Kritické bezpečnostní zranitelnosti v PHP: CVE-2026-109618 a CVE-2026-109619
Bezpečnostní upozornění pro vývojáře a provozovatele webových stránek:
PHP tým oznámil dvě kritické bezpečnostní zranitelnosti, které mohou představovat vážné riziko pro webové aplikace a servery.
Obě zranitelnosti mají hodnocení CVSS 9,2 z 10.
Bezpečnostní aktualizace je plánována na 21. října 2026.
EDIT: Aktualizace jsou vydány, zkontrolujte si jejich nasazení
Jaké bezpečnostní chyby byly objeveny?
Nové zranitelnosti jsou evidovány pod označeními:
- CVE-2026-109618 – detail zranitelnosti
- CVE-2026-109619 – detail zranitelnosti
Podle dostupných informací mohou chyby umožnit takzvané vzdálené spuštění kódu (Remote Code Execution, RCE). Útočník by tak za určitých podmínek mohl spustit škodlivý kód na zranitelném serveru, což může vést například ke kompromitaci webu, úniku dat nebo narušení provozu aplikace.
V době zveřejnění předběžného upozornění nebyly kompletní technické podrobnosti ani přesný seznam opravených verzí PHP oficiálně publikovány.
Koho se zranitelnosti týkají?
PHP je široce používaný programovací jazyk, který stojí za velkým množstvím webových stránek a aplikací. Zvýšenou pozornost by měli věnovat zejména:
- provozovatelé webových stránek a e-shopů
- správci serverů a webhostingu
- vývojáři PHP aplikací
- správci redakčních systémů, jako jsou WordPress, Drupal a Joomla
Bezpečnostní upozornění CERT-EU navíc uvádí, že potenciálně zasaženy mohou být verze PHP od řady PHP 5 výše. Přesný rozsah je nutné ověřit podle oficiálního oznámení a následně vydaných oprav.
Jak se chránit před zneužitím PHP zranitelností?
Doporučujeme následující kroky:
- Zkontrolujte verzi PHP používanou na serveru a ve všech provozovaných aplikacích.
- Sledujte oficiální bezpečnostní oznámení PHP a nainstalujte odpovídající bezpečnostní aktualizace ihned po jejich vydání.
- Prověřte zabezpečení serveru, přístupová oprávnění, logy a případné podezřelé aktivity.
- Pokud není možné zranitelnost včas opravit, zvažte dočasné omezení veřejné dostupnosti ohrožené aplikace podle doporučení bezpečnostních specialistů.
Samotná aktualizace WordPressu nebo jiného redakčního systému nemusí aktualizovat PHP na serveru. Je proto důležité ověřit také verzi samotného běhového prostředí PHP.
Kritické zranitelnosti PHP představují důvod k okamžité kontrole infrastruktury a přípravě na aktualizaci. Včasné nasazení bezpečnostních oprav je jedním ze základních kroků, jak snížit riziko kybernetického útoku a ochránit webové stránky i zákaznická data.
Kde najít oficiální informace?
Aktuální informace o zranitelnostech a dostupných opravách najdete v těchto zdrojích:
Odkazy:
https://www.php.net/archive/2026.php
https://cert.europa.eu/publications/security-advisories/2026-018