Kritická chyba v PHP (php2shell): čo hrozí firmám so starým TYPO3 webom

Čo sa stalo

PHP je programovací jazyk, na ktorom beží veľa webov – aj každý web na TYPO3, WordPresse či Drupale. Server ho použije pri každom zobrazení stránky.

21. 10. 2026 vyšli nové verzie PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravujú dve chyby, CVE-2026-109618 a CVE-2026-109619, ktorým sa hovorí php2shell. Cez ne môže útočník bez prihlásenia spustiť na serveri vlastný program. Vývojári PHP ich hodnotia ako kritické – 9,2 z 10.

• Týkajú sa každého PHP, ktoré obsluhuje web, bez ohľadu na to, aký systém na ňom beží.
• Podrobnosti unikli ešte pred plánovaným zverejnením. Bezpečnostné firmy hlásili prvé pokusy o útoky už v deň vydania opravy.
• Úplná ochrana je len jedna: aktualizované PHP. Nastavenia, ktoré vývojári PHP odporúčajú do aktualizácie, riziko znižujú, ale neodstránia.

Prečo starý TYPO3 bežnú opravu nedostane

Predstavte si web ako auto: TYPO3 je karoséria s výbavou, PHP je motor. Tentoraz je chyba v motore a oficiálne opravené motory vyšli len pre novšie modely – PHP 8.2 a novšie.

Každá verzia TYPO3 však vie bežať len na určitých verziách PHP. Starý TYPO3 sa do nového motora nezmestí:

Pre PHP 7.4, 8.0 a 8.1 pripravili vývojári PHP mimo bežných vydaní aspoň minimálnu záplatu pre tých, ktorí si PHP zostavujú sami, a niektoré linuxové distribúcie a dodávatelia s dlhodobou podporou dodávajú vlastné opravené balíky. Či ich má aj váš hosting, sa treba opýtať. Pre PHP 7.3 a staršie vývojári PHP nepripravili nič. Google uvádza ako zraniteľné všetky verzie od PHP 5.4 – a staré PHP má aj bez php2shell roky neopravené chyby.

Aj keď PHP opravíte, samotný TYPO3 11 a 12 už bezplatné bezpečnostné opravy nedostáva – viac v článku Dokedy má váš TYPO3 web podporu. A ak máte TYPO3 13 na PHP 8.2: PHP 8.2 dostáva opravy len do 31. 12. 2026, preto je dobré do konca roka prejsť aspoň na PHP 8.3.

Koľkých webov sa to týka? V septembri sme prešli 102 144 slovenských domén a našli 249 webov na TYPO3. Pri 93 sa dala zistiť verzia a 45 z nich bežalo na TYPO3 4 alebo 6. Tieto verzie bežia na PHP 5, pre ktoré vývojári PHP opravu nepripravili, a na opravené PHP 8.2 sa bez upgradu nedostanú.

Čo konkrétne hrozí firme

Keď útočník môže na serveri spustiť vlastný program, môže robiť zhruba to isté čo samotný web: meniť stránky, čítať databázu, posielať e-maily. V praxi to môže vyzerať takto:

• Cudzí obsah pod vaším menom. Na webe pribudnú podvodné stránky alebo reklamy na lieky či kasína. Návštevníkov z Google alebo z mobilu presmeruje inam. Vy si to nemusíte všimnúť, lebo vám sa web zobrazí normálne.
• Únik údajov. Dopyty z formulárov, kontakty, prístupy redaktorov, celá databáza webu. Pri úniku osobných údajov musí firma spravidla do 72 hodín od zistenia ohlásiť incident Úradu na ochranu osobných údajov (čl. 33 GDPR).
• Spam a čierne listiny. Napadnutý server môže rozosielať spam alebo útočiť na ďalšie servery. Jeho adresa sa dostane na čierne listiny, a ak cez neho chodia aj e-maily firmy, začnú padať do spamu.
• Varovanie v Google a v prehliadači. Google môže vo výsledkoch vyhľadávania upozorniť, že web môže byť napadnutý, a prehliadač môže pred ním zobraziť červenú výstrahu. Návštevníci odídu skôr, než si prečítajú, čo robíte.
• Výpadok a oprava v strese. Hosting môže napadnutý web vypnúť. Potom príde čistenie, obnova zo zálohy, ak nejaká je, a upgrade narýchlo – drahší než plánovaný.

