PHP2Shell: Dve kritické zraniteľnosti PHP ohrozujú bezpečnosť celého servera

Web vašej spoločnosti môže byť aktualizovaný, všetky pluginy zabezpečené a prístupové práva správne nastavené. Útočník však napriek tomu môže získať kontrolu nad serverom bez toho, aby sa musel prihlásiť. Dve kritické zraniteľnosti PHP, súhrnne označované ako PHP2Shell, predstavujú bezpečnostné riziko, ktoré sa netýka len samotných webových stránok. Najnovšie zistenia Amazonu navyše ukazujú, že pokusy o ich zneužitie sa objavili už štyri dni pred oficiálnym zverejnením.

21. októbra 2026 boli zverejnené dve kritické zraniteľnosti v prostredí PHP, evidované pod označeniami CVE-2026-109618 a CVE-2026-109619. Obe získali hodnotenie CVSS v4.0 na úrovni 9,2 z 10 a za určitých podmienok umožňujú vzdialené spustenie škodlivého kódu (Remote Code Execution, RCE) bez potreby prihlásenia.

PHP je základom významnej časti svetových webových stránok vrátane e-shopov, zákazníckych portálov a redakčných systémov, ako sú WordPress, Drupal či Joomla. Podľa výskumníkov spoločnosti Wiz využíva PHP približne 70 % webových stránok. To však neznamená, že všetky tieto weby sú zraniteľné. Skutočné riziko závisí od používanej verzie PHP, konfigurácie servera a dostupných bezpečnostných aktualizácií.

Na rozdiel od bežných zraniteľností webových aplikácií zasahuje PHP2Shell samotné prostredie PHP, nie konkrétny plugin, redakčný systém alebo aplikáciu. Aktualizácia WordPressu preto problém nevyrieši, pokiaľ server naďalej používa zraniteľnú verziu PHP.

Ako funguje PHP2Shell: Útok ešte pred spustením aplikácie

Obe zraniteľnosti súvisia s chybami pri práci s pamäťou počas spracovania HTTP požiadaviek. Ich technické príčiny sa však líšia.

CVE-2026-109618 – Vzdialené spustenie kódu v dôsledku chyby pri správe pamäte

Ak počas spracovania požiadavky zlyhá pridelenie pamäte, PHP môže ponechať niektoré interné dátové štruktúry iba čiastočne inicializované. Pri následnom uvoľňovaní pamäte môže dôjsť k nesprávnemu spracovaniu neplatných údajov, čo za určitých okolností umožňuje spustenie ľubovoľného kódu.

CVE-2026-109619 – Vzdialené spustenie kódu v dôsledku opätovného použitia neplatného interného stavu

Druhá zraniteľnosť súvisí so situáciou, keď interné údaje z predchádzajúcej požiadavky zostanú dostupné aj po uvoľnení príslušnej pamäte. Ďalšia požiadavka spracovaná tým istým procesom PHP môže tento neplatný stav opätovne použiť ešte pred jeho správnou inicializáciou. Výsledkom môže byť neoprávnený prístup do pamäte alebo spustenie škodlivého kódu.

Bezpečnostným výskumníkom sa podarilo zneužitie PHP2Shell nezávisle reprodukovať. Spoločnosť Datadog Security Labs zdokumentovala útok využívajúci CVE-2026-109618, pri ktorom špeciálne pripravená HTTP požiadavka umožnila spustenie škodlivého kódu bez prihlásenia, a to ešte pred vykonaním samotného aplikačného kódu.

Práve v tom spočíva mimoriadna nebezpečnosť PHP2Shell: bezpečnostné mechanizmy aplikácie vrátane autentifikácie nemusia dostať príležitosť útok vôbec zastaviť.

Úspešné zneužitie môže útočníkovi umožniť prístup k citlivým informáciám, spúšťanie škodlivých procesov, inštaláciu malvéru alebo využitie napadnutého servera na ďalšie útoky. Rozsah následkov závisí od oprávnení procesu PHP a zabezpečenia okolitej infraštruktúry.

Akú úlohu pri objavení zraniteľností zohrala umelá inteligencia?

Podľa výskumníkov spoločnosti Wiz majú niektoré zraniteľné mechanizmy PHP pôvod ešte vo verzii PHP 5.4, ktorá bola vydaná v roku 2012.

Na objavení, analýze a koordinovanom odstraňovaní zraniteľností sa podieľali výskumníci zo spoločností Wiz, Calif, OpenAI a Quarkslab. Pokročilé modely umelej inteligencie im pomáhali analyzovať zložité správanie pamäte, vyvíjať funkčné exploity a overovať účinnosť opráv.

Podľa Wiz využitie AI výrazne urýchlilo aj prispôsobovanie exploitov rôznym aplikačným prostrediam.

Tieto zistenia poukazujú na širšiu zmenu v kybernetickej bezpečnosti. Zraniteľnosti, ktorých analýza si v minulosti vyžadovala rozsiahly manuálny výskum, môže byť vďaka pokročilým AI nástrojom jednoduchšie preskúmať aj zneužiť.

Pre bezpečnostné tímy to znamená, že čas medzi zverejnením zraniteľnosti a jej reálnym zneužívaním sa môže ďalej skracovať. PHP2Shell ukazuje, prečo musia organizácie dokázať na nové bezpečnostné hrozby reagovať rýchlo.

Amazon zaznamenal pokusy o zneužitie už štyri dni pred zverejnením

Nové zistenia tímu Amazon Threat Intelligence, publikované 22. októbra, ukazujú, že útočníci sa pokúšali zneužiť PHP2Shell ešte pred oficiálnym zverejnením zraniteľností.

Amazon identifikoval prvý pokus už 17. októbra 2026 prostredníctvom svojej siete návnadových systémov MadPot. Aktivita pochádzala z IP adresy spojenej s komerčnou anonymizačnou službou.

Ďalšie pokusy nasledovali 21. októbra, pričom pochádzali z rôznych anonymizovaných zdrojov. Zistenia naznačujú, že informácie o zraniteľnostiach mohli mať pred ich verejným zverejnením k dispozícii viacerí útočníci.

Po vydaní bezpečnostných opráv sa začali objavovať verejne dostupné exploity, ktoré boli krátko nato zaznamenané pri útokoch na senzory Amazonu.

Spoločnosť Cloudflare nezávisle potvrdila škodlivú prevádzku súvisiacu s PHP2Shell vrátane pokusov obísť jej bezpečnostné pravidlá. Následne nasadila ochranné opatrenia na úrovni webového aplikačného firewallu (WAF) aj pre používateľov bezplatných služieb.

Tieto zistenia sú mimoriadne dôležité, pretože pokusy o zneužitie predchádzali oficiálnemu zverejneniu zraniteľností. Organizácie by preto pri preverovaní možného napadnutia nemali analyzovať len udalosti po vydaní bezpečnostných aktualizácií, ale aj staršie záznamy.

Zároveň však treba rozlišovať medzi zaznamenanými pokusmi o útok a úspešným preniknutím do produkčných systémov. Samotné pozorovania bezpečnostných spoločností ešte nepreukazujú, že útočníkom sa podarilo konkrétne organizácie kompromitovať.

Ktoré verzie a konfigurácie PHP sú ohrozené?

Bezpečnostný tím PHP upozorňuje na riziká vo viacerých prostrediach používaných na prevádzku webových aplikácií vrátane Apache s modulom mod_php, PHP-FPM, php-cgi, FrankenPHP a LiteSpeed.

Za obzvlášť rizikovú sa považuje konfigurácia Apache s mod_php, pri ktorej bolo preukázané zneužitie bez autentifikácie ešte pred spustením aplikačného kódu. Ani ostatné spôsoby nasadenia však nemožno bez dôkladného overenia považovať za bezpečné.

