Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) 21. října 2026 doporučil provozovatelům webů a služeb využívajících programovací jazyk PHP okamžitou aktualizaci. Důvodem jsou dvě kritické zranitelnosti, souhrnně označované php2shell, které umožňují útočníkovi na dálku spustit vlastní kód na serveru bez přihlášení. Opravy a informace potřebné ke zneužití chyb jsou veřejně dostupné. Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12.[1][2][3]
Vývojáři o chybách informovali 20. října 2026 a poté se objevily zprávy o pokusech je zneužít. Podle Lupa.cz je odhalila bezpečnostní firma Wiz a chyby byly v kódu skryty déle než deset let.[1][3]
Úřad vlády ČR svůj web 21. října 2026 v 19:00 dočasně preventivně odstavil, aby mohly být provedeny bezpečnostní opravy. Některé své weby, například hydro.chmi.cz, dočasně vyřadil z provozu také Český hydrometeorologický ústav. Podle agentury Reuters předtím obdobně postupovaly vládní úřady v Německu, Francii, Nizozemsku a Finsku.[1][2][3]