Hosting blog

Dne 21. října 2026 byly zveřejněny dvě mimořádně závažné bezpečnostní zranitelnosti programovacího jazyka PHP, označené jako CVE-2026-109618 a CVE-2026-109619. Tyto chyby, známé pod označením PHP2Shell, mohou útočníkům umožnit vzdálené spuštění škodlivého kódu na webovém serveru bez nutnosti přihlášení.

Zranitelnosti představují vážnou hrozbu pro Webové stránky provozované na redakčních systémech Joomla, Wordpress, Drupal, PrestaShop a dalších aplikacích využívajících PHP.

Společnost MyDreams innovations s.r.o. již zákazníkům poskytla bezpečnostní opravy pro PHP 7.4 a PHP 8, čímž pomáhá zabezpečit také webové aplikace využívající starší verze PHP.

Zároveň však důrazně doporučujeme všem provozovatelům webových stránek přechod na moderní verze PHP, ideálně PHP 8.5, případně alespoň PHP 8.2 jako přechodné řešení.

Co je PHP2Shell a proč je tak nebezpečný?

PHP2Shell označuje dvojici závažných zranitelností v interních mechanismech PHP, které zajišťují zpracování HTTP požadavků a správu operační paměti.

První zranitelnost, CVE-2026-109618, souvisí s nesprávným zpracováním nedostatku operační paměti. Za určitých podmínek může dojít k poškození paměti a následnému spuštění útočníkova kódu.

Druhá zranitelnost, CVE-2026-109619, vzniká při nesprávné správě paměti mezi jednotlivými HTTP požadavky. PHP může přistupovat k již uvolněné paměti, což může útočník zneužít k narušení bezpečnosti serveru.

Úspěšné zneužití může vést k:

• Vzdálenému spuštění škodlivého kódu.
• Neoprávněnému přístupu k souborům webových aplikací.
• Odcizení databázových hesel a citlivých údajů.
• Napadení a úpravám webových stránek.
• Instalaci webshellu nebo jiného škodlivého softwaru.
• Kompromitaci dalších aplikací dostupných pod stejným systémovým účtem.

Které verze PHP jsou ohrožené?

Vývojáři PHP vydali 21. října 2026 bezpečnostní aktualizace pro podporované větve PHP.

U starších verzí PHP, které již nejsou oficiálně podporovány, není vždy dostupná standardní bezpečnostní aktualizace. Právě proto je důležitá aktivní podpora poskytovatele webhostingu.

MyDreams již poskytl opravy pro PHP 7.4 a PHP 8

Společnost MyDreams innovations s.r.o. reagovala na zveřejnění kritických zranitelností PHP2Shell a již poskytla zákazníkům bezpečnostní opravy pro PHP 7.4 a PHP 8.

Zvláštní pozornost věnujeme starším webovým aplikacím, jejichž provoz vyžaduje zachování starší verze PHP a u kterých není okamžitý přechod na nejnovější verzi technicky možný.

Dostupnost bezpečnostních oprav pro starší PHP umožňuje zákazníkům pokračovat v provozu jejich aplikací s vyšší úrovní zabezpečení.

Opravy starších verzí PHP však nepředstavují dlouhodobé řešení. Zastaralé redakční systémy, nepodporované komponenty a staré webové šablony mohou obsahovat další bezpečnostní chyby, které samotná aktualizace PHP neodstraní.

Doporučujeme přechod na PHP 8.2 nebo ideálně PHP 8.5

Všem provozovatelům webových stránek doporučujeme naplánovat přechod na moderní a podporovanou verzi PHP.

Pro starší aplikace může být přechod na PHP 8.2 prvním krokem. Je však důležité upozornit, že oficiální bezpečnostní podpora PHP 8.2 končí již 31. prosince 2026.

Z dlouhodobého hlediska proto doporučujeme především PHP 8.5, které má oficiální bezpečnostní podporu až do konce roku 2029.

Pokud aplikace PHP 8.5 zatím nepodporuje, je vhodné zvolit nejnovější kompatibilní podporovanou verzi, například PHP 8.4.

Novější verze PHP přinášejí:

• Vyšší bezpečnost a pravidelné bezpečnostní aktualizace.
• Lepší výkon webových aplikací.
• Modernější technologie a optimalizace.
• Vyšší kompatibilitu s aktuálními redakčními systémy.
• Lepší předpoklady pro dlouhodobě spolehlivý provoz.

