.1 a starší už od projektu PHP opravy nedostávají
Co udělat
- zjistit verzi PHP — v administraci hostingu nebo ve správě webu; opravená je 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35 a novější
- sdílený webhosting: ověřit u poskytovatele, že opravené PHP nasadil (nebo přepnout na podporovanou verzi v administraci)
- vlastní server nebo VPS: aktualizovat balíčky PHP a restartovat PHP-FPM / Apache, jinak běží stará verze dál
- web na PHP 8.1 a starším převést na podporovanou verzi — jiná dlouhodobá ochrana neexistuje
- projít logy a soubory webu: neznámé soubory, nové administrátorské účty, neobvyklé procesy spouštěné PHP
Firewall nebo ochrana u poskytovatele CDN může útoky dočasně brzdit, ale nenahradí aktualizaci.
Spravujeme váš web nebo server? Aktualizaci řešíme. Nevíte, na jaké verzi PHP váš web běží? Pošlete nám adresu webu v požadavku — ověříme to a postaráme se o opravu.
