! WARNING ! Toto byste měli vědět! PHP2Shell: co znamená pro vaši ordinaci

Kyberbezpečnost · 22. 10. 2026

Chyba dostala jméno PHP2Shell. Vývojáři PHP ji ohodnotili 9,2 bodu z 10, tedy jako kritickou. Před opravou varoval i český Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Upozornění NÚKIB si můžete přečíst zde. Úřad vlády ČR preventivně vypnul svůj web. Část webů odstavil i Český hydrometeorologický ústav.

Zkusíme to vysvětlit bez odborných slov. Ať víte, proč to není jen starost ajťáků, a co máte udělat.

Co je PHP a kde ho ordinace má

PHP je program, který na serveru skládá webové stránky. Běží na něm velká část internetu: weby postavené na WordPressu, e-shopy, objednávkové formuláře i řada aplikací na míru. Vy ho nikdy neuvidíte. Pracuje na pozadí, podobně jako rozvody vody ve zdi ordinace.

Chyba je přímo v PHP, ne v konkrétním webu. Proto se týká skoro všech webů, které na PHP běží, bez ohledu na to, kdo je naprogramoval. Ohrožená je každá instalace PHP, která obsluhuje web. Patří sem i staré verze 8.1 a starší, pro které už oficiální opravy nevycházejí.

V ordinaci se vás to nejčastěji týká tady:

•             web ordinace, hlavně pokud běží na WordPressu nebo podobném systému,

•             online objednávání a kontaktní formuláře, přes které vám pacienti posílají jméno, telefon a důvod návštěvy,

•             pacientský portál nebo jiná aplikace, do které se lidé přihlašují přes internet,

•             vlastní aplikace na serveru, pokud vám ji někdo programoval.

Ordinační program s kartotékou obvykle běží na počítači nebo serveru přímo v ordinaci a PHP nepoužívá. To je dobrá zpráva. Pokud ale web nebo objednávkový systém sdílí server s dalšími daty, nebo má do kartotéky přístup, problém se dotýká i jí. To vám řekne jen ten, kdo vám systémy spravuje.

Proč jde o průšvih

Představte si, že zámek na vstupních dveřích ordinace má výrobní vadu. Kdo zná správný trik, otevře dveře bez klíče a bez zvonění. Výrobce už vyrobil opravený zámek. Dokud ho ale někdo nevymění, dveře jsou pro každého, kdo ten trik zná, otevřené. A ten trik už je veřejně známý.

Přesně tak funguje PHP2Shell. Útočník nepotřebuje heslo ani účet. Stačí mu poslat na váš web upravený požadavek a může na serveru spustit vlastní program. Přihlašovací stránka ani heslo do administrace před tím nechrání. Útok může proběhnout dřív, než se web vůbec zeptá na heslo.

Co to pro ordinaci znamená v praxi:

•             Únik údajů pacientů. Útočník si může odnést, co je na serveru uložené: objednávky, kontakty, poznámky k návštěvám. Zdravotní údaje patří podle GDPR mezi nejcitlivější. Únik musíte do 72 hodin nahlásit Úřadu pro ochranu osobních údajů a často i samotným pacientům.

•             Cesta dál do ordinace. Pokud má server přístup k databázi, záložnímu úložišti nebo jiným počítačům, útočník ho použije jako odrazový můstek.

•             Zneužitý web. Na webu se může objevit podvodný obsah, nebo z něj začnou chodit podvodné e-maily vaším jménem. Pacienti uvidí vaši adresu, ne útočníka.

•             Výpadek. Napadený web je nutné vypnout, vyčistit a znovu postavit. To trvá dny a stojí peníze.

Čas tu hraje proti vám. Podle NÚKIB jsou informace, jak chybu zneužít, veřejně dostupné. Evropský bezpečnostní tým CERT-EU upozorňuje, že už kolují první ukázkové útoky, a považuje za pravděpodobné, že se chyba zneužívá. Útočníci přitom procházejí weby automaticky. Nevybírají si, jestli jste velká nemocnice, nebo ordinace se dvěma křesly.

Co udělat ještě dnes

Vývojáři PHP i CERT-EU říkají jasně: různá nastavení riziko jen snižují, úplně chybu odstraní jedině aktualizace PHP. Nemusíte ji dělat sami. Musíte ale zajistit, aby ji někdo udělal a potvrdil vám to.

1.          Sepište, kdo vám co spravuje. Kdo dělal web? U koho je hosting? Kdo dodává online objednávání? Často to jsou tři různé firmy.

2.          Pošlete každé z nich dotaz. Klidně tímto textem: „Dobrý den, kvůli zranitelnosti PHP2Shell (CVE-2026-109618 a CVE-2026-109619) potřebuji potvrdit, zda náš web a služby běží na PHP. Pokud ano, prosím o informaci, na jakou verzi bylo aktualizováno a kdy. Zároveň prosím o kontrolu, zda nedošlo ke zneužití před aktualizací. Děkuji.“

3.          Zkontrolujte odpověď. Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Odpověď „máme to v pořádku“ bez čísla verze nestačí.

4.          Pozor na staré PHP. Verze 8.1 a starší už oficiální opravu nedostanou. Web na nich je potřeba převést na novější verzi, nebo získat opravu od dodavatele, který staré verze ještě podporuje. U zastaralých webů to může znamenat větší zásah.

5.          Nechte prověřit, jestli už někdo nebyl uvnitř. Návody k útoku kolovaly už v den vydání opravy. Aktualizace zavře dveře, ale nevyhodí toho, kdo už prošel. Správce by měl projít záznamy serveru a hledat neobvyklé programy spuštěné přes PHP. Na takové stopy upozorňuje i NÚKIB.

6.          Když si nejste jistí, web dočasně vypněte. CERT-EU doporučuje odpojit od internetu weby, které nejde hned aktualizovat. Stejně postupovaly i státní úřady. Pár dní bez webu je menší škoda než únik dat pacientů.

Pokud máte web u velkého hostingu, je dost možné, že už aktualizace proběhla. I tak si to nechte písemně potvrdit.

Co z toho plyne

Kritické chyby v běžně používaném softwaru se objevují opakovaně a tahle nebude poslední. Ordinace, která ví, co kde běží a kdo za to odpovídá, takovou situaci vyřeší jedním telefonátem. Ostatní ji řeší až po úniku dat.

Zdroje

•             PHP: Security advisory, Critical remote code execution vulnerabilities (21. 10. 2026)

•             NÚKIB upozorňuje na kritické zranitelnosti v PHP (21. 10. 2026)

•             CERT-EU: Security Advisory 2026-018, Critical Vulnerabilities in PHP

•             ČTK / České noviny: NÚKIB doporučil webům s PHP aktualizaci, Úřad vlády odstavil stránky