Minulý týždeň sa objavili informácie o dvoch vážnych bezpečnostných chybách v PHP. Dostali spoločný názov PHP2Shell a týkajú sa technológie, na ktorej funguje veľká časť webových stránok vrátane mnohých firemných webov, e-shopov či stránok postavených na WordPresse.
Ak vám PHP nič nehovorí, je to úplne v poriadku. Ako majiteľ firmy nemusíte vedieť, v akom programovacom jazyku je váš web vytvorený. Dôležité je skôr to, či niekto pravidelne kontroluje jeho technický stav a stará sa o aktualizácie.
A práve teraz je na to dobrý dôvod.
Čo sa vlastne stalo?
V PHP boli odhalené dve bezpečnostné chyby, ktoré môžu za určitých podmienok umožniť útočníkovi spustiť vlastný kód na serveri. A to aj bez toho, aby poznal prihlasovacie údaje.
Problém nie je priamo vo WordPresse, konkrétnom e-shope ani v tom, ako bola stránka naprogramovaná. Chyby sa nachádzajú v samotnom PHP, teda v technológii, ktorú tieto systémy používajú.
Ak by útočník chybu úspešne zneužil, mohol by sa dostať k citlivým údajom, zasahovať do fungovania webu alebo server využiť na ďalšie škodlivé aktivity.
Neznamená to, že každý web postavený na PHP je automaticky napadnuteľný. Riziko závisí aj od jeho technického nastavenia. Ide však o dostatočne vážny problém na to, aby sa neoplatilo aktualizáciu odkladať.
Oprava už existuje. Prečo je teda problém?
Vývojári PHP vydali 21. októbra 2026 bezpečnostné aktualizácie, ktoré obe chyby opravujú.
Ak máte web na aktuálnej a pravidelne udržiavanej verzii PHP, riešenie môže byť pomerne jednoduché. Správca servera nainštaluje opravu, overí funkčnosť webu a skontroluje, či sa neobjavili známky pokusov o napadnutie.
Komplikovanejšie je to pri starších weboch.
Možno aj vy máte stránku, ktorá vznikla pred piatimi či desiatimi rokmi. Funguje, zákazníci ju používajú a nie je dôvod do nej zasahovať. Lenže to, že web navonok funguje bez problémov, ešte neznamená, že je bezpečný.
Staršie stránky môžu bežať na verziách PHP, ktoré už nie sú oficiálne podporované. Prechod na novšiu verziu potom nemusí byť otázkou jednej aktualizácie. Niektoré časti webu, staré pluginy alebo vlastné úpravy s ňou nemusia byť kompatibilné.
Preto nie je dobrý nápad meniť verziu PHP bez prípravy. Najskôr treba zistiť, čo web používa, urobiť zálohu a aktualizáciu bezpečne otestovať.
Čo by ste mali urobiť?
Ak máte firemný web alebo e-shop, odporúčame overiť si u svojho dodávateľa alebo správcu hostingu tri veci:
- Na akej verzii PHP váš web aktuálne beží?
- Je už nainštalovaná bezpečnostná oprava pre PHP2Shell?
- Skontroloval niekto server aj z pohľadu prípadných pokusov o napadnutie?
Ak máte web pravidelne aktualizovaný, je možné, že správca už všetko vyriešil. Ak však neviete, kto sa o technickú stránku webu stará, alebo sa na ňom dlhšie nič nemenilo, určite by sme to nenechávali bez kontroly.
Neviete, v akom stave je váš web? Môžeme sa naň pozrieť.
V Cassovia Code sa venujeme vývoju a správe webových aplikácií a s PHP pracujeme denne.
Ak si nie ste istí, či sa vás PHP2Shell týka, ozvite sa nám. Pomôžeme vám zistiť, akú verziu PHP váš web používa, či má potrebné bezpečnostné aktualizácie a čo prípadne treba vyriešiť.
Ak je všetko v poriadku, aspoň budete vedieť, že sa tým nemusíte ďalej zaoberať. A ak nájdeme problém, navrhneme postup, ktorý zohľadní aj to, aby váš web počas aktualizácie fungoval tak, ako má.
Napíšte nám adresu svojho webu a spoločne sa pozrieme, či je potrebné niečo riešiť.
Kontakt