Které verze Joomla, Wordpress a PrestaShop podporují PHP 8.2?

Ne všechny verze redakčních systémů dokážou pracovat s moderním PHP. Před změnou PHP je nutné ověřit kompatibilitu samotného systému, jeho šablony i všech nainstalovaných rozšíření.

Joomla – kompatibilita s PHP 8.2

Joomla 3 je zastaralá a její další provoz nedoporučujeme.

Oficiální podpora Joomla 3 skončila v roce 2023 a rozšířená podpora v roce 2025. Přesto je mnoho webových stránek stále provozováno na této generaci systému.

Problémem není pouze kompatibilita samotné Joomly s moderním PHP, ale zejména její staré šablony, komponenty, moduly a pluginy.

Mnohá historická rozšíření již nejsou vyvíjena a nejsou kompatibilní s novými verzemi Joomla nebo PHP.

U webových stránek postavených na Joomla 3 proto zpravidla doporučujeme vytvoření zcela nového webu na aktuální verzi Joomla.

V praxi může být přestavba starého webu náročnější než vytvoření nového. Je totiž nutné řešit zastaralé komponenty, nekompatibilní šablony, úpravy databáze a řadu dalších technických problémů.

U běžných firemních a prezentačních webů bývá často jednodušší, rychlejší a levnější postavit nový web a přenést do něj stávající obsah.

Současně lze modernizovat design, optimalizovat rychlost načítání, zlepšit SEO a odstranit historické technické problémy.

U rozsáhlých portálů se specifickými funkcemi může být naopak vhodnější řízená migrace. Každý projekt je proto potřeba posoudit individuálně.

PrestaShop – kompatibilita s PHP 8.2

Pro moderní internetové obchody doporučujeme PrestaShop 9.1 a PHP 8.5.

U starších e-shopů PrestaShop 1.6 a 1.7 může být přechod na aktuální verzi velmi komplikovaný. Důvodem bývají nekompatibilní moduly, zastaralé šablony, individuální programové úpravy nebo rozdíly v databázové struktuře.

V některých případech proto doporučujeme vytvoření nového e-shopu a migraci produktů, kategorií, zákazníků a objednávek.

Takový postup může být bezpečnější a ekonomicky výhodnější než náročná rekonstrukce historického systému.

Při migraci je nutné zachovat důležitá zákaznická a objednávková data, správně nastavit URL adresy a přesměrování, aby nedošlo ke zbytečné ztrátě pozic ve vyhledávačích.

WordPress – kompatibilita s PHP 8.2

WordPress nabízí oproti některým jiným redakčním systémům poměrně dobrou zpětnou kompatibilitu.

U většiny starších instalací lze provést aktualizaci bez nutnosti vytvářet nový web.

Problémy však mohou nastat u historických šablon, neudržovaných pluginů nebo individuálně upravovaného PHP kódu.

U těchto webů doporučujeme nejprve aktualizovat WordPress a jeho rozšíření, ověřit kompatibilitu s moderním PHP a následně provést přepnutí na PHP 8.2, 8.4 nebo 8.5 podle skutečných požadavků aplikace.

Pokud je web založen na zastaralé šabloně nebo velkém množství nekompatibilních pluginů, může být vhodnější vytvořit moderní web s převodem stávajícího obsahu.

Staré weby: Kdy aktualizovat a kdy vytvořit úplně nový web?

Provozovatelé starších webových stránek často stojí před rozhodnutím, zda investovat do rozsáhlé aktualizace historického systému, nebo raději vytvořit nový web.

Při migraci starých systémů mohou vznikat problémy s kompatibilitou PHP, databází, šablon, komponent a dalších rozšíření.

Některé webové stránky byly vytvořeny před více než deseti lety a obsahují technologie, které dnes již nikdo aktivně nevyvíjí.

V takových případech může být aktualizace neúměrně pracná a drahá.

Vytvoření nového webu bývá často jednodušší, rychlejší a levnější než složitá modernizace původního systému.

Nový web navíc přináší příležitost:

• Použít aktuální a bezpečný redakční systém.
• Přejít na moderní PHP 8.5.
• Vytvořit rychlejší a přehlednější stránky.
• Přizpůsobit design mobilním telefonům.
• Zlepšit technické SEO a indexaci ve vyhledávačích.
• Optimalizovat rychlost a Core Web Vitals.
• Odstranit zastaralá a nepotřebná rozšíření.
• Připravit web na budoucí aktualizace a rozvoj.

