PHP2Shell: Kritická hrozba pro firemní infrastrukturu. Máte zabezpečené servery?

Svět firemního IT a webového vývoje čelí tento týden zásadní bezpečnostní krizi. Byly odhaleny a publikovány dvě extrémně kritické zranitelnosti v jádru PHP, označované jako PHP2Shell (CVE-2026-109618 a CVE-2026-109619). S CVSS skóre 9.2 představují tyto chyby bezprostřední riziko pro miliony webů a aplikací po celém světě. Pokud vaše firma provozuje systémy na PHP a neprovedla okamžitou expertízu, vystavujete se riziku totálního prolomení serveru.

Rutinní aktualizace tentokrát nestačí. Útočníci začali tyto zranitelnosti zneužívat v řádu hodin po jejich zveřejnění a cílí jak na moderní aplikace, tak na starší systémy běžící na EOL (End of Life) verzích.

O co přesně jde?

Zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňují neautentifikované vzdálené spuštění kódu (RCE) přímo přes webový server.

• První zmíněný problém (use-after-free při vyčerpání paměti) dokáže zneužít chybovou správu při zpracování velkých requestů nebo nahrávání souborů.
• Druhá zranitelnost operuje se stavem globálních proměnných (stale global state), které mohou přežít po pádu nebo ukončení předchozího požadavku a infikovat další procesy běžící pod stejným workerem.

Tento stav zasahuje verze PHP od 5.4 až po nejnovější řady 8.5.1x (kde již existují oficiální záplaty). Starší a již nepodporované verze (EOL jako PHP 7.x a starší) zůstávají bez dodatečných zásahů zcela nechráněné.

Co to znamená pro váš web a infrastrukturu?

Většina firem spoléhá na to, že o bezpečnost serveru a webových aplikací se stará hosting nebo výchozí nastavení redakčních systémů. V éře pokročilých útoků je to ale obrovské riziko. Zanedbání okamžité aktualizace nebo chybějící tvrdá bezpečnostní pravidla na úrovni serveru mohou vést k:

• Okamžitému prolomení a napadení webových aplikací.
• Úniku citlivých dat zákazníků i interní firemní agendy.
• Zneužití serverů pro rozesílání spamu nebo těžbu kryptoměn.

Řešení máme: Jak situaci okamžitě řešit?

V MindBe nenecháváme bezpečnost náhodě. Na tuto kritickou situaci jsme zareagovali okamžitě a pro naše klienty máme připravené komplexní řešení:

1. Mimořádný bezpečnostní audit infrastruktury: Okamžitě prověříme verze PHP a konfiguraci na vašich serverech a hostingových prostředích.
2. Aplikace oficiálních záplat a backportů: Nasadíme nejnovější verze PHP (včetně zajištění bezpečnosti u starších systémů formou odborných patchů).
3. Hardening (zabezpečení) serveru: Upravíme konfigurační směrnice (úprava limitů paměti, izolace procesů, moduly jako PHP-FPM a restrikce oprávnění), které zamezí jakémukoliv pokusu o zneužití těchto chyb.

Nenechávejte zabezpečení svých webů na poslední chvíli. Kontaktujte nás ještě dnes a svěřte své systémy do rukou profesionálů z MindBe.

Tým MindBe