Internet dostal poriadnu ranu: Dve kritické chyby v PHP otvorili hackerom cestu k miliónom webov

Hackeri sa pokúšali zneužiť nové kritické chyby v PHP ešte skôr, než vývojári stihli verejne zverejniť opravy. Amazon pri spätnej analýze zachytil prvý takýto pokus už 17. októbra 2026, teda štyri dni pred oficiálnym odhalením problému.

Ide o zraniteľnosti CVE-2026-109618 a CVE-2026-109619, ktoré dostali spoločné označenie PHP2Shell. Pri úspešnom útoku môže hacker na serveri spustiť vlastný kód bez toho, aby poznal prihlasovacie údaje alebo už mal prístup do systému. NSA preto vyzvala organizácie na okamžitú aktualizáciu.

Nejde pritom o chybu v konkrétnom plugine alebo CMS. Zraniteľnosť je priamo v PHP runtime, na ktorom bežia milióny webových aplikácií. Palo Alto Networks cez Cortex Xpanse pri zverejnení chýb evidovalo viac než 22,6 milióna verejne dostupných inštancií, ktoré mohli byť zraniteľné. Ide o potenciálne zasiahnuté internetové služby.

Problém vzniká ešte skôr, než požiadavku spracuje samotná aplikácia

Spoločným menovateľom oboch chýb je spracovanie multipart/form-data, teda requestov, ktoré sa používajú napríklad pri nahrávaní súborov. Zraniteľný kód je priamo v PHP, nie vo WordPresse, Drupale alebo konkrétnom plugine.

Pri CVE-2026-109618 môže PHP počas spracovania requestu skončiť s nekorektne inicializovanými dátami v pamäti. Následný cleanup ich potom môže považovať za platné, čo otvára cestu k poškodeniu pamäte a v konečnom dôsledku aj k spusteniu cudzieho kódu.

Súvisí s tým

Ruskí hackeri prenikli do siete výrobcu vojenských lodí napojeného na NATO. Ukradli prihlasovacie údaje a otvorili si cestu ďalej

CVE-2026-109619 pracuje s iným scenárom. PHP worker si po spracovaní jednej požiadavky môže ponechať časť starého interného stavu. Ak následne dostane vhodne pripravený request, dokáže s týmito dátami pracovať ešte predtým, než ich prepíše novým obsahom.

Obe chyby majú podľa CVSS v4.0 skóre 9,2 z 10. Pri úspešnom exploite môže útočník dosiahnuť vzdialené spustenie kódu na serveri.

Najvyššie riziko má podľa PHP Apache s modulom mod_php. Pri CVE-2026-109618 bol v tejto konfigurácii predvedený neautentifikovaný útok ešte predtým, než sa požiadavka dostane k samotnému aplikačnému kódu. Zasiahnuté sú aj nasadenia cez PHP-FPM, php-cgi, FrankenPHP a LiteSpeed.

Podozrivý request prezradí pole PHP_SESSION_UPLOAD_PROGRESS

AWS odporúča pri dočasnej mitigácii filtrovať multipart POST requesty, v ktorých sa objaví PHP_SESSION_UPLOAD_PROGRESS. PHP toto pole používa pri sledovaní priebehu uploadu a práve cezň sa dá dostať k jednej z ciest vedúcich k zraniteľnému kódu.

Request môže vyzerať napríklad takto:

POST /upload HTTP/1.1
Content-Type: multipart/form-data; boundary=----boundary
Cookie: PHPSESSID=abc123

------boundary
Content-Disposition: form-data; name="PHP_SESSION_UPLOAD_PROGRESS"

upload
------boundary--

V AWS WAF sa dá pravidlo postaviť napríklad na kombinácii POST requestu, PHP session a poľa PHP_SESSION_UPLOAD_PROGRESS. Takýto request sa potom zahodí skôr, než sa dostane k PHP.

Pri CVE-2026-109618 ale samotné filtrovanie tohto poľa nestačí. Útok môže pracovať aj s veľkým počtom malých hlavičiek v jednotlivých častiach multipart requestu. Prenesených dát pritom nemusí byť veľa, problém vzniká až pri tom, koľko pamäte si PHP počas spracovania alokuje. Limit na maximálnu veľkosť requestu preto túto cestu spoľahlivo nezatvorí.