Při vytváření nového webu je vhodné zachovat hodnotný obsah a důležité URL adresy. Pokud se struktura adres mění, je potřeba připravit správná přesměrování pomocí HTTP 301.

Naše doporučení: Nepokračujte dlouhodobě v provozu zastaralých webů jen proto, že ještě fungují.

Funkční web automaticky neznamená bezpečný web.

Pomůže ModSecurity nebo Cloudflare WAF?

Vedle bezpečnostních aktualizací PHP mohou při ochraně webových aplikací pomoci také technologie typu Web Application Firewall (WAF).

Mezi nejznámější patří ModSecurity a Cloudflare WAF, které dokážou kontrolovat příchozí HTTP požadavky ještě před jejich předáním PHP.

Tyto technologie mohou blokovat některé podezřelé požadavky, včetně specificky upravených požadavků typu multipart/form-data.

Cloudflare rovněž oznámil zavedení ochranných mechanismů proti pokusům o zneužití PHP2Shell.

Firewallová ochrana však nenahrazuje bezpečnostní aktualizaci PHP. Nejúčinnějším řešením je instalace opravené verze PHP.

Dočasná bezpečnostní opatření

Pokud není možné PHP okamžitě aktualizovat, lze zavést několik opatření snižujících riziko útoku.

Jedním z doporučených nastavení je vypnutí sledování průběhu nahrávání souborů:

session.upload_progress.enabled = Off

U PHP 8.5 lze rovněž dočasně vypnout podrobné výpisy fatálních chyb:

fatal_error_backtraces = Off

Další možnosti zahrnují omezení velikosti příchozích HTTP požadavků, správnou konfiguraci PHP-FPM a použití bezpečnostních pravidel webového serveru.

Uvedená opatření pouze snižují riziko. Nelze je považovat za náhradu instalace bezpečnostních oprav PHP.

Co by měli udělat provozovatelé webových stránek?

Doporučujeme nejprve zjistit, jakou verzi PHP a jakou verzi redakčního systému používáte.

Následně doporučujeme:

• Aktualizovat PHP na opravenou a podporovanou verzi.
• U starších aplikací plánovat přechod minimálně na PHP 8.2, následně na novější podporovanou verzi.
• U moderních aplikací upřednostnit PHP 8.5, pokud je podporováno.
• Aktualizovat Joomla, WordPress nebo PrestaShop na aktuální verzi.
• Ověřit kompatibilitu všech šablon, modulů a pluginů.
• U zastaralých webů zvážit kompletní modernizaci nebo vytvoření nového webu.
• Pravidelně zálohovat soubory a databáze.
• Průběžně sledovat bezpečnostní upozornění.

Bezpečnost zákazníků je pro MyDreams prioritou

Společnost MyDreams innovations s.r.o. poskytuje profesionální Webhosting, VPS servery, Dedikované servery a správu linuxových serverů již od roku 2004.

Bezpečnost serverové infrastruktury a ochrana zákaznických dat patří mezi klíčové oblasti našich služeb.

Proto průběžně sledujeme nové bezpečnostní hrozby, vyhodnocujeme jejich dopady a zavádíme potřebná opatření.

V reakci na kritické zranitelnosti PHP2Shell jsme již poskytli bezpečnostní opravy pro PHP 7.4 a PHP 8, abychom pomohli chránit také zákazníky využívající starší webové aplikace.

Současně zákazníkům doporučujeme postupně opustit zastaralé technologie a přejít na moderní verze PHP a redakčních systémů.

Potřebujete aktualizovat starý web nebo vytvořit nový?

Provozujete web na Joomla 3, starším PrestaShopu nebo zastaralém WordPressu? Nefunguje váš web na moderním PHP? Obsahuje vaše Webová stránka komponenty, které již nelze aktualizovat?

Rádi vám pomůžeme posoudit technický stav webu a navrhnout vhodný postup.

V řadě případů může být vytvoření nového webu na moderní technologii rychlejší a cenově výhodnější než rozsáhlé opravy historického systému.

MyDreams – profesionální webhosting, VPS servery a správa serverů již od roku 2004.

www.mydreams.cz

Zdroje a další informace

• PHP.net – bezpečnostní aktualizace PHP
• PHP.net – podporované verze PHP
• Joomla – technické požadavky
• PrestaShop 9 – systémové požadavky
• WordPress – kompatibilita verzí PHP
• Root.cz – vážné chyby v PHP