Vývojári PHP vydali 21. 10. 2026 mimoriadnu bezpečnostnú aktualizáciu. Opravuje dve kritické chyby, cez ktoré môže útočník bez prihlásenia spustiť na serveri vlastný kód. Týka sa to aj webov a e-shopov na WordPresse a WooCommerce.
Chyby dostali prezývku PHP2Shell a útočníci ich začali skúšať ešte pred vydaním opravy. Zhrnuli sme, o čo ide, ktoré verzie PHP sú bezpečné a čo by ste mali urobiť. 👇
💡 Bezpečné sú verzie PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 a novšie. Verziu PHP svojho webu nájdete vo WordPresse v sekcii Nástroje > Zdravie webovej stránky > Informácie > Server.
O čo ide
Ide o dve zraniteľnosti priamo v PHP, teda v jazyku, v ktorom beží WordPress, WooCommerce aj väčšina ďalších webov. Majú označenie CVE-2026-109618 a CVE-2026-109619 a obe dostali hodnotenie závažnosti 9,2 z 10 (CVSS v4.0).
Útočník cez ne môže na serveri spustiť vlastný kód bez toho, aby sa musel kamkoľvek prihlásiť. Nepotrebuje na to žiadny zraniteľný plugin ani chybu vo WordPresse. Stačí, že web beží na neopravenej verzii PHP.
Zjednodušene povedané:
- CVE-2026-109618: keď PHP počas spracovania požiadavky dôjde pamäť, môže po sebe nechať poškodené dáta, ktoré sa potom dajú zneužiť.
- CVE-2026-109619: dáta z jednej požiadavky môžu zostať v pamäti a ďalšia požiadavka na tom istom procese s nimi môže pracovať.
Ohrozené sú všetky bežné spôsoby, ako PHP na serveri beží (PHP-FPM, Apache s mod_php, php-cgi, LiteSpeed aj FrankenPHP). Najrizikovejší je Apache s mod_php, kde útok funguje ešte skôr, než sa spustí samotný web.
Chyby sa v PHP skrývali mnoho rokov. Našli ich bezpečnostní výskumníci (okrem iných z firiem Calif, Wiz a OpenAI), ktorí pri hľadaní používali nástroje s umelou inteligenciou.
Ako sa to celé zbehlo
- 17. 10. zaznamenal Amazon na svojich návnadových serveroch prvý pokus o zneužitie, teda ešte pred zverejnením chýb.
- 20. 10. unikli na internet čísla zraniteľností, a tak vývojári PHP vydanie opravy o deň urýchlili.
- 21. 10. o 16:00 nášho času vyšli opravené verzie PHP. Cloudflare už ráno hlásil prvé útoky.
- V ten istý deň vydal varovanie aj SK-CERT (Národné centrum kybernetickej bezpečnosti). Odporúča aktualizovať čo najskôr a citlivé systémy, ktoré sa nedajú hneď aktualizovať, odpojiť od internetu.
Ktoré verzie PHP sú opravené
Opravu obsahujú tieto verzie. Ak máte staršiu verziu z rovnakého radu, treba ju aktualizovať.
| Rad PHP | Opravená verzia | Bezpečnostné opravy do |
|---|---|---|
| PHP 8.5 | 8.5.12 | 31. 12. 2029 |
| PHP 8.4 | 8.4.27 | 31. 12. 2028 |
| PHP 8.3 | 8.3.36 | 31. 12. 2027 |
| PHP 8.2 | 8.2.35 | 31. 12. 2026 |
📌 Niektorí poskytovatelia hostingu (a linuxové distribúcie ako Debian alebo Ubuntu) nasadzujú opravu do svojich balíkov a číslo verzie sa pritom nemusí zmeniť. Ak si nie ste istí, opýtajte sa svojho hostingu, či už má nasadenú opravu z 21. 10. 2026.
Ktoré verzie PHP už nie sú podporované
PHP 8.1 a všetky staršie verzie už od vývojárov PHP nedostávajú žiadne bezpečnostné opravy. Pre túto chybu výnimočne zverejnili len základné úpravy zdrojového kódu pre PHP 7.4, 8.0 a 8.1. Tie si však musí hosting sám zapracovať a zostaviť, oficiálna nová verzia nevyjde.
| Verzia PHP | Koniec bezpečnostných opráv |
|---|---|
| PHP 8.1 | 31. 12. 2025 |
| PHP 8.0 | 26. 11. 2023 |
| PHP 7.4 | 28. 11. 2022 |
| PHP 7.3 a staršie | 2021 a skôr |
Na takto starých verziách pritom stále beží veľká časť webov. Podľa štatistík WordPress.org používa PHP staršie ako 8.2 viac ako tretina webov na WordPresse, samotné PHP 7.4 takmer 16 %.
⏳ Pozor aj na PHP 8.2. Bezpečnostné opravy preň skončia 31. 12. 2026, teda o dva mesiace. Ak na ňom váš web beží, naplánujte prechod na PHP 8.3 alebo 8.4 už teraz.
Naše pluginy po novom vyžadujú PHP 8.2
Od 22. 10. 2026 je minimálna verzia PHP pre naše pluginy 8.2. Staršie verzie PHP už nedostávajú bezpečnostné opravy a prevádzkovať na nich e-shop je po chybe PHP2Shell zbytočné riziko.
📌 Ak váš web beží na PHP 8.1 alebo staršom, prejdite na PHP 8.2 alebo novšie ešte pred ďalšou aktualizáciou našich pluginov. Rovno odporúčame PHP 8.3 alebo 8.4, pretože PHP 8.2 dostáva bezpečnostné opravy len do konca roka 2026.
