NezHost
Aktualizováno 22. října 2026. Provozujete firemní web na WordPressu, e-shop na PrestaShopu nebo vlastní aplikaci v PHP? Ověřte u správce hostingu, zda už běží opravené PHP. Dne 21. října vyšly bezpečnostní aktualizace řešící dvě kritické zranitelnosti známé jako PHP2Shell. Nejde o důvod k panice, ale o konkrétní úkol: potvrdit opravu serverového prostředí a zkontrolovat fungování webu. Oficiální bezpečnostní oznámení PHP.
Co se v PHP stalo a proč je potřeba jednat
První chyba, CVE-2026-109618, souvisí s nesprávnou prací s pamětí při jejím vyčerpání. Druhá, CVE-2026-109619, se týká neplatného interního stavu, který může přetrvat mezi požadavky. Obě mají hodnocení CVSS v4.0 9,2 z 10 a mohou umožnit vzdálené spuštění cizího kódu bez přihlášení. Technické podrobnosti zveřejnil přímo projekt PHP: první bezpečnostní advisory a druhé bezpečnostní advisory.
V praxi může takový problém ohrozit provoz webu, obsah nebo data dostupná napadenému procesu. Samotné zveřejnění zranitelnosti však neznamená, že byl váš web napaden. Stav konkrétního serveru je potřeba ověřit.
Koho se bezpečnostní upozornění týká
PHP Security Team upozorňuje na všechny instalace PHP obsluhující webové požadavky, včetně PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Nejvyšší potvrzené riziko uvádí u mod_php, kde může útok proběhnout ještě před spuštěním kódu aplikace. Proto nestačí spoléhat jen na ochranu uvnitř CMS. Vymezení rizika od PHP.
Prověření se tedy týká nejen WordPressu a PrestaShopu, ale také dalších webů a aplikací využívajících PHP. Prioritu mají systémy dostupné z internetu. K rychlému zmapování a aktualizaci vyzývá také společné evropské upozornění ENISA.
A co Shopify a Shoptet?
Shopify: podle technického blogu Shopify je jádro platformy postavené na Ruby on Rails. Hosting a aktualizace hlavní platformy zajišťuje Shopify. Běžný Shopify obchod proto nelze automaticky zařadit mezi PHP weby, jejichž majitel musí kvůli těmto chybám měnit serverové PHP.
Shoptet: jeho oficiální materiál z června 2026 potvrzuje využití PHP v části kódu. Hosting, aktualizace a technický provoz ale spravuje Shoptet. Majitel e-shopu PHP sám neaktualizuje; potvrzení řešení CVE-2026-109618 a CVE-2026-109619 si vyžádá u podpory. Samotné používání PHP neprokazuje aktuálně neopravenou instalaci.
Samostatně prověřte externí aplikace a napojení. Shopify umožňuje vývoj aplikací v PHP a API doplňky Shoptetu podle oficiální dokumentace běží na infrastruktuře jejich vývojářů. Pokud konektor, vlastní aplikace nebo související web používá PHP, požádejte jeho správce o stejné potvrzení opravy. Odpověď podpory hlavní platformy sama nepotvrzuje stav těchto oddělených systémů.
Které verze PHP obsahují opravu
Projekt PHP vydal 21. října 2026 tato opravená vydání. Správce má zvolit aktualizaci odpovídající používané větvi a kompatibilitě aplikace. Přehled oficiálních oprav.
Větev PHP | Opravené vydání |
|---|---|
PHP 8.5 | 8.5.12 |
PHP 8.4 | 8.4.27 |
PHP 8.3 | 8.3.36 |
PHP 8.2 | 8.2.35 |
Nižší zobrazené číslo nemusí automaticky znamenat neopravený server. Někteří dodavatelé přenášejí bezpečnostní opravy do starších balíčků. Rozhodující je potvrzení konkrétního balíčku a obou CVE, nikoli pouhé porovnání čísla. U PHP 8.1 a starších musí správce ověřit dostupnost dodavatelské opravy nebo naplánovat přechod. PrestaShop vysvětluje zpětně přenesené opravy.
Jak zjistit stav WordPressu a PrestaShopu
Ve WordPressu najdete verzi PHP přes Nástroje → Zdraví webu → Informace → Server. Názvy položek se mohou lišit podle překladu administrace. WordPress výslovně uvádí, že tyto chyby vyžadují opravu PHP a není kvůli nim plánována zvláštní aktualizace WordPressu. Oficiální pokyny WordPressu.
