Pro PHP2Shell tu nic není

Ve středu vydalo PHP mimořádné opravy dvou chyb ve svém jádru, CVE-2026-109618 a CVE-2026-109619, kterým se dohromady říká PHP2Shell. Jediný požadavek od někoho, kdo se nikdy nepřihlásil, může stačit ke spuštění kódu na webovém serveru, a týká se to každé instalace PHP, která obsluhuje webové požadavky, ať na ní běží cokoli. Opravené verze jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35; cokoli staršího potřebuje opravu od dodavatele, nebo záplatu sestavenou ze zdrojů.

Web postavený na ./blog.sh nemá, do čeho by se trefila. Není v něm žádné PHP, za ním žádná databáze a před ním žádná administrace. Webový server rozdává soubory, které sestavení zapsalo předem: stránky, styl, rejstřík pro hledání, obrázky. Požadavek si může o jeden z nich říct a dostane ho, a to je všechno, co požadavek umí; nic na serveru se nespustí proto, že se někdo zeptal. Není to zabezpečení, na které si někdo vzpomněl. Je to to, co článek Postaveno záměrně pro jeden blog myslel větou „nic nepotřebuje bezpečnostní záplatu v úterý“. Tentokrát to byla středa.

Neznamená to, že nikdy nic nepotřebuje aktualizaci. Potřebuje ji webový server, který soubory rozdává, SSH, pokud píšeš z telefonu, a Ruby na stroji, kde se web sestavuje. Článek Co zbývá pokazit ten krátký seznam prochází. Je jen mnohem kratší než seznam celé sestavy s PHP a nic z něj tenhle týden nehořelo.

Jedna praktická poznámka, pokud jsi sem přešel z WordPressu: import zkopíroval tvoje příspěvky, ale starý web nevypnul. Jestli někde ještě odpovídá stará instalace WordPressu, aktualizuj jí dnes PHP, nebo ji vypni.