Vývojári PHP vydali bezpečnostné aktualizácie, ktoré opravujú dve kritické zraniteľnosti umožňujúce vzdialené spustenie škodlivého kódu bez prihlásenia. Obe chyby získali vysoké hodnotenie závažnosti 9,2 z 10, čo znamená, že prevádzkovatelia webov a serverov by preto mali konať čo najskôr.
Na prichádzajúci bezpečnostný balík upozornila PHP Foundation už 20. októbra 2026. Zverejnenie opráv pôvodne naplánovala na nasledujúci deň o 14.00 , pričom varovala, že v prípade úniku podrobností či dôkazov o aktívnom zneužívaní zasiahne skôr. Aktualizácie napokon vyšli 21. októbra. V medzidobí však na verejnosť unikli technické detaily aj prvé ukážky zneužitia chýb, čo výrazne zvýšilo riziko kybernetických útokov. Bezpečnostná organizácia CERT-EU preto nalieha na správcov serverov, aby záplaty nainštalovali bezodkladne – ohrozené sú totiž nielen bežné webové stránky, ale aj e-shopy a ďalšie aplikácie bežiace na zraniteľných verziách PHP.
Dve kritické zraniteľnosti umožňujú útok bez prihlásenia
Prvá chyba, označená ako CVE-2026-109618, súvisí so spracovaním nedostatku pamäte, kedy pri určitých okolnostiach môže PHP nesprávne pracovať s internými údajmi požiadavky, čo vedie k poškodeniu pamäte. Útočník môže túto situáciu zneužiť na spustenie vlastného kódu.
Druhá zraniteľnosť, CVE-2026-109619, súvisí s nesprávnym spravovaním interného stavu medzi požiadavkami. Údaje patriace predchádzajúcej požiadavke môžu zostať zachované aj po uvoľnení pamäte, pričom následná požiadavka ich potom môže použiť skôr, než dôjde k správnej inicializácii.
Obe chyby majú podľa zverejnených informácií hodnotenie CVSS v4.0 na úrovni 9,2 z 10. Úspešný útok môže umožniť vzdialené spustenie škodlivého kódu bez autentifikácie. Ohrozené sú rôzne konfigurácie vrátane PHP-FPM, Apache s modulom mod_php, php-cgi, FrankenPHP a LiteSpeed.
Aktualizácie sú dostupné. Čo by mali správcovia urobiť?
Na vydané bezpečnostné záplaty pre verzie PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 by mali správcovia systémov zareagovať bezodkladnou aktualizáciou a následným overením, že oprava bola na serveroch skutočne úspešne nasadená. V prípade balíkov spravovaných prostredníctvom linuxových distribúcií je zároveň nevyhnutné aktívne sledovať bezpečnostné oznámenia konkrétneho dodávateľa.
Osobitnú pozornosť si zaslúžia staršie vetvy PHP 8.1 a nižšie, ktoré už nemusia dostávať oficiálne opravy od projektu PHP. Niektorí dodávatelia dlhodobej podpory však môžu poskytovať vlastné opravené balíky.
PHP Foundation pôvodne upozornila aj na to, že repozitár Remi, dostupný na adrese rpms.remirepo.net, nebude mať aktualizácie pripravené v deň vydania. Používateľom preto odporučila prejsť na balíky distribúcie alebo si zostaviť PHP zo zdrojového kódu. Neskôr však nasledovala aktualizácia: Remi napokon dokázal pripraviť a začal podpisovať balíky ešte v ten istý deň.
Ak organizácia nedokáže zraniteľnosť okamžite odstrániť, mala by zvážiť dočasné odpojenie dotknutých služieb od verejného internetu. Konfiguračné obmedzenia môžu znížiť riziko, no nenahrádzajú bezpečnostnú aktualizáciu.
Pre prevádzkovateľov webov je preto najdôležitejšie skontrolovať používanú verziu PHP, dostupnosť opráv a prípadné podozrivé aktivity na serveroch. Pri kritických zraniteľnostiach tohto rozsahu môže odklad aktualizácie zbytočne zvýšiť riziko úspešného útoku.
