Dvě kritické bezpečnostní chyby v PHP umožňují vzdálené spuštění kódu. Pokud provozujete webové stránky, e-shop nebo jinou aplikaci založenou na PHP, je nezbytné co nejdříve aktualizovat server a zkontrolovat nastavení.
Co se stalo a proč je to důležité?
V PHP byly objeveny dvě závažné chyby (CVE-2026–109618 a CVE-2026–109619), které umožňují útočníkovi spustit kód na serveru bez jeho vědomí. Tyto chyby se týkají verzí PHP 5, 7 a 8. Zranitelnost byla již předvedena pomocí nástroje PHP2Shell a ohrožuje populární systémy jako WordPress (verze 7.1.3), MediaWiki (verze 1.46.2), phpBB (verze 3.3.17), Magento (verze 2.4.9), Joomla (verze 6.2.0), Laravel (verze 13.36.0 a 8.83.29), Symfony (verze 8.1.9) a Drupal (verze 11.4.10). Pokud provozujete web, e-shop nebo jinou aplikaci založenou na PHP, je to pro vás potenciální problém. I když používáte aktuální verze systémů, samotný PHP server může být zranitelný a umožnit útočníkovi získat kontrolu nad vaším webem.
Jaké jsou technické detaily?
První chyba (CVE-2026–109618) vzniká při nedostatku paměti, kdy může být přerušeno zpracování požadavku a neplatná data považována za platná. Druhá chyba (CVE-2026–109619) umožňuje útočníkovi využít zastaralý stav požadavku i po uvolnění paměti, což může vést ke spuštění škodlivého kódu. Bezpečnostní tým PHP vydal minimální záplaty pro PHP 7.4, 8.0 a 8.1, aby pomohl uživatelům, kteří kompilují ze zdrojového kódu nebo nemají přístup k poskytovateli LTS. Cloudflare již zaznamenala pokusy o zneužití těchto chyb a zavedla dočasná ochranná pravidla.
Co s tím udělat
Zde je několik kroků, které byste měli podniknout:
- Zjistěte verzi PHP: Zjistěte, jakou verzi PHP používáte na vašem serveru.
- Aktualizujte PHP: Aktualizujte PHP na verzi 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35. Pokud to není možné, obraťte se na svého poskytovatele hostingu nebo zvažte přechod na podporovanou verzi.
- Zkontrolujte nastavení: Zkontrolujte konfiguraci PHP (php.ini) a ujistěte se, že jsou správně nastavena omezení paměti (memory_limit=-1) a velikosti nahrávaných souborů (post_max_size).
- Zmapujte instalace PHP: Zjistěte, kde všude na vašich serverech běží PHP – nejen na webových serverech, ale i v dodávaných aplikacích a systémech třetích stran.
- Monitorujte logy: Sledujte systémové a webové logy pro neobvyklou aktivitu procesů PHP.
Co když nemohu aktualizovat?
Pokud není možná okamžitá aktualizace, zvažte následující opatření:
- Omezte dostupnost: Dočasně omezte přístup k serveru z internetu.
- Použijte firewall: Použijte webový firewall nebo VPN pro dodatečnou ochranu.
- Nastavte limity: Nastavte limity velikosti požadavků a počtu hlaviček na úrovni webového serveru.
Zdroj: Root.cz – Vážné chyby v PHP umožňují vzdálené spuštění kódu, aktualizace byly vydány (21. 10. 2026)
Článek vychází z uvedeného zdroje.