Oprava PHP vyšla 21. října a od té doby se ukazuje, v kolika podnikových produktech jazyk PHP tiše běží. Palo Alto Networks potvrdilo, že chyby zvané PHP2Shell se týkají všech verzí PAN-OS a Panoramy a oprava zatím není. Cisco prověřuje 25 produktů a služeb, Fortinet naopak 34 svých produktů z podezření vyřadil. Níže je přehled toho, co výrobci sami potvrdili, stav k 22. říjnu 2026, 22:20.
Co je PHP2Shell
CVE-2026-109618 a CVE-2026-109619 jsou dvě chyby přímo v jazyce PHP, obě se skóre 9,2 podle CVSS 4.0. Obě dovolí útočníkovi spustit na serveru kód bez přihlášení, stačí mu poslat webový požadavek. Opravené verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 vydal tým PHP 21. října 2026. Podrobnosti o tom, jak chyby fungují a jak aktualizovat vlastní servery, jsme popsali v článku PHP vydalo opravu dvou kritických chyb.
Proč se to týká i firem, které PHP nepoužívají
PHP si většina firem spojuje s weby a e-shopy. Jenže se používá i uvnitř hotových produktů: ve správcovských webových rozhraních firewallů, v konzolích pro správu sítě, v NAS úložištích, v hostingových a administračních panelech, v kamerových a docházkových systémech. Administrátor takové PHP neinstaloval, obvykle o něm neví a hlavně ho nemůže sám aktualizovat. Musí počkat na firmware nebo balíček od výrobce.
Proto nestačí projít servery, na kterých vaši vývojáři PHP vědomě provozují. CERT-EU ve svém doporučení 2026-018 výslovně upozorňuje, že produkty s vestavěným PHP mohou být zasažené, i když žádnou instalaci PHP samy nenabízejí, a odkazuje na veřejný seznam, který vede nizozemské NCSC.
Co výrobci potvrdili
Tabulka shrnuje stav u výrobců, jejichž produkty jsou běžně používané i ve středních českých firmách. Vychází z oznámení samotných výrobců, ne z médií. Stav se mění každých několik hodin, takže před rozhodováním si oznámení výrobce otevřete znovu.
| Výrobce | Produkty | Stav k 22. 10. 2026, 22:20 |
|---|---|---|
| Palo Alto Networks | PAN-OS 10.2, 11.1, 11.2, 12.1 a 12.2 (všechny buildy), Panorama | Zasaženo, opravené verze zatím nejsou |
| Palo Alto Networks | Cloud NGFW, Prisma Access, Prisma Access Agent, Prisma Cloud, Cortex XDR Agent, Cortex XSOAR, Cortex XSIAM, Cortex Xpanse, aplikace GlobalProtect, Bridgecrew, Idira | Nezasaženo |
| Fortinet | FortiDDoS, FortiDDoS-F, FortiClient Cloud Services, FortiSOAR, FortiSOAR PaaS | V prověřování |
| Fortinet | 34 produktů, mezi nimi FortiOS, FortiManager, FortiAnalyzer, FortiWeb, FortiProxy, FortiMail, FortiSIEM, FortiADC, FortiAuthenticator a FortiSASE | Nezasaženo |
| Cisco | 25 produktů a služeb, mezi nimi ISE, Catalyst Center, Catalyst SD-WAN Manager, Expressway, Nexus Dashboard Insights, Meraki, Webex a Splunk | V prověřování, žádný produkt zatím potvrzený jako zasažený |
| Cisco | Umbrella, Secure Email Threat Defense, AI Defense (hybridní on-premises), Policy Suite, Business Process Automation, Ultra Cloud Core PCF a SMI | Nezasaženo |
| QNAP | Více produktů, jejich seznam vede výrobce v oznámení QSA-26-18 | Zasaženo, stav oprav výrobce doplňuje do oznámení |
U PAN-OS stojí za to vědět, kterou část zařízení se to týká. Podle oznámení Palo Alto Networks jde výhradně o správcovské webové rozhraní, tedy webovou konzoli a službu XML API, a o datová rozhraní, na kterých je zapnutý management profil. Portál a brána GlobalProtect zasažené nejsou. Výrobce hodnotí dopad na své produkty jako vysoký se skóre 8,7, tedy mírněji než autoři PHP, protože u PAN-OS podle svého posouzení vidí dopad na dostupnost, ne na data.