Dňa 21. októbra 2026 boli vydané tieto opravené verzie PHP:

Verzie PHP 8.1 a staršie už nemajú oficiálnu podporu projektu PHP. Niektoré linuxové distribúcie a dodávatelia dlhodobej podpory však poskytujú bezpečnostné opravy aj pre staršie verzie. Bezpečnostný tím PHP zároveň sprístupnil minimálne úpravy zdrojového kódu pre PHP 7.4, 8.0 a 8.1.

Organizácie by preto mali kontrolovať bezpečnostné oznámenia a zoznamy zmien svojich dodávateľov, nielen samotné číslo používanej verzie PHP.

Päť krokov, ktoré by organizácie mali urobiť okamžite

1. Identifikovať všetky systémy využívajúce PHP. Zmapujte verejne dostupné webové aplikácie, interné systémy, kontajnery, riešenia tretích strán aj ďalšie prostredia, v ktorých sa PHP používa. Prioritu by mali mať systémy prístupné z internetu a aplikácie pracujúce s citlivými údajmi.

2. Bezodkladne nasadiť bezpečnostné aktualizácie. Aktualizujte PHP na opravenú verziu alebo nainštalujte bezpečnostnú opravu podporovanú dodávateľom. Reštartujte Apache, PHP-FPM a ďalšie dlhodobo bežiace procesy PHP a overte, že aktualizovaná verzia je skutočne aktívna. Pri kontajnerových prostrediach je potrebné vytvoriť nové obrazy a opätovne nasadiť príslušné služby. Samotná aktualizácia zdrojového kódu totiž produkčné prostredie nezabezpečí.

3. Preveriť možné napadnutie vrátane obdobia pred zverejnením. Analyzujte bezpečnostné záznamy minimálne od 17. októbra, keď Amazon zaznamenal prvý pokus o zneužitie. Zamerajte sa na podozrivé HTTP požiadavky, nezvyčajne veľké formulárové dáta, chyby súvisiace s nedostatkom pamäte, neočakávané procesy spustené prostredníctvom PHP a neoprávnené zmeny súborov. Ak je to možné, vyhodnocujte spoločne záznamy webového servera, koncových systémov a sieťovej prevádzky.

4. Obmedziť riziko tam, kde nie je možné aktualizovať okamžite. Použite ochranné pravidlá WAF odporúčané dodávateľmi, obmedzte nepotrebný verejný prístup a zvážte dočasnú izoláciu zraniteľných služieb. Tieto opatrenia môžu znížiť riziko, ale nenahrádzajú bezpečnostnú opravu.

5. Overiť bezpečnosť aj po aktualizácii. Skontrolujte, či boli všetky zraniteľné prostredia skutočne aktualizované, overte účinnosť bezpečnostných opatrení a preverte podozrivú aktivitu z obdobia pred nasadením opráv. Odstránenie zraniteľnosti a preverenie možného napadnutia sú dve samostatné úlohy.

Funkčný web ešte neznamená bezpečný server

Výskum spoločnosti Datadog upozorňuje na dôležitý problém pri odhaľovaní útokov: úspešné zneužitie PHP2Shell nemusí spôsobiť pád procesu PHP.

Napadnutý server tak môže naďalej fungovať bez viditeľných problémov a správca nemusí zaznamenať žiadne zjavné príznaky útoku.

Bezpečnostné tímy by sa preto nemali spoliehať iba na dostupnosť služieb. Dôležitými indikátormi môžu byť neočakávané spúšťanie príkazov, neobvyklé správanie procesov PHP, chyby pri práci s pamäťou alebo podozrivá HTTP komunikácia.

Ďalšie možnosti poskytuje monitorovanie sieťovej prevádzky. Spoločnosť Corelight zverejnila detekčné pravidlá pre nástroje Zeek a Suricata, zatiaľ čo Elastic predstavila prístupy založené na sledovaní podozrivého správania procesov a následnej aktivity útočníkov. Účinnosť týchto opatrení však závisí od dostupných dát, konfigurácie a konkrétneho spôsobu útoku.

