PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Jakou verzi PHP hlásí váš web?
Projekt PHP 21. 10. 2026 opravil 2 kritické zranitelnosti, které CISA označuje jako PHP2Shell (CVE-2026-109618 a CVE-2026-109619, CVSS 9,2). Umožňují spustit kód na serveru bez přihlášení. Zadejte doménu a ukážeme vám, jakou verzi PHP váš web hlásí v hlavičkách a zda odpovídá opravě.
Jak číst výsledek
- Staré číslo zranitelnost nedokazuje. Mnozí poskytovatelé hostingu nasadí opravu a původní číslo verze ponechají.
- Aktuální číslo je dobré znamení, ne důkaz. Hlavičku může změnit nastavení serveru nebo zařízení před ním.
- Když web verzi neuvádí, nevíme nic. Tak je to u většiny webů: z 8 171 slovenských firemních webů, které nám 31. 10. 2026 odpověděly, uvedlo verzi PHP v hlavičce jen 332 (4,1 %).
Které verze obsahují opravu
| Větev | Opraveno od |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP 8.1 a starší projekt PHP už neudržuje. Některé linuxové distribuce a dodavatelé rozšířené podpory opravu doplňují sami, ověřte si to u nich.
Co s tím
- Aktualizujte PHP na 8.2.35, 8.3.36, 8.4.27, 8.5.12 nebo novější, případně na opravený balíček dodavatele.
- Zeptejte se toho, kdo službu spravuje, jakou verzi PHP používá a zda obsahuje opravy CVE-2026-109618 a CVE-2026-109619.
- Přestaňte verzi prozrazovat:
expose_php = Offvphp.iniodstraní hlavičku X-Powered-By.