NÚKIB 21. října upozornil na dvě kritické chyby PHP a doporučil neodkládat aktualizaci. PHP běží na serveru a používá jej řada webů a aplikací. Pro majitele malého webu je nyní podstatné získat od správce nebo hostingu potvrzení, zda je opravena právě jeho služba.
Upozornění NÚKIB se týká zranitelností CVE-2026-109618 a CVE-2026-109619. Mohou umožnit spuštění cizího kódu na serveru bez přihlášení útočníka. Opravy byly vydány; nejde tedy už pouze o ohlášení připravované aktualizace.
Které opravy už jsou dostupné
Bezpečnostní oznámení projektu PHP z 21. října uvádí tyto opravené verze pro jednotlivé větve:
| Větev PHP | Opravená verze projektu PHP |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Podrobnosti a hranice dotčených verzí zveřejňují oba původní bezpečnostní záznamy: CVE-2026-109618 a CVE-2026-109619. Upozornění zahrnuje různé způsoby provozu webového PHP, například Apache s mod_php a PHP-FPM. Konkrétní možnosti zneužití závisí na prostředí; samotný název používaného webového serveru není potvrzením bezpečnosti.
U balíčků linuxové distribuce nebo dlouhodobé podpory může dodavatel opravu přenést do své verze jako takzvaný backport. Pak potřebujete přesnou revizi balíčku a odkaz na potvrzení dodavatele pro obě CVE. Totéž je nutné samostatně ověřit u starších větví.
Čtyři otázky pro hosting
- Používá naše konkrétní doména PHP a které běžící prostředí ji skutečně obsluhuje?
- Je v něm oprava obou uvedených CVE? Jaká verze nebo dodavatelská revize to dokládá?
- Byly do opraveného stavu převedeny také běžící pracovní procesy a všechny související instance?
- Proběhla kontrola funkčnosti webu a kontrola relevantních záznamů na případné známky zneužití?
Výpis php -v v terminálu může patřit jinému PHP než veřejně dostupný web. Podobně samotné stažení nového obrazu kontejneru nedokládá, že na něm služba už běží. Požadujte proto potvrzení vztahující se k doméně a živým procesům. Instalace opravy zároveň sama neprokazuje, že před ní nedošlo k napadení.