„Pre útočníkov nie sme zaujímaví“

Pri takýchto chybách si útočníci nevyberajú konkrétnu firmu. Roboty prechádzajú celý internet a skúšajú každý server, ktorý odpovedá. Pri php2shell bezpečnostná firma Sansec predpovedala hromadné útoky do 15 minút od zverejnenia opravy a prvé pokusy o útoky hlásili bezpečnostné firmy ešte v ten istý deň, niektoré už pred jej vydaním. Malý firemný web je pre robota rovnaký cieľ ako veľký.

Čo robiť – podľa verzie vášho webu

1. Zistite, na čom web beží. Rýchla kontrola na t3web.awis.sk ukáže systém, odhad verzie TYPO3 a verziu PHP, ak ju server prezrádza. Presnú verziu PHP vám povie hosting alebo správca webu.
2. TYPO3 13 alebo 12: požiadajte hosting alebo správcu, aby čo najskôr aktualizoval PHP na opravenú verziu (8.2.35, 8.3.36 alebo 8.4.27, prípadne opravený balík distribúcie). Pri TYPO3 12 na PHP 8.1 treba najprv prejsť na novšie PHP. Pokusy o útoky sa objavili ešte pred vydaním opravy, preto nechajte zároveň skontrolovať, či na serveri nepribudli neznáme súbory.
3. TYPO3 11: ak web beží na PHP 8.2 alebo 8.3, stačí aktualizovať PHP. Ak beží na staršom, prechod na PHP 8.2 si môže vyžiadať úpravy rozšírení. Zvážte rovno upgrade – TYPO3 11 nedostáva bezplatné opravy od 31. 10. 2024.
4. TYPO3 10 a staršie: trvalé riešenie je len upgrade TYPO3, s ktorým web prejde aj na aktuálne PHP. Kým sa upgrade urobí:
   • opýtajte sa hostingu, či má pre vaše PHP opravený balík (pri PHP 7.4 môže existovať, pri starších je to nepravdepodobné),
   • nechajte nastaviť ochranné nastavenia, ktoré odporúčajú vývojári PHP – riziko znížia, ale neodstránia,
   • majte aktuálnu zálohu uloženú mimo servera,
   • ak web nepotrebujete, vypnite ho. Systémy, ktoré sa nedajú hneď opraviť, odporúča odpojiť od internetu aj britské národné centrum kybernetickej bezpečnosti (NCSC).

Ako vám pomôžeme

• Rýchla kontrola webu je zadarmo a bez registrácie, výsledok vidíte hneď.
• Audit: do dvoch pracovných dní pošleme report – na čom web beží, čo je rizikové a koľko by stálo riešenie s pevnou cenou.
• Upgrade na TYPO3 13 LTS za pevnú cenu: S 2 900 €, M 4 900 €, L od 7 900 €. Obsah zachováme a staré adresy presmerujeme, aby web nestratil pozície v Google.
• CARE od 39 € mesačne: hosting v EÚ, bezpečnostné aktualizácie TYPO3 aj PHP, zálohy a monitoring. Správy ako php2shell potom nemusíte sledovať vy.

Všetky ceny sú bez DPH.

Článok sme napísali 21. 10. 2026. Keď pribudnú nové informácie, doplníme ho.

Zdroje: oznámenie PHP o bezpečnostných verziách – php.net (21. 10. 2026); podporované verzie PHP pre TYPO3 – typo3.com (ELTS 10.4, 11.5, 12.4), pre staršie verzie jweiland.net; zraniteľné verzie PHP – Google Cloud; priebeh útokov a odporúčania – SecurityWeek, Tenable, Help Net Security, Huntress; koniec podpory PHP – php.net/eol.php; čísla zo skenu slovenských domén – AWIS, september 2026.

Overiť web zdarma Pozrieť cenník