Pondelok ráno, 7:00. Zákazník otvorí váš firemný web a namiesto katalógu výrobkov uvidí prázdnu stránku — alebo v horšom prípade cudzí obsah. Váš server bol kompromitovaný cez dieru, o ktorej ste možno vôbec nevedeli. Presne toto hrozilo tisícom firiem uplynulý týždeň, keď bezpečnostní výskumníci odhalili kritickú zraniteľnosť v PHP nazvanú PHP2Shell.
Čo sa stalo: záplata na poslednú chvíľu
V utorok 21. októbra 2026 vydali vývojari jazyka PHP núdzóvé aktualizácie, ktoré opravujú dve kritické bezpečnostné chyby — CVE-2026-109618 a CVE-2026-109619. Bezpečnostní experti zo spoločnosti Wiz Research, ktorí zraniteľnosti objavili, ich nazvali PHP2Shell. Detaily unikli deň pred plánovaným oznámením, čo spôsobilo, že niektoré webhostingy preventívne odstavili servery ešte pred vydaním záplaty.
Závažnosť je maximálna: obe chyby dostali hodnotenie CVSS 9,2 z 10. Čo to znamená v praxi? Útokník, ktorý zraniteľnosť zneužije, môže na váš server spustiť ľubovoľný kód — bez hesla alebo akéhokoľvek oprávnenia. Navyše je možné čítať obsah pamäte servera vrátane hesiel, API kľúčov alebo prihlasovacích tokenov iných používateľov.
Rozsah problému je mimoriadne veľký: PHP2Shell ovplyvňuje každú verziu PHP od 5.4 nahor. PHP pritom poháňa väčšinu webových aplikácií — WordPress, Drupal, Magento, Joomla aj Laravel. Ak máte firemný web alebo e-shop na niektorom z týchto systémov, pravdepodobne ste boli vystavení riziku.
Čo to reálne znamená pre vašu firmu
Typická malá alebo stredná firma prevádzkuje firemný web na WordPress e alebo podobnom systéme. Hosting — vlastný server alebo prenajatý cloudový priestor — beží na nejakej verzii PHP. Ak sa PHP na vášom serveri neaktualizuje automaticky, váš server mohol byť stále zraniteľný.
Čo môže útokník urobiť po úspec hnom zneužití PHP2Shell? Prevziať kontrolu nad celým serverom. Ukradnúť databázu — vrátane kontaktov zákazníkov, objednávok alebo fakturačných údajov. Nainštalovať malvér, ktorý sleduje každého návštevníka webu. Alebo server zablokovať a žiadať výkupné za obnovenie prístupu.
Ako zistíte, či ste v bezpečí
Prvý krok: Zistite, akú verziu PHP používa váš server. Väčšina hostingov to zobrazuje v administrácii (cPanel, Plesk a podobné). Bezpečné verzie sú PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 — alebo novšie. Ak vidíte nižšie číslo, váš server potrebuje okamžitú aktualizáciu.
Druhý krok: Skontrolujte logy servera. Útokníka PHP2Shell možno spoznať podľa opakovaných HTTP 500 chýbok, neočakávaných reštartov PHP procesov alebo neobvyklých hodnôt v cookie PHPSESSID. Ak vidíte takéto anomálie v logoch spätne od 20.–21. októbra, server treba dôkladne preveriť.
Tretí krok: Ak prevádzkujete WordPress alebo iný CMS, skontrolujte aktuálnosť nielen PHP, ale aj samotného CMSu a všetkých nainštalovaných pluginov. Zastar aný plugin môže byť ďalšou vstupnou bránou pre útokníka.
Čo robiť, keď okamžitá aktualizácia nie je možná
Ideálne riešenie je aktualizácia PHP na opravenú verziu — čo najskôr. Ak to z technických dôvodov nie je možné ihneď, dočasne znîžte riziko: obmedzte nahrávanie súborov cez formuláre a monitorujte server na nezvyčajné aktivity. Ak prevádzkujete kritické systémy — e-shop alebo firemný portál s citlivými dátami —, zvážte dočasné odstavenie webu do nasadenia záplaty.
Dôležité upozornenie: Po odhal ení PHP2Shell sa na internete objavili opravné pluginy pre WordPress, ktoré sú samy o sebe malvérom. Inštalujte výhradané aktualizácie z oficiálnych zdrojov — php.net a repozitárov vášho hostingu. Ak vám niekto ponúka rýchlu opravu PHP2Shell cez WordPress plugin, ignorujte to.
PHP2Shell je presne ten typ hrozby, ktorý väčšina firiem podceňuje — lebo sa týka techniky v pozadí, nie e-mailov ani hesiel. No dôsledky zneužitia môžu byť rovnako devastujúce: únik dát zákazníkov, výpadok webu, poškodenie reputácie alebo finančné straty. Ak si nie ste istí, či je váš server v bezpečí, napíšte nám na info@sycom.sk — skontrolujeme to za vás.
Ako vám pomôžeme: V Sycome sa staráme o IT bezpečnosť firiem vrátane správy firemných serverov a správy počítačov a pravidelných aktualizácií. Ak chcete preveriť, či je vaša firma chránená, dohodnite si IT audit zadarmo.