V PrestaShopu hledejte Pokročilé parametry → Informace, v anglické administraci Advanced Parameters → Information. Pokyny pro provozovatele PrestaShopu.
Potom napište hostingu: „Potvrďte prosím, že PHP obsluhující naši doménu obsahuje opravy CVE-2026-109618 a CVE-2026-109619 a že aktualizované procesy již běží.“ U více webů prověřte každou doménu a používané prostředí zvlášť.
Jak probíhá bezpečná aktualizace PHP
Následující postup spojuje rychlou nápravu s ochranou běžného provozu. Rozsah závisí na hostingu a technickém stavu webu.
Zmapovat prostředí. Zjistit CMS, verzi PHP používanou webem, správce serveru a způsob nasazování. Údaj z příkazové řádky se může od webového prostředí lišit.
Připravit obnovitelnou zálohu. Uložit soubory a databázi, ověřit dostupnost zálohy a určit postup návratu při potížích.
Prověřit kompatibilitu. Před změnou větve PHP zkontrolovat CMS, šablonu, doplňky a vlastní úpravy. Je-li možné použít opravený balíček stávající větve, oddělit tuto opravu od velké migrace.
Nasadit opravu a spustit ji. Správce aktualizuje balíčky nebo kontejnery a restartuje příslušné PHP procesy. Nainstalovaný balíček sám nestačí, pokud web dál obsluhují původní procesy. Doporučení k restartu PHP.
Ověřit důležité cesty. Vyzkoušet přihlášení, formuláře, nahrávání souborů a administraci. U e-shopu také košík, objednávku a platební napojení v bezpečném testovacím režimu.
Zaznamenat výsledek. Uchovat verzi nebo identifikaci opraveného balíčku, čas nasazení a výsledek kontroly webu. Nejasnosti předat konkrétnímu správci k dořešení.
Co dělat, když aktualizace není hned možná
Požádejte správce o dočasné snížení dostupnosti ohroženého prostředí a jasný plán opravy. ENISA doporučuje koordinovat postup s poskytovateli hostingu a služeb; nejdříve řešit veřejně přístupné systémy. Evropské doporučení pro organizace.
Webový aplikační firewall může pomoci filtrovat část škodlivého provozu, ale nenahrazuje opravené PHP. Ani jednotlivé změny nastavení neposkytují úplné řešení těchto chyb. Technické zásahy svěřte správci, který zná provozní dopady. Limity dočasných opatření podle PHP.
Kdo opraví zranitelnost PHP a co má kontrola zahrnovat
U spravovaného hostingu obvykle aktualizaci PHP zajišťuje poskytovatel. U vlastního VPS, kontejnerů nebo individuálního řešení ji musí převzít správce serveru či technický partner. Vývojář webu následně pomůže s kompatibilitou a kontrolou funkcí.
Bezpečnostní kontrola webu má přinést konkrétní výstup: kdo spravuje PHP, zda je oprava aktivní, které funkce byly otestovány a co ještě zbývá vyřešit. Zabezpečení WordPressu může navíc zahrnout revizi doplňků, přístupů a záloh podle předem dohodnutého rozsahu.
Pokud hledáte, kdo opraví zranitelnost PHP nebo provede aktualizaci PHP, kontaktujte NezHost. Pošlete doménu, používané CMS, název hostingu a známou verzi PHP. Připravíme návrh počátečního posouzení a potřebných dalších kroků. Do úvodní zprávy neposílejte hesla ani jiné přístupové údaje.
Musím aktualizovat WordPress nebo PrestaShop?
Aktualizace CMS a doplňků patří k běžné údržbě, ale samy tyto dvě chyby PHP neopraví. Nejdříve potvrďte opravu serverového PHP; případnou větší změnu CMS řešte podle kompatibility. Vysvětlení WordPressu.
Znamená starší verze PHP, že je můj web napadený?
Ne. Verze ani zveřejněné upozornění samy o sobě neprokazují napadení. Stav opravy je potřeba ověřit u správce. Podezřelé soubory, neznámé účty či neobvyklý provoz vyžadují samostatné prošetření; aktualizace případné následky neodstraní.
Stačí rychlý online test bezpečnosti webu?
Externí test může pomoci s orientací, ale obvykle nepotvrdí dodavatelský backport ani stav běžících procesů. Pro ověření opravy potřebujete informace od hostingu nebo správce. Kontrola funkcí po aktualizaci pak ukáže, zda web dál správně slouží zákazníkům.
