Bezpečnostní zranitelnost PHP2Shell: důležité informace týkající se vaší smlouvy se společností IONOS

V říjnu 2026 byly opraveny dvě kritické zranitelnosti (CVE-2026-109618 a CVE-2026-109619) v jádru (Core Runtime) široce používaného skriptovacího jazyka PHP. Kombinace těchto dvou zranitelností, známá také jako PHP2Shell, umožňuje spuštění škodlivého kódu a převzetí kontroly nad webovým serverem bez nutnosti ověření totožnosti nebo interakce uživatele. V tomto článku se dozvíte, o jaký problém jde, jak ověřit, zda nedošlo k napadení, a jaké kroky je třeba podniknout.

OBSAH

• Nejdůležitější informace ve zkratce
• Upozornění: phishing!
• Změna verze PHP v zákaznickém panelu ionos.cz
• Pokud provozujete vlastní PHP server
• Zkontrolujte, zda na vašich webových stránkách nedošlo k úspěšnému útoku PHP2Shell
• Postup v případě úspěšného útoku PHP2Shell
• Nespravujete svůj webový prostor sami?
• Zvýšení zabezpečení vaší instalace PHP

Nejdůležitější informace ve zkratce

• Společnost IONOS již nainstalovala oficiální aktualizaci PHP do svých IT systémů.
• Většina zákazníků nemusí podnikat žádné kroky. Pokud však používáte verzi PHP starší než 8.2, doporučujeme přejít na PHP 8.3.
• Musíte okamžitě jednat, pokud si PHP spravujete sami, například na VPS nebo dedikovaném serveru.

Upozornění: phishing!

Zkušenosti ukazují, že bezpečnostní incidenty, kterým média věnují velkou pozornost, jako například PHP2Shell, zneužívají také podvodníci.

Rozesílají falešné e-maily s cílem získat přihlašovací údaje nebo se vás jinými způsoby snaží přimět k prozrazení citlivých informací.

Změna verze PHP v zákaznickém panelu ionos.cz

Pokud svůj hosting spravujete v zákaznickém panelu ionos.cz, prostředí PHP spravuje a aktualizuje společnost IONOS.

Na serverech ionos.cz si můžete vybrat verzi interpretu PHP (PHP Interpreter) od 5.6 do 8.3. Vývojáři PHP vydali oficiální opravu zranitelnosti PHP2Shell pouze pro verze 8.2 a novější, starší verze již oficiální bezpečnostní aktualizace nedostávají.

Verzi PHP změníte následujícím způsobem:

1. Přihlaste se do zákaznického panelu ionos.cz.
2. Na levé straně obrazovky klikněte na WWW služby a poté na název vybrané hostingové služby.
3. V části Webový server rozbalte nabídku Nastavení a vyberte Preference serveru.
4. V seznamu PHP Interpreter vyberte požadovanou verzi (doporučujeme PHP 8.3).
5. Uložte provedené změny.

Pokud provozujete vlastní PHP server

Společnost IONOS již aktualizovala svou vlastní infrastrukturu PHP a zavedla další bezpečnostní opatření. Tato opatření se výslovně nevztahují na instalace PHP, které provozujete na vlastní odpovědnost.

V takových případech musíte okamžitě jednat.

Zranitelnost PHP2Shell kromě spouštění škodlivého kódu umožňovala také neoprávněné čtení obsahu paměti RAM.

Získáním přístupu k procesům na vašem serveru může útočník potenciálně získat i další vaše údaje, jako jsou hesla k databázím, tokeny relací, proměnné prostředí nebo přihlašovací údaje pro přístup k rozhraním API.

Problém má proto dalekosáhlé důsledky a ohrožuje všechna data uložená ve vašem webovém prostoru.

Zkontrolujte, zda na vašich webových stránkách nedošlo k úspěšnému útoku PHP2Shell

Bezpečnostní experti (například Národní úřad pro kybernetickou a informační bezpečnost, NÚKIB, a CERT-EU) doporučují při kontrole vašeho webového prostoru nebo serveru provést následující kroky:

• Chybové protokoly: hledejte neobvyklé pády procesů, zejména chybu SIGSEGV (chyba segmentace).
• Chyby způsobené nedostatkem paměti (OOM): všímejte si častého výskytu hlášení „Allowed memory size exhausted“ v protokolech. Souvisejí se zranitelností ve správě paměti (CVE-2026-109618).
• Podezřelé požadavky (přístupové protokoly): hledejte neobvyklé požadavky na nahrávání souborů pomocí multipart/form-data, zejména pokud nesouvisejí s běžnými funkcemi vašich webových stránek (například s nahráváním souborů).
• Nové nebo upravené soubory: pomocí FTP nebo správce souborů zkontrolujte, zda nebyly vytvořeny neznámé soubory .php (tzv. zadní vrátka) nebo zda se ve vašem redakčním systému (CMS) neobjevily nevysvětlitelné účty správce.

Postup v případě úspěšného útoku PHP2Shell

Pokud jste správcem serveru nebo najdete konkrétní důkazy o bezpečnostní hrozbě (například škodlivý kód nebo zadní vrátka ve webovém prostoru), společnost IONOS doporučuje obnovit data do stavu, v jakém se nacházela před útoky (začátkem října 2026).

Co je potřeba udělat:

1. Obnovte čistou zálohu dat svého webového prostoru.
2. Po dokončení obnovy změňte hesla a další přístupové údaje, například klíče API.
3. Aktualizujte balíčky PHP a následně restartujte všechny služby PHP.

Nespravujete svůj webový prostor sami?

Zvýšení zabezpečení vaší instalace PHP

Důležitým krokem ke zvýšení zabezpečení vašeho webového prostoru je používání aktuálních a oficiálně podporovaných verzí PHP.

Jak ukazuje zranitelnost PHP2Shell, i aktuální verze PHP mohou obsahovat bezpečnostní nedostatky. Obecně však platí, že novější verze PHP jsou bezpečnější.

V zákaznickém panelu ionos.cz lze starší verze PHP (od 5.6 do 8.1) stále vybrat, například pokud s nimi funguje starší aplikace. Tyto verze však již nedostávají oficiální bezpečnostní opravy, proto byste měli co nejdříve přejít na aktuální verzi PHP.

Další informace

• Lupa.cz: PHP2Shell: kritické zranitelnosti v PHP dávají útočníkům možnost spustit kód na serverech