Google Cloud zároveň upozornil, že pri cloudových prostrediach nestačí aktualizovať zdrojový kód. Je potrebné aktualizovať aj skutočne nasadené aplikácie a ich závislosti. Mimoriadne dôležité je to pri kontajneroch, kde môžu zraniteľné verzie PHP zostať v prevádzke aj po vydaní bezpečnostných opráv.

Svoje obmedzenia majú aj dočasné konfiguračné opatrenia. Napríklad vypnutie funkcie session.upload_progress môže znížiť riziko niektorých spôsobov útoku, ale samotné zraniteľnosti neodstráni.

Základným opatrením preto zostáva nasadenie príslušných bezpečnostných aktualizácií PHP.

Čo PHP2Shell znamená pre CIO, CTO a CISO?

PHP2Shell otvára otázku, ktorá výrazne presahuje samotné PHP: Do akej miery má vaša organizácia prehľad o technológiách, na ktorých fungujú jej kľúčové aplikácie?

Aplikácia môže úspešne prejsť bezpečnostným auditom, využívať silnú autentifikáciu a dostávať pravidelné aktualizácie. Napriek tomu môže zostať zraniteľná v dôsledku chyby v prostredí, na ktorom beží, v jej závislostiach alebo v konfigurácii servera.

Pre technologických a bezpečnostných lídrov sú preto zásadné tri oblasti:

• Prehľad o používaných technológiách: Vedieť, aké prostredia, knižnice a ďalšie závislosti využívajú kľúčové firemné systémy vrátane riešení spravovaných externými dodávateľmi.
• Rýchle odstraňovanie zraniteľností: Dokázať identifikovať ohrozené systémy, nasadiť bezpečnostné opravy do produkčného prostredia a overiť ich účinnosť bez zbytočných prieťahov.
• Schopnosť odhaliť napadnutie: Mať k dispozícii dostatočné bezpečnostné záznamy a procesy reakcie na incidenty, ktoré umožnia preveriť možné útoky aj spätne, vrátane obdobia pred oficiálnym zverejnením zraniteľnosti.

Zistenia Amazonu pritom upozorňujú na ďalšiu dôležitú skutočnosť. Organizácie nemôžu automaticky predpokladať, že obdobie pred verejným zverejnením zraniteľnosti bolo bezpečné. Ak sa objavia dôveryhodné dôkazy o skorších pokusoch o zneužitie, bezpečnostné preverovanie musí zohľadniť aj toto obdobie.

Tieto schopnosti nie sú dôležité iba pri PHP2Shell. Sú základom účinnej reakcie na budúce zraniteľnosti v široko používaných softvérových technológiách.

PHP2Shell pripomína, že bezpečnosť aplikácie nekončí pri jej zdrojovom kóde

PHP2Shell ukazuje, ako môžu zraniteľnosti v základných technológiách ohroziť aj inak dobre zabezpečené aplikácie.

Bezprostredné priority sú jasné: aktualizovať zraniteľné inštalácie PHP a preveriť možné pokusy o napadnutie vrátane obdobia pred oficiálnym zverejnením.

Z dlhodobého hľadiska by však organizácie mali posúdiť aj to, či majú dostatočný prehľad o technologických závislostiach svojich aplikácií, konfiguráciách serverov a možnostiach ďalšieho postupu útočníka po prípadnom preniknutí do systému.

Profesionálne penetračné testovanie pomáha organizáciám odhaľovať slabé miesta webových aplikácií a infraštruktúry, overovať možnosti ich zneužitia a pochopiť potenciálny dosah na fungovanie firmy.

Potrebujete preveriť bezpečnosť svojich webových aplikácií alebo infraštruktúry? Bezpečnostní experti Citadelo vám pomôžu identifikovať zraniteľnosti, vyhodnotiť riziká a určiť priority pri ich odstraňovaní.