Aktualizováno k 21. říjnu 2026. Dvě kritické zranitelnosti označované jako PHP2Shell připomínají, proč web potřebuje průběžnou technickou správu. Podle oficiálního oznámení projektu PHP mohou umožnit spuštění cizího kódu na serveru bez přihlášení.

Opravy už jsou dostupné
PHP vydalo opravené verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Chyby mají označení CVE-2026-109618 a CVE-2026-109619. Ohrožení se týká instalací PHP obsluhujících webové požadavky; nejde pouze o konkrétní redakční systém.

Pouhá aktualizace WordPressu nestačí
Pokud váš web používá PHP, ověřte u poskytovatele hostingu nebo správce serveru, zda aktualizoval také samotné PHP. Aktualizace redakčního systému a jeho doplňků zůstávají důležité, tuto opravu serverového prostředí ale nenahrazují.

Co si nechat potvrdit
Zjistěte, jaké PHP web skutečně používá a zda pro něj byla nasazena bezpečnostní oprava. U linuxových distribucí může být oprava zahrnutá i ve verzi s původním základním číslem; rozhoduje bezpečnostní oznámení dodavatele a konkrétní balíček. Správce by měl po aktualizaci ověřit běžící služby a funkčnost webu. Zároveň má smysl zkontrolovat zálohu a případné známky napadení — samotná záplata dřívější průnik neodstraní.

Ochrana formuláře není opravou PHP
CAPTCHA omezuje automatizované odesílání formulářů. Nenahrazuje bezpečnostní aktualizaci PHP ani správu serveru.

Potřebujete se zorientovat?
Pomohu vám projít technické zázemí webu a domluvit další postup. Ozvěte se na info@itpz.cz nebo na 773 621 889. Rozsah spolupráce i cenu probereme individuálně.

Oficiální podklady k ověření: PHP.net — https://www.php.net/archive/2026.php#2026-10-21-1; pro Ubuntu také https://ubuntu.com/security/notices/USN-8948-1. Odkaz na související článek Živě.cz najdete níže.