Dne 21. října 2026 byly zveřejněny opravy dvou kritických bezpečnostních chyb označených CVE-2026-109618 a CVE-2026-109619 společně označované jako PHP2Shell. Obě získaly hodnocení závažnosti 9,2 z 10 podle standardu CVSS.
Zranitelnosti mohou útočníkovi umožnit vzdáleně spustit vlastní kód na serveru, a to i bez přihlášení. V krajním případě tak může dojít k napadení webových stránek, získání citlivých dat nebo zneužití serveru k dalším útokům. Na problém upozornil také Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) a evropský bezpečnostní tým CERT-EU, s jednoznačným doporučením okamžité instalace bezpečnostních oprav. Na oznámenou zranitelnost a potenciální rizika zareagovaly mnohé klíčové instituce včetně např. Úřad vlády ČR odstavením svých webových stránek.
Zranitelnosti se nacházejí přímo v PHP, nikoli v konkrétním redakčním systému nebo webové aplikaci. Mohou se proto týkat webů postavených na PHP, např. WordPressu, PrestaShopu, Drupalu ale i vlastních aplikacích. Zranitelnosti je potřeba opravit na úrovni serverového software.
Opravy už byly vydány. Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Doporučení je aktualizovat okamžitě. Za potenciální indikátory kompromitace lze považovat například neobvyklé procesy spouštěné službami PHP, které mohou naznačovat pokus o zneužití zranitelnosti.
Сабота, Октомври 24, 2026
