Kritická bezpečnostná zraniteľnosť PHP2Shell

V októbri 2026 oznámila PHP Foundation dve kritické zraniteľnosti CVE-2026-109618 a CVE-2026-109619. Vývojári PHP ohodnotili túto zraniteľnosť stupňom 9,2 (kritická) z 10 podľa CVSS v4.0.

Tieto zraniteľnosti zasiahli všetky verzie PHP od verzie PHP 5, čo v praxi znamená, že takmer všetky (ak nie úplne všetky) aktuálne používané verzie PHP mohli byť zneužité na vzdialené spustenie príkazu v príkazovom riadku (shell). Viac detailov nájdete napríklad tu, tu alebo tu.

Dôležitosť aktualizácie PHP pre všetky weby, e-shopy a CRM

Tento bezpečnostný problém sa netýka len našej infraštruktúry, ale akéhokoľvek servera či hostingu, na ktorom beží PHP. Pokiaľ prevádzkujete vlastný web, e-shop alebo CRM systém na vlastnom hostingu či VPS, je bezpodmienečne nevyhnutné čo najskôr zabezpečiť aktualizáciu PHP na zaplátanú verziu.

Neaktualizované systémy vystavujú vaše dáta, zákaznícke údaje a celú prevádzku vysokému riziku neoprávneného prístupu a útokov zameraných na vzdialené vykonávanie prkazov (RCE). Odporúčame preto bezodkladne kontaktovať vášho poskytovateľa hostingu alebo správcu servera a uistiť sa, že boli nainštalované najnovšie bezpečnostné záplaty.

Ako to ovplyvňuje servery Hubleto

Všetky servery Hubleto bežia na PHP 8.5. Pre túto verziu PHP boli 21. októbra o 16:00 vydané bezpečnostné záplaty (patch), ktoré tieto zraniteľnosti opravujú.

Ihneď po vydaní týchto záplat sme aktualizovali všetky servery na najnovšiu verziu PHP. Táto aktualizácia zabraňuje preniknutiu na naše servery pomocou tejto zraniteľnosti.

Záver

Vo WAI je bezpečnosť a moderná infraštruktúra na prvom mieste, preto vždy používame výhradne najnovšiu verziu PHP. Vďaka udržiavaniu našej kódovej základne v neustálom súlade s najaktuálnejším štandardom bola aplikácia záplat pre tieto kritické zraniteľnosti okamžitá, plynulá a bez akéhokoľvek dopadu na chod aplikácií. Neustála aktualizácia technológií je pre nás kľúčovým pilierom ochrany dát našich klientov.