# Kritické zranitelnosti v jádře PHP (php2shell): opravy dnes v 16:00 SELČ. Připravte se už teď.

- Autor: Ing. Filip Lang, DBA
- Vydáno: 2026-10-21, aktualizováno: 2026-10-21
- Kategorie: Aktuality
- Zdroj: https://ictnwt.cz/blog/kriticke-zranitelnosti-v-jadre-php-php2shell-opravy-dnes-v-16-00-selc-pripravte-se-uz-ted



Další důvod, proč si před spaním neotvírat profesní sítě. Může se vám pak špatně spát. 🙂

Včera večer začaly unikat informace o dvou kritických zero-day zranitelnostech přímo v PHP (označované jako **CVE-2026-109618** a **CVE-2026-109619**, komunita jim už říká **php2shell**). PHP Security Team zareagoval urychleným oznámením a oběma chybám přiřadil skóre CVSS v4.0 9.2.

Podle dostupných zpráv jde o vzdálené spuštění kódu (RCE) bez nutnosti předchozí autentizace. Útočníkovi s vysokou pravděpodobností postačí možnost odeslat specificky formátovaný HTTP požadavek na webový server.

Na klidné spaní to úplně nebylo.

Opravy oficiálně vycházejí **dnes (středa 21. 10.) v 16:00 našeho času (14:00 UTC)**. U nás od ranní porady měníme plány, mapujeme servery a chystáme pohotovost na dnešní odpoledne a večer.

Čas 16:00 je pro IT týmy nejhorší možný: většina lidí končí pracovní dobu a další směna začíná za 16 hodin. S tím, jak dnes útočníci rutinně využívají AI k bleskovému diffování patchů, reverse engineeringu a psaní funkčních exploitů, se dá čekat, že automatizovaný „lov“ na neopatchované servery začne během pár hodin po uvolnění zdrojáků. Čekat do zítřejšího rána je obrovský risk.

## Co doporučuji udělat ještě PŘED 16. hodinou

- **Inventura PHP napříč celou infrastrukturou.** Nehledejte jen hlavní linuxové produkční webservery. Prověřte kontejnery, testovací/dev prostředí, lokální instalace na Windows (XAMPP, WAMP, IIS), řídicí panely a hlavně dodavatelské appliance nebo interní systémy, kde PHP běží na pozadí, aniž byste o něm věděli.
- **Filtrujte podle vystavení do internetu.** Co je přístupné z veřejné sítě, má absolutní prioritu č. 1. Připravte si postupy pro aplikaci balíčků hned, jak je distribuce a repozitáře uvolní.
- **Tvrdý plán pro staré a EOL verze.** Oficiální záplaty vyjdou primárně pro podporované větve (PHP 8.2+). Pokud někde provozujete staré nepodporované verze (PHP 5.x, 7.x, 8.0/8.1), oficiální patch od [php.net](https://php.net/) zřejmě vůbec nedostanete. Pro tyto stroje připravte okamžitou mitigaci: shození za VPN, omezení na IP whitelist, striktní WAF pravidla nebo dočasné odstavení. Nechat je přes noc viset do internetu je hazard.
- **Sledujte podezřelé procesy.** RCE v PHP obvykle znamená, že worker process (php-fpm, apache2, httpd, php-cgi) neočekávaně spustí shell (sh, bash, cmd.exe, powershell) nebo stahovací utilitu (curl, certutil). Nastavte si na to v EDR / SIEMu dočasné alerty.

Teď čekáme na 16:00. Abychom viděli technické detaily, přesný vektor a zjistili, v kolik hodin dnes půjdeme spát. ☕ Držte se!

### Zdroje a technické detaily

- [Oficiální oznámení PHP teamu](https://www.php.net/archive/2026.php#2026-10-20-1)
- [Průběžná analýza Huntress (php2shell)](https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities)