Bezpečnostní výzkumníci s využitím pokročilých modelů umělé inteligence a autonomních agentů odhalili závažné bezpečnostní trhliny v programovacím jazyce PHP[1][2]. Vývojáři informovali o dvou kritických bezpečnostních slabinách v úterý[3]. Celý bezpečnostní problém rychle získal přezdívku PHP2Shell a týká se zranitelností s oficiálním označením CVE-2026–109618 a CVE-2026–109619[4][5]. Následná varování bezpečnostních složek vedla k preventivním odstávkám vládních webů v zahraničí i v České republice[6][7].

Jak AI agenti našli dvacet let staré chyby

Do prověřování otevřeného kódu se zapojily specializované bezpečnostní týmy vybavené nejnovějšími jazykovými modely. Bezpečnostní testovací společnost Calif, která se zapojila do iniciativy OpenAI „Patch the Planet“, objevila jednu z chyb pomocí modelu GPT-5.6 Sol[1]. Souběžně pracoval tým firmy Wiz, který k nalezení zranitelností v PHP nasadil bezpečnostního AI agenta Wiz Atlas a modely Gemini 4 Argon a GPT-5.6 Sol[2].

Společnosti OpenAI a Wiz postupovaly podle zásad zodpovědného hlášení zranitelností a před zveřejněním detailů spolupracovaly přímo s vývojáři PHP na přípravě záplat[8]. Společnost Wiz v souvislosti s řešením poděkovala partnerům jako Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft a Vercel[9]. Podle OpenAI nebyly před zveřejněním hlášeny žádné případy zneužití zranitelností v reálném provozu[10].

Analýza ukázala mimořádnou hloubku problému. Chyby byly přítomny ve všech verzích PHP již od verze 5, jež vyšla v roce 2004[11]. Firma Wiz poukázala na to, že tyto dvě kritické chyby mají potenciál ohrozit servery používající PHP 5.4 a vyšší[12].

Masivní dopad na webovou infrastrukturu

Rozsah ohrožení plyne z klíčové role PHP v moderním internetu. Programovací jazyk PHP pohání přibližně 70 % webových stránek na internetu, což podle některých odhadů představuje přes 33 milionů webů[13]. PHP zároveň tvoří základ populárních redakčních systémů, jako je WordPress[14]. Odborníci podle agentury DPA odhadují, že samotný WordPress celosvětově pohání 400 až 500 milionů stránek[15].

WordPress v reakci na situaci vydal prohlášení, v němž zdůraznil, že se zranitelnost netýká specificky samotného redakčního systému[16]. Samotná podstata chyb je však velmi vážná. Odhalené bezpečnostní díry umožňují útočníkům proniknout do souborového systému serveru nebo do databáze využívané webovou aplikací[17]. Podle varování českého NÚKIB mohou chyby útočníkovi umožnit na dálku spustit vlastní kód na serveru bez jakéhokoli předchozího přihlášení[18].

Firma Wiz navíc varovala před novým rizikem plynoucím z pokroku technologií: velké jazykové modely mohou pomoci útočníkům adaptovat exploit pro různé verze PHP, konfigurace i rozvržení paměti[19].

Mezinárodní poplach i reakce v Česku

Na zranitelnosti promptně reagovaly vládní a bezpečnostní složky po celém světě. Americká Národní bezpečnostní agentura (NSA) varovala před dvěma kritickými chybami v PHP, pro něž PHP Foundation vydala opravy[20]. Podle BBC se úřady v některých zemích rozhodly dočasně znepřístupnit své weby, aby nezůstaly veřejně přístupné v neopravených verzích[21]. K preventivnímu odstavení stránek přikročily vládní úřady v Německu, Francii, Nizozemsku a Finsku[6].

Podobný krok zvolily i tuzemské instituce. Úřad vlády České republiky zahájil preventivní odstávku svého webu ve středu 21. října 2026 v 19:00[7]. NÚKIB o svém doporučení okamžitě aktualizovat PHP informoval veřejnost na sociální síti X[22]. Český kybernetický úřad zároveň upozornil, že indikátorem kompromitace mohou být neobvyklé procesy spouštěné službami PHP, které signalizují pokus o zneužití chyby[23].

Chyby jsou již plně odstraněny ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35[24]. Hlavním doporučením zůstává aktualizovat webový server na aktuální verzi PHP 8.5.12[25]. Komplikace však hrozí provozovatelům zastaralých instalací, jelikož verze PHP 8.1 a starší již nejsou oficiálně podporovány[26].