PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Akú verziu PHP hlási váš web?
Projekt PHP opravil 21. 10. 2026 2 kritické zraniteľnosti, ktoré CISA označuje ako PHP2Shell (CVE-2026-109618 a CVE-2026-109619, CVSS 9,2). Umožňujú spustiť kód na serveri bez prihlásenia. Zadajte doménu a ukážeme vám, akú verziu PHP váš web hlási v hlavičkách a či zodpovedá oprave.
Ako čítať výsledok
- Staré číslo zraniteľnosť nedokazuje. Mnohí poskytovatelia hostingu nasadia opravu a pôvodné číslo verzie ponechajú.
- Aktuálne číslo je dobré znamenie, nie dôkaz. Hlavičku môže zmeniť nastavenie servera alebo zariadenie pred ním.
- Keď web verziu neuvádza, nevieme nič. Tak je to pri väčšine webov: z 8 171 slovenských firemných webov, ktoré nám 31. 10. 2026 odpovedali, verziu PHP v hlavičke uviedlo len 332 (4,1 %).
Ktoré verzie obsahujú opravu
| Vetva | Opravená od |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP 8.1 a staršie projekt PHP už neudržiava. Niektoré linuxové distribúcie a dodávatelia rozšírenej podpory opravu dopĺňajú sami, overte to u nich.
Čo s tým
- Aktualizujte PHP na 8.2.35, 8.3.36, 8.4.27, 8.5.12 alebo novšie, prípadne na opravený balík dodávateľa.
- Opýtajte sa toho, kto spravuje službu, akú verziu PHP používa a či obsahuje opravy CVE-2026-109618 a CVE-2026-109619.
- Prestaňte verziu prezrádzať:
expose_php = Offvphp.iniodstráni hlavičku X-Powered-By.