Bezpečnostní krize „PHP2Shell“: Proč musíte okamžitě aktualizovat své webové servery

Internetem otřásá jeden z nejvážnějších kybernetických incidentů letošního roku. V populárním programovacím jazyce PHP, který pohání zhruba 70 % všech webových stránek na světě, byly objeveny dvě kritické zranitelnosti. Chyby souhrnně označované jako „PHP2Shell“ představují bezprostřední riziko pro miliony webů včetně platforem jako WordPress, Joomla nebo Drupal

Bezpečnostní experti z firem Wiz a Calif, kteří na odhalení spolupracovali s využitím pokročilé AI, označují tyto nálezy za jedny z nejzávažnějších chyb v historii softwaru.

O co přesně jde?
Chyby jsou evidovány pod označeními CVE-2026-109618 a CVE-2026-109619. Obě shodně získaly extrémně vysoké skóre nebezpečnosti 9,2 z 10 na škále CVSS. 

• CVE-2026-109618 (Poškození paměti při OOM): Pokud PHP při zpracování požadavku dojde operační paměť (Out of Memory), vnitřní inicializační data zůstanou v nekompletním stavu. Následný proces čištění paměti tato neplatná data vyhodnotí jako validní, což vede k poškození paměti a možnosti spuštění kódu. 
• CVE-2026-109619 (Uváznutí globálního stavu): Interní data jednoho požadavku mohou přežít v paměti webového workeru i poté, co byla tato paměť uvolněna (use-after-free). Následující požadavek od úplně jiného uživatele pak může s těmito starými daty manipulovat, což umožňuje útočníkům číst cizí paměť (např. API klíče) nebo ovládnout server.

Proč běžná obrana selhává?
Na rozdíl od běžných zranitelností v pluginech nebo redakčních systémech se tato chyba nachází přímo v jádru samotného PHP. 
To znamená, že útočný skript se na serveru spustí ještě předtím, než se vůbec stihne vykonat jakýkoliv kód vašeho webu. Běžné bezpečnostní pluginy ve WordPressu, ani standardní webové aplikační firewally (WAF) nedokáží útočníka spolehlivě zastavit. Zranitelný kód se v PHP navíc nachází již od verze 5.4 vydané v roce 2012, což znamená, že ohrožen je prakticky každý starší neaktualizovaný server.

Situaci vyhrotil předčasný únik informací
Původní plán počítal s koordinovaným vydáním oprav a detailních informací až na konec týdne. Informace však předčasně unikly na diskusní fóra a společnost Calif omylem zveřejnila video s funkčním konceptem útoku. Vývojáři PHP proto museli bleskově reagovat a vydali nouzové záplaty o 24 hodin dříve, než plánovali. Vzhledem k tomu, že útočné kódy jsou již veřejně dostupné a útočníci aktivně skenují internet, čas na obranu se drasticky zkrátil.