Článek
Dvě kritické chyby v PHP a chyba dekodéru Brotli v Node.js připomínají, že bezpečnost webu nezačíná a nekončí u pluginů. V tomto dílu vysvětluji, co se opravovalo, jak do výzkumu vstoupila AI a proč je potřeba rozlišovat pokus o útok od potvrzeného průniku.
Podíváme se na časovou osu PHP2Shell, opravené verze, veřejná hlášení o zneužívání i preventivní odstávky webů. Na závěr také stručně na Node2Shell a na aktualizace prostředí, které aplikace skutečně používají.
KAPITOLY
00:00 PHP2Shell a Node2Shell: chyby pod aplikacemi
01:04 Jak fungují dvě kritické chyby PHP
02:05 Historie, AI a zveřejnění oprav
03:02 Opravené verze a upřesnění ke starším PHP
03:48 Pokus o útok není potvrzený průnik
05:03 Co může znamenat spuštění kódu na serveru
05:47 Node2Shell a dekodér Brotli
06:28 Shrnutí a prověření firemních webů
ZDROJE
PHP – bezpečnostní oznámení a opravené verze:
https://www.php.net/archive/2026.php#2026-10-21-5
PHP – doplňující oznámení ze 23. října:
https://www.php.net/archive/2026.php#2026-10-23-1
PHP Foundation – historie objevu, auditu a koordinace:
https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
Node.js – bezpečnostní vydání z 21. října:
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
Imperva – Node2Shell:
https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/
Wiz – výzkum PHP2Shell:
https://www.wiz.io/blog/php2shell-php-rce
AWS – pokusy zaznamenané v MadPot:
https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
Harness – odhad rozsahu PHP:
https://www.harness.io/blog/php2shell-the-flaw-hiding-all-across-the-web
Huntress – souvislosti a vystavené technologie:
https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities
watchTowr – hlášení pokusů o zneužití:
https://watchtowr.com/webinars/php2shell-threat-briefing/
SOCRadar – nástroje na serveru útočníka:
https://socradar.io/blog/php2shell-exploit-tooling-attacker-server/
NCSC – průběžně aktualizované hodnocení:
https://www.ncsc.nl/alerts/update-php-kwetsbaarheden-nog-steeds-reden-om-direct-te-patchen
NÚKIB – české upozornění:
https://nukib.gov.cz/cs/infoservis/aktuality/2470-nukib-upozornuje-na-kriticke-zranitelnosti-v-php/
W3Techs – statistika používání PHP:
https://w3techs.com/technologies/comparison/pl-php
Sophos – oprava původního hodnocení úspěšnosti útoku:
https://www.sophos.com/en-us/blog/proof-of-concept-exploit-released-for-php-vulnerabilities-109618-109619
