PHP2Shell: co znamená pro váš e‑shop a SMS integrace

21. října 2026 vyšly opravy dvou kritických chyb v PHP, které dostaly společné jméno PHP2Shell. Umožňují za určitých okolností spustit na webovém serveru cizí kód bez přihlášení. Chyby jsou vážné hlavně proto, že PHP pohání většinu českých e‑shopů a firemních webů: WordPress a WooCommerce, PrestaShop, Shoptet doplňky, Joomla, vlastní aplikace v Laravelu nebo Symfony. Podle Amazon Threat Intelligence útočníci chyby zkoušeli zneužít už od 17. října, tedy čtyři dny před zveřejněním oprav.

Tenhle článek není poplašný. Je to krátký návod, co zkontrolovat dnes a co napsat hostingu, pokud PHP nespravujete sami.

Co se stalo

• Chyby mají označení CVE‑2026‑109618 a CVE‑2026‑109619. Týkají se zpracování požadavků v PHP, konkrétně práce s pamětí a s daty z požadavku, například při nahrávání souborů formulářem.
• Opravy vyšly ve verzích PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12.
• PHP 8.1 a starší oficiální opravu nedostaly, protože už nejsou podporované. Pokud na nich běžíte, oprava závisí na vašem hostingu nebo distribuci Linuxu, a nejjistější je přejít na podporovanou verzi.
• Útoky probíhaly ještě před zveřejněním, takže „aktualizovat někdy příští týden“ tentokrát není dobrá volba.

Jak zjistit, jakou verzi PHP máte

Vyberte si podle toho, co používáte:

• WordPress a WooCommerce: Nástroje → Stav webu → Informace → Server. Řádek „Verze PHP“.
• Administrace hostingu: Wedos, Forpsi, Active24, Český hosting i ostatní mají verzi PHP v nastavení webu nebo domény. Často ji tam jde i přepnout.
• Vlastní server: v terminálu php -v. Pozor, webový server může používat jinou verzi než příkazová řádka. Verzi, kterou vidí návštěvníci, zjistíte souborem s <?php phpinfo();, který po kontrole zase smažte.
• Shoptet, Upgates a další pronajaté platformy: o PHP se starají provozovatelé. Zkontrolujte, jestli o aktualizaci informovali, případně se zeptejte na podpoře.

Co udělat

1. Aktualizujte PHP na 8.2.35, 8.3.36, 8.4.27 nebo 8.5.12 podle řady, kterou používáte. Na hostingu to bývá přepínač, na vlastním serveru aktualizace balíčků.
2. Restartujte PHP‑FPM nebo webový server. Dlouho běžící procesy jinak dál používají starou verzi, i když je na disku nová.
3. Pokud máte PHP 8.1 nebo starší, přejděte na podporovanou řadu. Většina moderních e‑shopů a WordPressu běží na 8.2 až 8.4 bez problémů. Před přepnutím si udělejte zálohu a otestujte web.
4. Zkontrolujte logy od 17. října: neobvyklé POST požadavky s nahráváním souborů, nové nebo změněné PHP soubory, procesy, které na serveru nemají co dělat.
5. Vypněte verze PHP, které nepoužíváte. Panely jako Plesk nebo CloudPanel instalují několik verzí najednou. Každá spuštěná verze navíc je zbytečný povrch pro útok.

Co napsat hostingu

Pokud server nespravujete, stačí krátký dotaz na podporu:

Dobrý den, prosím o potvrzení, že PHP pro náš web je aktualizované na verzi s opravou CVE‑2026‑109618 a CVE‑2026‑109619 (PHP 8.2.35, 8.3.36, 8.4.27 nebo 8.5.12), a že byl PHP‑FPM restartován. Pokud běžíme na starší řadě, jaké máme možnosti přechodu na podporovanou verzi?

Seriózní hosting odpoví do pár hodin a verzi vám potvrdí.

Jak jsme na tom v TopSMS

Samotná SMS brána TopSMS na PHP neběží. Aplikace, API i dashboard jsou postavené na Node.js, takže se jí chyba netýká. PHP máme na serveru jen kvůli administraci. I tak jsme v pátek 23. října aktualizovali všechny nainstalované verze PHP, restartovali jejich procesy a prošli logy od 17. října. Žádné pokusy ani stopy jsme nenašli, logy jsou čisté.

Poučení pro nás bylo stejné jako pro každého: každá nainstalovaná verze PHP, kterou nepoužíváte, je zbytečné riziko.

Co s naším PHP SDK a WooCommerce pluginem

PHP knihovna TopSMS i plugin pro WooCommerce jsou obyčejný PHP kód bez vlastních závislostí. Chybu neobsahují a nic v nich není potřeba měnit. Běží ale na vašem PHP, takže jediná potřebná akce je aktualizace PHP na serveru podle bodů výše. Po aktualizaci SMS notifikace fungují beze změny.

Shrnutí

• Zjistěte verzi PHP, kterou vidí váš web.
• Aktualizujte na 8.2.35, 8.3.36, 8.4.27 nebo 8.5.12 a restartujte PHP‑FPM.
• Na PHP 8.1 a starším přejděte na podporovanou řadu.
• Projděte logy od 17. října.
• Nepoužívané verze PHP vypněte.

Pokud si nejste jistí, jestli se vás to týká, napište nám na info@topsms.cz. Poradíme, kde verzi najít, i když nejste naším zákazníkem.