QNAP vydal 22. října vlastní prohlášení. Jeho tým PSIRT prověřuje celé portfolio produktů i cloudové služby a vydal oznámení QSA-26-18, které se podle výrobce týká více jeho produktů. Konkrétní produkty, verze a stav oprav proto sledujte přímo v tomto oznámení, QNAP ho průběžně doplňuje.
Seznam NCSC je dobrý rozcestník, ale výrobce je rychlejší. Například Fortinet už 22. října označil FortiSIEM, FortiEndpoint, FortiADC Manager a FortiMonitor za nezasažené, zatímco v seznamu NCSC byly ve stejnou dobu stále vedené jako prověřované. Sám repozitář píše, že záznamy jsou jen vodítkem, dokud je nepotvrdí výrobce.
Co víme o zneužívání
Pokusy o zneužití hlásí zatím jen bezpečnostní firmy a výrobci. Amazon Threat Intelligence popsal první pokus ve své honeypotové síti už 17. října, tedy čtyři dny před zveřejněním, a další vlnu 21. října. Pokusy o útok a hromadné skenování hlásí také Cloudflare a watchTowr, přičemž rozsah se mezi zdroji liší a část telemetrie ukazuje jen skenování. QNAP ve svém prohlášení uvádí, že skenování a pokusy o zneužití sleduje a že zablokoval pokusy o útok na vlastní web, internetový obchod a cloudové služby. Důkaz o přístupu k datům uživatelů svých online služeb podle prohlášení nemá.
Zneužití konkrétního podnikového produktu zatím nikdo nepotvrdil. Palo Alto Networks i Cisco ve svých oznámeních uvádějí, že o zneužití proti svým produktům nevědí, Fortinet má u obou chyb příznak zneužívání nastavený na ne. Obě CVE také stále nejsou v katalogu CISA KEV (verze 2026.10.21). To se může během dne změnit, proto jsou kroky níže na místě i bez potvrzeného útoku.
Co udělat teď
- Udělejte soupis. Nejen servery s PHP, ale i zařízení a aplikace, které ho mohou mít uvnitř: firewally, správcovské konzole, NAS, hostingové a administrační panely, kamerové a docházkové systémy. U každého si poznamenejte, kdo ho aktualizuje.
- U PAN-OS a Panoramy nasaďte dočasná opatření. Palo Alto Networks doporučuje omezit přístup ke správcovskému rozhraní na důvěryhodné interní adresy nebo na jediný jump host a zákazníkům s předplatným Threat Prevention nabízí signatury s Threat ID 543004, 97622, 97623, 97624 a 97625 od verze obsahu 9162. Opravené verze PAN-OS termín nemají, sledujte oznámení výrobce.
- Správcovská rozhraní nevystavujte do internetu. Platí to pro firewally i pro NAS a konzole. Je to opatření, které pomůže i u příští chyby stejného typu.
- Sledujte oznámení výrobců a seznam NCSC. U produktů ve stavu prověřování si nastavte, kdo a kdy stav znovu zkontroluje. Stav v tabulce výše platí k uvedenému času, ne k dnešku.
- Po nasazení opravy hledejte stopy. NÚKIB ve svém upozornění radí zaměřit se na neobvyklé procesy spouštěné službami PHP. Zpětně se dívejte nejméně od 17. října, tedy od prvního hlášeného pokusu.
Nestíháte to sledovat?
Upozornění na zranitelnosti vydáváme průběžně a každý pátek je shrnujeme. Sledovat je je ale jen první krok. Těžší je vědět, které zranitelnosti se týkají konkrétně vás, v jakém pořadí je řešit a kdo za to ve firmě odpovídá.
S tím pomáháme: posouzení bezpečnosti a řízení zranitelností · externí manažer bezpečnosti · výběr a nasazení technologií
Nezávazná konzultace · Řešíte právě incident?
Řekneme vám na rovinu, co má smysl řešit jako první. Úvodní konzultace je bezplatná.
Zdroje: PHP, oznámení k CVE-2026-109618 · PHP, oznámení k CVE-2026-109619 · Palo Alto Networks, dopad na PAN-OS a Panoramu · Fortinet PSIRT FG-IR-26-186, stav produktů · Cisco, oznámení cisco-sa-php-october26 · QNAP, prohlášení k PHP2Shell a oznámení QSA-26-18 · NCSC-NL, seznam produktů se závislostí na PHP · CERT-EU, doporučení 2026-018 · NÚKIB, upozornění na zranitelnosti v PHP · Amazon Threat Intelligence, pokusy o zneužití před zveřejněním · SecurityWeek, reakce výrobců