PHP pod tlakem: Dvě kritické chyby vyžadovaly okamžitou aktualizaci

Dvě kritické chyby v PHP mohly za určitých podmínek umožnit útočníkovi spustit vlastní kód na serveru bez přihlášení. Vývojáři PHP vydali opravené verze 21. října 2026. Co zranitelnosti znamenají, které verze je opravují a jak postupovat, pokud PHP spravujete sami?

Chyby byly v samotném PHP

PHP zpracovává požadavky webových aplikací na serveru. Používají ho například redakční systémy a e-shopy, ale samotná aktualizace WordPressu nebo jeho pluginů chybu v interpretu PHP neopraví. Aktualizovat je potřeba právě PHP v prostředí, kde aplikace běží.

Zranitelnosti dostaly označení CVE-2026-109618 a CVE-2026-109619. Obě mají hodnocení 9,2 z 10 podle CVSS verze 4.0 a za určitých podmínek umožňují vzdálené spuštění kódu bez ověření uživatele.

První souvisí s chybou při zpracování nedostatku paměti, druhá s vnitřním stavem požadavků, který mohl zůstat zachovaný i po uvolnění paměti. Podrobnosti zveřejnily PHP Foundation a CERT-EU.

Riziko se týkalo PHP obsluhujícího webové požadavky. Nezáleželo tedy jen na tom, zda web používá konkrétní CMS. Zranitelný mohl být i jiný web nebo aplikace běžící na neopravené verzi PHP.

Které verze PHP obsahují opravu

Bezpečnostní opravy vyšly pro čtyři podporované větve PHP. Každý web by měl dostat opravené vydání odpovídající větvi, kterou používá: 

•     PHP 8.5.12 opravuje chyby ve větvi PHP 8.5.
•     PHP 8.4.27 obsahuje opravy pro větev PHP 8.4.
•     PHP 8.3.36 je opravené vydání pro větev PHP 8.3.
•     PHP 8.2.35 řeší zranitelnosti ve větvi PHP 8.2.

Opravené verze vyšly 21. října. Vývojáři PHP doporučili instalovat aktualizaci co nejdříve a upozornili, že úplnou ochranu před těmito zranitelnostmi poskytuje pouze přechod na opravené vydání. V oficiálním archivu PHP najdete oznámení k jednotlivým verzím i odkazy na bezpečnostní doporučení. 

Používáte PHP 8.1 nebo starší? Tyto verze už nejsou v bezpečnostní podpoře projektu PHP, a nemusí proto dostat oficiální opravu. Někteří dodavatelé operačních systémů mohou opravu zpětně doplnit do svých balíčků. Dostupnost si ověřte u svého dodavatele.

Před změnou otestujte, zda je s ní váš web nebo aplikace kompatibilní. Aktuální informace o životním cyklu jednotlivých větví najdete na stránce podpory PHP.

Kdo má aktualizaci provést

Postup závisí na typu služby a na tom, kdo spravuje server. Před aktualizací si proto ověřte, kde PHP běží a zda jeho správu zajišťujete sami, nebo ji máte u poskytovatele:

• Sdílený webhosting – aktualizaci PHP obvykle zajišťuje poskytovatel hostingu. Zákazník si může ověřit, které verze PHP služba používá a zda už byla oprava nasazena.
• Managed server – pokud správu serveru zajišťuje poskytovatel, ověřte si, že aktualizaci dokončil.
• VPS bez správy poskytovatele – aktualizaci musí provést správce serveru. Je potřeba nainstalovat opravené balíčky dostupné pro používanou distribuci a zkontrolovat, že aplikace skutečně běží na opravené verzi PHP.

Pokud spravujete vlastní server, nestačí zjistit, jakou verzi PHP nabízí příkazový řádek. Web může používat jinou konfiguraci nebo jiný PHP proces. Ověřte verzi přímo v prostředí, které obsluhuje webové požadavky, a následně zkontrolujte, že aktualizace proběhla i na všech dalších instancích a serverech.

PHP následně upozornilo také na další rizikovou konfiguraci

Dne 23. října projekt PHP zveřejnil ještě upozornění na CVE-2026-115560. Podle PHP se problém týká neobvyklé kombinace nastavení a kódu aplikace. Jako dočasné opatření doporučil vypnout session.upload_progress.enabled, pokud už aplikace toto nastavení nevypnula v rámci předchozích doporučení.

PHP plánuje úplné technické podrobnosti zveřejnit s dalším vydáním. Správci by proto měli sledovat aktuální bezpečnostní oznámení projektu PHP.

Jak aktualizace proběhla u služeb ZONERu

Rozdíl mezi správou poskytovatelem a správou zákazníkem ukazuje také postup ZONERu. Sdílený webhosting nabízí pod značkou CZECHIA.COM, cloudové a serverové služby pod značkou ZonerCloud. 

U služeb, kde správu PHP zajišťuje ZONER, společnost oznámila nasazení oprav pro PHP 8.2 a novější na webhostingu i na spravovaných serverech. Zákazníci s VPS bez správy poskytovatele musí opravu instalovat sami.

Podrobnosti uvádějí oznámení na stránkách CZECHIA.COM a ZonerCloudu. Obecně platí, že i po nasazení opravy je potřeba ověřit, zda web skutečně používá opravenou verzi PHP a zda se aktualizace týká všech serverů a procesů, které obsluhují webové požadavky.