Kritická chyba v PHP: jak zjistíte, jestli se týká vašeho webu

Útočníkovi stačí poslat na server jeden požadavek. Nepotřebuje heslo, účet ani nic prolomit. Ukážeme vám, jak za deset minut zjistíte, jestli se to týká i vás, a na co se zeptat toho, kdo vám spravuje web.

Útočníkovi stačí poslat na server jeden požadavek. Nepotřebuje heslo, účet ani nic prolomit. Ukážeme vám, jak za deset minut zjistíte, jestli se to týká i vás, a na co se zeptat toho, kdo vám spravuje web.

Co se stalo

21. října 2026 vyšla oprava dvou vážných chyb v PHP. Dostaly souhrnný název php2shell a závažnost 9,2 z 10, což je u této stupnice hodně vysoko.

PHP je program, který běží na serveru a skládá dohromady stránky webu. Vidět ho není, ale stojí na něm většina českých webů. Všechno, co běží na WordPressu, většina e-shopů, objednávkové a kontaktní formuláře, zákaznické portály.

Proč to není běžná aktualizace

Většina bezpečnostních chyb má nějakou podmínku. Útočník potřebuje účet, musí znát heslo nebo musí někoho přimět, aby na něco klikl.

Tahle ne. Stačí poslat na server připravený požadavek a spustit tam vlastní program. Žádné přihlášení, žádná interakce člověka.

Návody k útoku už navíc kolují veřejně. To obvykle znamená, že automatické skenery začnou servery prohledávat během dní, ne měsíců.

Jak vážně to berou jinde: Úřad vlády ČR preventivně vypnul svůj web a část webů odstavil i Český hydrometeorologický ústav. Před chybou varoval také Národní úřad pro kybernetickou a informační bezpečnost.

Týká se to i vás?

Projděte si tenhle seznam. Pokud máte aspoň jednu z těch věcí, odpověď je nejspíš ano:

• firemní web, zvlášť pokud běží na WordPressu nebo podobném systému
• e-shop
• objednávkový nebo kontaktní formulář
• zákaznický portál nebo rezervační systém
• jakákoli aplikace, kterou jste si nechali postavit na míru a běží na vašem serveru

Interní systémy a databáze samy o sobě na PHP obvykle neběží. Pokud ale sdílejí server s webem, riziko se jich týká taky. Napadený web je pak výchozí bod pro další průnik do sítě.

Jak to zjistit za deset minut

Nemusíte být IT. Celé se to dá udělat jedním telefonátem nebo e-mailem.

1. Zjistěte, kdo co spravuje.
Web, hosting a objednávkový systém u vás může mít na starosti někdo jiný. Je to častější, než se zdá. Sepište si všechny tři.

2. Zeptejte se každého z nich na jednu věc.
„Na jaké verzi PHP to běží a kdy jste ji naposledy aktualizovali?“

3. Porovnejte číslo.
Opravené verze jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pokud uslyšíte jedno z nich nebo vyšší, máte hotovo.

4. Chtějte to písemně.
Stačí e-mail s číslem verze a datem. Není to formalita. Pokud se někdy bude řešit, jestli jste jednali včas, je tohle váš doklad.

Odpověď „máme to v pořádku“ není odpověď. Chtějte konkrétní číslo.

Co když je verze stará

Na PHP 8.1 a starší už oprava nevyjde a nevyjde ani příště. Tyhle verze jsou po konci podpory, takže každá další chyba na nich zůstane otevřená navždy.

Řešení je přechod na novější verzi. U běžného webu je to práce na hodiny, ne na týdny. U starší aplikace na míru to může být složitější, protože kód nemusí na novém PHP fungovat bez úprav.

Pokud přechod nestihnete hned, je na zvážení web dočasně odpojit. Zní to drasticky, ale přesně to udělal Úřad vlády.

Když nevíte, kdo váš web spravuje

Tohle je v praxi nejčastější problém. Web dělal někdo před pěti lety, hosting platí účetní, doménu má vedená bývalá marketingová agentura a nikdo neví, kdo má přístupy.

V takové chvíli nemůžete chybu opravit, i kdybyste chtěli. A nejde jen o tuhle jednu chybu. Další přijde za půl roku a budete na stejném místě.

Vyplatí se to jednou pořádně zmapovat: kdo vlastní doménu, kdo platí hosting, kdo má administrátorský přístup a kdo ručí za aktualizace. Hodina práce, která se vrátí při první další takové zprávě.

A co odpovědnost

Pokud z napadeného webu uniknou osobní údaje, řeší se to podle GDPR a únik se hlásí Úřadu pro ochranu osobních údajů do 72 hodin. Firmy, na které dopadá zákon o kybernetické bezpečnosti, mají navíc vlastní ohlašovací povinnost.

Argument „to měl na starosti dodavatel“ vás nezbaví odpovědnosti vůči úřadu ani vůči zákazníkům. Zbaví vás jí leda smlouva s tím dodavatelem, a i tu je potřeba mít.

Co udělat dnes

• Zavolejte tomu, kdo vám spravuje web, a zeptejte se na číslo verze PHP.
• Odpověď si nechte poslat e-mailem.
• Pokud je verze 8.1 nebo starší, domluvte se na přechodu na novější.
• Nechte si zkontrolovat záznamy serveru, jestli už někdo nezkoušel dovnitř.

Úplné znění upozornění najdete na portálu NÚKIB: Upozornění na php2shell, dvě kritické zranitelnosti v PHP.

Nezávazná poptávka  ← Zpět na blog