PHP2Shell: dvě kritické chyby v PHP ohrožují většinu webů a útoky už běží

PHP 21. října vydalo mimořádné opravy dvou chyb, které útočníkovi dovolí spustit kód na serveru bez přihlášení. Týkají se prakticky všech verzí PHP za posledních deset let a NÚKIB vyzývá k okamžité aktualizaci.

Zranitelnosti CVE-2026-109618 a CVE-2026-109619 dostaly hodnocení 9,2 podle CVSS 4.0. Obě souvisí s tím, jak PHP uklízí po fatální chybě, typicky po vyčerpání paměti: poškozený stav z jednoho požadavku může zneužít další požadavek na stejném procesu. Výsledkem je únik paměti, a tím i hesel, tokenů a API klíčů, a ve spojení obou chyb spuštění kódu bez přihlášení.

Chyby našel tým Wiz Research a podle vlastního popisu při tom klíčovou roli hrály AI modely Gemini od Googlu a GPT od OpenAI, které pomohly s nalezením chyb, s vývojem exploitu i s ověřením oprav. Wiz útok předvedl na aktuálních instalacích WordPressu, Drupalu a Joomly. Zranitelná je podle něj každá verze PHP vydaná za posledních deset let, nejstarší dotčený kód sahá k PHP 5.4.

Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Pro větve 7.4 až 8.1 zveřejnil bezpečnostní tým PHP jen minimální záplaty ve zdrojovém kódu, starší verze opravu nedostanou. Kdo používá balíčky z Linuxové distribuce nebo sdílený hosting, musí počkat na aktualizaci od dodavatele, případně si ji u něj vyžádat.

Podrobnosti unikly 20. října na Hacker News, a PHP proto vydání posunulo o den dřív. Amazon podle společnosti Tenable zachytil pokus o zneužití už 17. října a od 21. října vidí útoky od více skupin. Cloudflare nasadil pravidla WAF pro známé varianty útoku, sám to ale označuje jen za dočasnou ochranu. Pokud nejde aktualizovat hned, Tenable doporučuje dočasně vypnout session.upload_progress a upravit memory_limit, obojí s restartem PHP.