Kritická zranitelnost v PHP (PHP2Shell): Proč zastaralé firemní systémy čelí útokům a jak ochránit vaše data

Představte si situaci: útočník nepotřebuje znát heslo vašeho administrátora, nemusí prolomit přihlašovací obrazovku ani zneužít chybu v konkrétním formuláři. Stačí mu na váš server odeslat jediný skrytě upravený požadavek. Systém zkolabuje a útočník získá plnou kontrolu nad celým firemním serverem. Přesně tak funguje nová vlna kritických zranitelností označovaná jako PHP2Shell.

Technologie PHP tvoří základ odhadem 70 % českých firemních webů, zákaznických portálů, e-shopů i starších zakázkových ERP systémů. Na přelomu let 2024 až 2026 však mezinárodní bezpečnostní agentury (včetně americké CISA a evropské ENISA) vydaly nejvyšší stupeň varování před sérií závažných chyb v samotném jádře jazyka PHP — zejména CVE-2026-109618, CVE-2026-109619 (PHP2Shell) a dřívější CVE-2024-4577.

Pro majitele a ředitele firem v Praze, Brně, Ostravě i Olomouci to znamená jedno zásadní varování: pokud váš interní systém běží na neudržované verzi PHP, vaše firemní databáze, faktury a klientská data jsou otevřené automatizovaným útokům z internetu.

Co zranitelnost PHP2Shell znamená pro vaši firmu v praxi?

Běžné bezpečnostní chyby většinou vznikají tím, že programátor udělá chybu v konkrétním kódu aplikace (například špatně zabezpečí přihlašovací formulář). Rodina chyb PHP2Shell je ale mnohem nebezpečnější: chyba je přímo v jádře samotné technologie PHP, konkrétně ve způsobu, jakým server uvolňuje operační paměť při vyčerpání paměťového limitu.

Když útočník na server pošle objemná data, která záměrně vyčerpají paměťový limit, neošetřené vnitřní selhání v jádře PHP mu umožní podvrhnout vlastní instrukce a spustit na vašem serveru libovolný škodlivý program.

4 reálné hrozby, kterým vaše podnikání čelí:

• 1. Zašifrování dat a vydírání (Ransomware): Útočník se dostane k vaší databázi PostgreSQL nebo MySQL, zašifruje data o zákaznících, skladových zásobách a fakturách a za dešifrovací klíč požaduje miliony korun. Pro výrobní či logistickou firmu to znamená okamžité zastavení provozu.
• 2. Únik citlivých obchodních dat a klientských smluv: Databáze kontaktů, ceníky, platební údaje a interní know-how se mohou objevit na černém trhu nebo u vaší přímé konkurence.
• 3. Odpovědnost vedení podle GDPR a nové směrnice NIS2: Pokud dojde k úniku dat z důvodu zanedbání bezpečnostních aktualizací na serveru, úřady to klasifikují jako hrubé porušení povinné péče s hrozbou vysokých pokut a osobní odpovědnosti statutárních zástupců. Pojišťovny v takovém případě odmítají vyplácet pojistné plnění z kybernetického pojištění.
• 4. Zneužití vašeho serveru a zablokování firemních e-mailů: Ovládnutý server začne bez vašeho vědomí rozesílat spam nebo napadat další servery. Výsledkem je, že se vaše firemní doména dostane na globální černé listiny (blacklists) a vaše běžné obchodní e-maily přestanou zákazníkům doručovat.

Past zastaralého softwaru: Proč nestačí jen „kliknout na tlačítko aktualizovat“

Jako majitel firmy si možná řeknete: „Tak jednoduše zavolám správci hostingu, ať v administraci přepne verzi PHP na nejnovější, a máme hotovo.“

V praxi se však u firemních systémů starších 4–8 let stane něco jiného: po přepnutí verze PHP systém okamžitě zkolabuje. Zobrazí se prázdná bílá obrazovka nebo chyba serveru (Error 500) a celá firma stojí — nefunguje fakturace, skladníci se nedostanou k expedici a e-shop nepřijímá objednávky.

Důvod je technický: staré verze frameworků (např. starší Nette, Zend či starší Laravel) a zastaralé knihovny (například pro tisk faktur do PDF) spoléhají na funkce, které moderní bezpečné PHP z bezpečnostních důvodů dávno zakázalo.

Vedení firmy se tak často ocitá v nebezpečné pasti (tzv. Legacy Deadlock):

• Když systém neaktualizují: Zůstávají na nechráněném serveru s obřím rizikem napadení hackery a porušením zákona o kybernetické bezpečnosti.
• Když systém zaktualizují narychlo: Aplikace přestane fungovat a firma nemůže obchodovat.

Krizový akční plán pro ředitele a IT manažery: 5 kroků k bezpečí

V Foxmate.cz pomáháme firmám z této pasti bezpečně vystoupit. U našich klientů v Praze, Brně, Ostravě i Olomouci uplatňujeme osvědčený postup, který firmu ochrání okamžitě a bez přerušení provozu:

1. Krok 1: Okamžitá inventura verzí (do 15 minut)
   Požádejte svého interního správce nebo dodavatele hostingu o přesný výpis verzí PHP na všech vašich serverech (příkaz php -v). Pokud vidíte verzi starší než 8.2, máte problém, který vyžaduje řešení.
2. Krok 2: Instalace bezpečnostních záplat u podporovaných verzí
   Pokud vaše aplikace běží na PHP 8.2, 8.3 nebo 8.4, nechte správce okamžitě aktualizovat systémové balíčky na opravené verze (8.2.35+, 8.3.36+, 8.4.27+). Jde o rutinní zásah bez dopadu na funkčnost aplikace.
3. Krok 3: Okamžité „zastínění“ starého systému (ochrana před botnety)
   Máte-li starší systém, který nelze ze dne na den zaktualizovat, stáhněte jej z veřejného internetu. Přístup do interního ERP či skladu omezte pouze přes zabezpečenou firemní VPN (Tailscale, WireGuard) nebo Cloudflare Zero-Trust. Co útočníci z veřejného internetu nevidí, to nemohou napadnout.
4. Krok 4: Nastavení aplikačního firewallu (WAF) a restrikcí na serveru
   Zakažte v konfiguraci serveru nebezpečné systémové funkce (exec, shell_exec, system). Útočník tak nezíská kontrolu nad celým serverem, i kdyby v aplikaci našel díru.
5. Krok 5: Plánovaná modernizace klíčových částí systému (bez výpadku)
   U systémů, které jsou srdcem vašeho podnikání, naplánujte postupný přechod na moderní architekturu Next.js 15 a PostgreSQL. Metodou Strangler Fig přepisujeme systém modul po modulu za plného provozu — firma funguje bez jediného dne odstávky a postupně získává rychlé, stabilní a stoprocentně bezpečné řešení.