Ako to súvisí s WordPressom a WooCommerce
WordPress aj WooCommerce sú napísané v PHP. Každé zobrazenie stránky, pridanie do košíka alebo dokončenie objednávky spracúva PHP na serveri. Chyba je však priamo v PHP, nie vo WordPresse, WooCommerce alebo v pluginoch.
Z toho vyplývajú dve veci:
- Aktualizácia WordPressu ani pluginov vás tentoraz neochráni. WordPress.org potvrdil, že žiadna aktualizácia WordPressu nie je potrebná ani sa nechystá. Jediným riešením je aktualizovať PHP.
- Ohrozený je každý web na neopravenej verzii PHP, bez ohľadu na to, ako dôsledne aktualizujete WordPress. Výskumníci útok predviedli na aktuálnej verzii WordPressu aj na ďalších systémoch (Drupal, Joomla, Magento).
Pri e-shopoch je riziko o to väčšie, že na serveri sú uložené dáta zákazníkov, objednávky a prístupové údaje k platobným bránam, dopravcom alebo fakturačným službám.
Čo hrozí, ak PHP neaktualizujete
Útočník, ktorý môže na serveri spustiť vlastný kód, má web prakticky v rukách. Môže napríklad:
- ukradnúť databázu zákazníkov a objednávok (mená, adresy, e-maily, telefóny),
- upraviť pokladňu a podstrčiť zákazníkom falošnú platobnú stránku alebo skript, ktorý zachytáva zadávané údaje,
- získať heslá a API kľúče k platobným bránam, dopravcom, účtovnému systému alebo e-mailingu (výskumníci ukázali, že z pamäte PHP sa dajú vyčítať citlivé údaje aj bez úplného ovládnutia servera),
- založiť skrytý administrátorský účet alebo nahrať zadné vrátka, ktoré na webe zostanú aj po aktualizácii PHP,
- rozosielať zo servera spam alebo na web vložiť odkazy a stránky s podvodným obsahom,
- zneužiť server na ťažbu kryptomien alebo na ďalšie útoky, čo web spomalí a hosting ho môže zablokovať.
Následky potom nie sú len technické. Google môže web označiť ako nebezpečný, e-maily z vašej domény môžu začať padať do spamu a únik osobných údajov zákazníkov treba podľa GDPR spravidla do 72 hodín nahlásiť Úradu na ochranu osobných údajov SR. K tomu sa pridá výpadok tržieb, čas na vyčistenie webu a strata dôvery zákazníkov.
Opravy sú vonku a postup útoku je verejne známy. Neaktualizované servery preto budú terčom automatických útokov ešte dlho.
Čo urobiť teraz
- Zistite verziu PHP. Vo WordPresse ju nájdete v sekcii Nástroje > Zdravie webovej stránky > Informácie > Server.
- Overte si to u hostingu. Na zdieľanom alebo spravovanom hostingu aktualizuje PHP poskytovateľ. Opýtajte sa, či už má opravu z 21. 10. 2026 nasadenú. Ak máte vlastný VPS alebo server, aktualizujte balíky PHP sami a reštartujte PHP-FPM alebo Apache, aby bežala nová verzia.
- Máte PHP 8.1 alebo staršie? Prejdite na novšiu verziu. Naše pluginy od 22. 10. 2026 vyžadujú PHP 8.2 alebo vyššie, odporúčame rovno PHP 8.3 alebo 8.4. Pred prechodom si urobte zálohu a ideálne všetko vyskúšajte na testovacej kópii webu. Po prepnutí skontrolujte hlavne košík, pokladňu a odosielanie e-mailov.
- Skontrolujte, či web nebol napadnutý. Útoky prebiehali už od 17. 10. Prejdite zoznam používateľov (hlavne neznáme účty s vysokými oprávneniami), nainštalované pluginy aj záložku Must-Use pluginov. Podozrivé sú aj náhle chyby 500 alebo nezvyčajné správanie pokladne. Ak nájdete čokoľvek podozrivé, zmeňte heslá a API kľúče.
- Dočasná ochrana nestačí. Firewall (napríklad Cloudflare WAF) alebo úprava nastavenia PHP (
session.upload_progress.enabled = 0) útok len sťažia. Vývojári PHP výslovne uvádzajú, že jedinou spoľahlivou ochranou je aktualizácia. - Neinštalujte žiadne „opravné“ pluginy ani kód z neoverených zdrojov. Chybu v PHP plugin opraviť nemôže. Buďte opatrní aj na e-maily, ktoré ponúkajú rýchlu opravu, môžu byť podvodné.
🔎 V tom istom týždni riešil WordPress ešte jeden incident, s chybou v PHP však nesúvisí. Útočníci 18. a 19. 10. zneužili ukradnuté pripájacie kľúče služby UpdraftCentral a na weby s pluginom UpdraftPlus inštalovali zadné vrátka. Ak UpdraftPlus používate, skontrolujte, že máte verziu 1.26.13 (Premium 2.26.13) alebo novšiu, a prejdite zoznam pluginov a používateľov.
Klienti v Správe e-shopu to majú postrážené
Ak máte web alebo e-shop u nás v Správe e-shopu, nemusíte nič riešiť. Pri všetkých weboch, ktoré spravujeme, máme aktualizáciu PHP z našej strany podchytenú.
Nechcete podobné situácie riešiť sami? V Správe e-shopu za vás strážime aktualizácie, zálohujeme 90 dní spätne, a keď sa niečo pokazí, máte poruke odborníka, ktorý WooCommerce rozumie. Vy sa môžete venovať predaju.