Amazon zachytil prvý pokus už 17. októbra

Detaily chýb aj opravy mali byť verejne publikované 21. októbra o 14:00 UTC. Ešte 17. októbra však Amazon Threat Intelligence zachytil v sieti MadPot request, ktorý zodpovedal pokusu o zneužitie PHP2Shell. Kód aj technické detaily boli v tom čase stále pod embargom.

Zdrojová IP patrila komerčnej anonymizačnej sieti, takže Amazon nevie určiť, kto za pokusom stál ani ako sa k informáciám o chybe dostal. Firma zároveň nepotvrdila, či by rovnaký request fungoval proti bežnému produkčnému serveru.

Aj aktuálny WordPress môže bežať nad zraniteľným PHP

Aktualizovaný WordPress alebo Drupal tu nič nerieši, ak pod ním stále beží zraniteľné PHP. PHP2Shell je chyba samotného runtime, takže rozhoduje verzia a spôsob, akým je PHP na serveri nasadené.

Problém sa týka aj bežných konfigurácií cez PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP či LiteSpeed. Konkrétny exploit sa môže podľa konfigurácie správať odlišne, ale netreba hľadať chybný plugin ani konkrétny framework.

NSA radí najskôr preveriť servery dostupné priamo z internetu. Ak ich je vo firme viac, zmysel má začať práve tam a až potom prechádzať interné systémy.

Príkaz php -v môže ukázať inú verziu, než používa web

Najrýchlejšia kontrola verzie je cez:

php -v

Výstup sa ale týka CLI. Na serveri môže byť zároveň spustený iný PHP-FPM pool a práve cezň obsluhovať web. FPM verziu preveríš napríklad cez:

php-fpm -v

Pri paralelne nainštalovaných vetvách môže ísť aj o konkrétnu binárku, napríklad php-fpm8.4 -v. Ak server hostuje viac webov, oplatí sa pozrieť aj konfiguráciu virtual hostu a socket alebo upstream, na ktorý Nginx či Apache posiela PHP requesty. Opravené CLI totiž ešte neznamená, že na rovnakej verzii beží aj samotný web.

Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35

PHP vydalo záplaty vo verziách 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pri podporovaných vetvách treba server dostať minimálne na príslušnú opravenú verziu.

Staršie PHP 8.1 a predchádzajúce vetvy už upstream nepodporuje. Pri distribúciách s dlhšou podporou môže byť záplata backportovaná do staršie označeného balíka, takže tam nestačí pozerať iba na číslo verzie. Rozhoduje konkrétny build a changelog distribúcie.

Ak patch nemožno nasadiť hneď, AWS odporúča vypnúť session.upload_progress.enabled. Pri PHP 8.5 pridáva aj nastavenie fatal_error_backtraces=0 a reštart workerov. Tieto zásahy blokujú iba niektoré známe cesty k exploitu.

Na WAF-e možno odrezať requesty s PHP_SESSION_UPLOAD_PROGRESS, nepotrebný multipart/form-data alebo nezvyčajne veľké množstvo POST requestov. Plošné blokovanie multipart komunikácie ale nie je použiteľné na weboch, ktoré cez ňu prijímajú uploady.

NSA pri serveroch, ktoré nemožno aktualizovať ani oddeliť od zvyšku infraštruktúry, odporúča zvážiť ich dočasné odpojenie od internetu.

Na jednom serveri môže zostať zraniteľná jediná stará PHP vetva

Najľahšie sa prehliadnu staré admin rozhrania, testovacie weby a interné aplikácie, ktoré roky bežia na vlastnom PHP-FPM poole. Hlavný web už môže byť po aktualizácii v poriadku, zatiaľ čo vedľa neho stále zostane stará vetva PHP kvôli jednej legacy aplikácii.

Takéto zabudnuté systémy sú rovnaký problém ako nepodporované zariadenia, ktoré už nedostávajú bezpečnostné záplaty. Rozdiel je len v tom, že na serveri ich nemusí byť na prvý pohľad vôbec vidieť.

Pri kontrole logov treba ísť minimálne do 17. októbra 2026. Práve z tohto dňa má Amazon prvý známy pokus o zneužitie PHP2Shell, teda ešte spred verejného zverejnenia chýb.