Dňa 21. októbra 2026 sa internetom rozšírila správa o dvoch závažných bezpečnostných zraniteľnostiach PHP, označovaných spoločne ako PHP2Shell. Ide o zraniteľnosti CVE-2026-109618 a CVE-2026-109619, pričom každá z nich dosahuje hodnotenie závažnosti CVSS 9,2 z 10.
Zraniteľnosti vyvolali veľkú pozornosť najmä pre rozšírenosť PHP, na ktorom funguje množstvo webových stránok a aplikácií na celom svete. Riziko sa týka širokého spektra verzií PHP vrátane starších, ktoré už nemusia dostávať oficiálne bezpečnostné aktualizácie.
Čo sme na HostCreators zabezpečili?
Na situáciu sme reagovali bezodkladne. Naším cieľom bolo čo najrýchlejšie nasadiť dostupné bezpečnostné opravy a zároveň znížiť riziko aj pri starších verziách PHP, ktoré naši zákazníci stále používajú.
1. Aktualizácia PHP 8.2 až 8.5
Verzie PHP, pre ktoré vývojári vydali oficiálne bezpečnostné opravy, sme aktualizovali a reštartovali.
Ide o verzie:
-
PHP 8.2
-
PHP 8.3
-
PHP 8.4
-
PHP 8.5
Opravené verzie sme na našich serveroch nasadili už 21. októbra po 18:00, teda približne tri hodiny po zverejnení bezpečnostných záplat.
2. Bezpečnostné opravy aj pre staršie verzie PHP
Bezpečnostný tím PHP pripravil aj minimálne opravy pre staršie verzie PHP 7.4 až 8.0 a 8.1. Aj tieto opravy sme už nasadili na všetkých našich serveroch, na ktorých sa príslušné verzie používajú, a zabezpečili sme opätovné spustenie služieb.
Tieto zásahy pomáhajú znížiť riziko spojené s uvedenými zraniteľnosťami. Neznamenajú však, že staršie verzie PHP sú týmto spôsobom plnohodnotne podporované alebo chránené pred všetkými známymi či budúcimi bezpečnostnými problémami.
Vývojári PHP odporúčajú prechod na novšie podporované verzie, ideálne PHP 8.2 alebo vyššie.
3. Dodatočné opatrenie pre staršie verzie PHP
Ako ďalšiu vrstvu ochrany sme pre verzie PHP 5.3 až 8.1 nastavili podľa bezpečnostných odporúčaní parameter:
session.upload_progress.enabled=0
Týmto nastavením sa vypína sledovanie priebehu nahrávania súborov prostredníctvom PHP sessions. Ide o dodatočné opatrenie na zníženie rizika, nie o náhradu bezpečnostných opráv.
Čo môžete urobiť pre zvýšenie bezpečnosti svojho webu?
Niektoré odporúčané ochranné opatrenia nemôžeme nastaviť plošne na úrovni hostingu. Mohli by totiž obmedziť alebo úplne znefunkčniť niektoré webové aplikácie. Ich nastavenie preto závisí od toho, aké funkcie váš web využíva.
1. Skontrolujte limity pre odosielanie dát a nahrávanie súborov
Jedným z odporúčaných opatrení je obmedzenie veľkosti požiadaviek odosielaných na server pomocou parametra post_max_size.
Ako východiskové hodnoty môžete zvážiť:
-
8 MB pre aplikácie, ktoré nepotrebujú nahrávanie súborov,
-
32 MB pre aplikácie, ktoré nahrávanie súborov potrebujú.
Parameter upload_max_filesize by mal byť nastavený na nižšiu hodnotu, než je post_max_size.
Upozorňujeme, že ide o odporúčané východiskové hodnoty. Pred ich zmenou si overte požiadavky svojej aplikácie. Príliš nízke limity môžu znemožniť nahrávanie obrázkov, dokumentov alebo iných súborov.
Oba parametre si môžete upraviť v nastaveniach PHP.
2. Zvážte využitie Cloudflare
Ak je to pre váš web vhodné, odporúčame zvážiť nasadenie služby Cloudflare. Tá poskytuje okrem iného ochranu webových aplikácií prostredníctvom firewallu a ďalších bezpečnostných mechanizmov.
Konkrétna úroveň ochrany závisí od zvoleného nastavenia a používaných služieb. Cloudflare preto vnímajte ako ďalšiu vrstvu zabezpečenia, nie ako náhradu aktualizácií PHP a samotnej webovej aplikácie.
3. Zvážte obmedzenie požiadaviek typu multipart/form-data
Ďalším odporúčaným opatrením je zablokovanie požiadaviek typu multipart/form-data, ktoré sa bežne používajú pri nahrávaní súborov prostredníctvom webových formulárov.
Toto opatrenie však zablokuje aj legitímne formuláre na nahrávanie súborov. Nepoužívajte ho preto bez predchádzajúceho overenia funkčnosti svojho webu.
Ak vaša aplikácia takéto požiadavky nepotrebuje, blokovanie môžete nastaviť prostredníctvom súboru .htaccess:
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^POST$ [NC]
RewriteCond %{HTTP:Content-Type} ^[[:space:]]*multipart/form-data([;,[:space:]]|$) [NC]
RewriteRule ^ - [F,L]
Pred nasadením odporúčame otestovať správanie aplikácie. Zmena môže ovplyvniť kontaktné formuláre, administráciu alebo iné funkcie, ktoré pracujú s nahrávaním súborov.
4. Prejdite na podporovanú verziu PHP
Najdôležitejším dlhodobým opatrením je používanie podporovanej verzie PHP.
Staršie verzie môžu obsahovať ďalšie bezpečnostné chyby, na ktoré už ich vývojári nevydávajú opravy. Jednorazové bezpečnostné opatrenia preto nedokážu nahradiť pravidelnú údržbu a aktualizácie.
Odporúčame používať minimálne PHP 8.2, ideálne najnovšiu podporovanú verziu kompatibilnú s vaším webom. Pred zmenou verzie si overte kompatibilitu redakčného systému, pluginov a vlastného kódu.
Bezpečnosť berieme vážne
Incident PHP2Shell opäť ukazuje, aké dôležité sú rýchle bezpečnostné aktualizácie a priebežná údržba serverov aj webových aplikácií.
Na HostCreators sme dostupné opravy nasadili v čo najkratšom čase a prijali sme aj dodatočné opatrenia pre staršie verzie PHP. Naďalej odporúčame zákazníkom používať podporované verzie PHP a udržiavať svoje weby, redakčné systémy a pluginy aktuálne.
Ak váš web stále používa staršiu verziu PHP, odporúčame naplánovať jeho aktualizáciu čo najskôr. Je to jeden z najúčinnejších krokov, ktorými môžete dlhodobo zlepšiť jeho bezpečnosť.
Hodnotenia našich klientov
Reálne hodnotenia našich reálnych klientov z Facebooku či Google. Ďakujeme za ne - ženú nás vpred.
