PHP2Shell: AI pomohla najít chyby v PHP, opravu musí dotáhnout správci

TL;DR

• Výzkumníci podle zveřejněných zpráv využili AI modely při odhalení dvou závažných chyb v jádře PHP. Provozovatelé webů potřebují ověřit opravu samotného PHP, aktualizace pluginů nestačí.
• Nálezy jsou připisované dvěma nezávislým týmům. OpenAI popisuje přibližně dva měsíce koordinované přípravy oprav; Cloudflare označuje své ochranné filtrování za dočasné opatření.
• Pokud provozuješ web na PHP, vyžádej si od správce hostingu potvrzení, zda se ho chyby týkají a jak ověřil nasazení opravy.

Udržuješ WordPress i jeho pluginy aktuální, ale bezpečnostní chyba může být ještě o vrstvu níž: v PHP, které web na serveru spouští. Právě tam výzkumníci oznámili dvojici zranitelností označovanou jako PHP2Shell. Případ ukazuje praktický přínos AI při hledání chyb a zároveň připomíná, kolik práce zbývá mezi nálezem a opraveným webem.

Latent Space ve zprávě z 22. října 2026 shrnuje oznámení výzkumníků, OpenAI a dalších účastníků. Popisují použití AI při objevu chyb, ověřování jejich zneužitelnosti i přípravě obrany. Pro malý tým z toho plyne konkrétní otázka: kdo se postará, aby se oprava dostala až do prostředí, na kterém běží jeho web?

Co PHP2Shell umožňuje a kde je chyba

Výzkumníci uvádějí dvě chyby v práci PHP s pamětí při jejím vyčerpání a při zpracování závažných chyb. Závada tedy leží v jádře PHP, nikoli v konkrétním pluginu nebo přihlašování do redakčního systému.

Podle jejich oznámení se podařilo předvést vzdálené spuštění kódu bez přihlášení na WordPressu, Drupalu a Joomle. Popsali také možnost úniku obsahu paměti. To jsou závažné výsledky, ale neznamenají, že každý web na PHP lze napadnout stejným způsobem. Rozhodují podmínky konkrétního nasazení.

Pro majitele webu je podstatný rozdíl mezi aktualizací aplikace a aktualizací prostředí, které ji spouští. Pokud chybu obsahuje PHP na hostingu, samotná výměna pluginu ji neodstraní.

AI pomáhala výzkumníkům, na opravě pracovalo více týmů

OpenAI připisuje nález výzkumníkům společnosti Calif, kteří v rámci projektu Patch the Planet použili GPT-5.6 Sol. Zpráva zároveň popisuje nezávislý nález týmu Wiz, u něhož zmiňuje Gemini 4 Argon, GPT-5.6 Sol a nástroj Wiz Atlas. Z dostupných popisů nelze určit, jakou část práce zvládl každý model samostatně.

OpenAI uvádí přibližně dva měsíce koordinované nápravy před zveřejněním. Zapojili se správci PHP, výzkumníci, poskytovatelé bezpečnostních služeb i vládní instituce. Oprava podle firmy vyžadovala výraznou změnu v jádře PHP.

Význam případu pro využití AI v kyberbezpečnosti spočívá v návaznosti práce: účastníci popisují konkrétní ukázky zneužití, přípravu detekce a ověřování opravy. Samotný počet automaticky nahlášených podezření takový výsledek nedokládá. Pro posouzení přínosu AI je užitečné sledovat, zda nález obstál při ověření a vedl k použitelné opravě.

Co si ověřit u hostingu

Cloudflare podle vyjádření svého technického ředitele nasadil pravidla webového aplikačního firewallu, zkráceně WAF, proti známým způsobům zneužití. Sám je označil za dočasnou ochranu a vyzval k aktualizaci PHP. Zapnutý firewall proto není potvrzením, že je PHP opravené.

Představ si malý e-shop na spravovaném hostingu. Obsah a pluginy řešíš sám, verzi PHP spravuje dodavatel. V takové situaci doporučujeme poslat správci tři konkrétní otázky:

• Týkají se chyby PHP2Shell prostředí, na kterém běží můj web?
• Jaká oprava od dodavatele PHP nebo použité distribuce je nasazená a jak jste ověřili, že ji používají běžící procesy?
• Pokud oprava ještě nasazená není, jaká dočasná ochrana platí pro můj web a kdy bude aktualizace dokončená?

Konkrétní opravenou verzi je potřeba určit podle oficiálního bezpečnostního oznámení pro používané prostředí. Zpráva Latent Space neobsahuje přehled postižených a opravených verzí, podle kterého by šlo bezpečně doporučit jedno číslo všem provozovatelům.

Začni potvrzením od člověka, který spravuje PHP na tvém serveru. A pokud existuje podezření na napadení, řeš ho samostatně: nasazení opravy uzavírá zranitelnost, ale samo o sobě nedokazuje, že předtím neunikla data.

Zdroj

Latent Space: OpenAI’s Patch the Planet program a zranitelnosti PHP2Shell, 22. října 2026