Dvě kritické chyby v PHP ohrozily weby po celém světě

Dvě kritické bezpečnostní chyby v PHP mohou útočníkům umožnit vzdáleně spustit škodlivý kód na webovém serveru bez nutnosti přihlášení. Zranitelnosti s hodnocením CVSS 9,2 z 10 se týkají jedné z nejpoužívanějších technologií pro provoz webových stránek a aplikací. Vývojáři PHP proto 21. října 2026 vydali mimořádné bezpečnostní aktualizace. Organizace by je měly nasadit co nejdříve a zároveň prověřit, zda již jejich systémy nebyly napadeny.

PHP tvoří technologický základ mnoha firemních webů, e-shopů, zákaznických portálů a interních aplikací. Využívají jej také rozšířené redakční systémy jako WordPress, Drupal či Joomla. Bezpečnostní chyba přímo v PHP proto představuje obzvlášť závažné riziko. Může totiž zasáhnout i aplikace, jejichž vlastní zdrojový kód neobsahuje známou zranitelnost.

Nejnovější bezpečnostní problém se týká dvou zranitelností označených jako CVE-2026-109618 a CVE-2026-109619. Obě souvisejí s nesprávnou správou paměti při zpracování požadavků a za určitých podmínek umožňují vzdálené spuštění kódu (Remote Code Execution – RCE).

Úspěšný útok může vést k neoprávněnému přístupu k serveru, manipulaci se soubory aplikace nebo získání citlivých údajů. Konkrétní rozsah škod závisí také na oprávněních procesu PHP a zabezpečení zbývající infrastruktury.

Jak fungují dvě kritické zranitelnosti PHP?

Přestože obě chyby mohou vést k podobnému výsledku, jejich technické příčiny se liší. Společným jmenovatelem je nesprávná práce s pamětí a interním stavem PHP při zpracování webových požadavků.

CVE-2026-109618: Chyba při nedostatku paměti

První zranitelnost souvisí se situací, kdy PHP během zpracování požadavku narazí na nedostatek dostupné paměti (Out of Memory – OOM).

PHP používá mechanismus, který umožňuje v takovém případě přerušit aktuální zpracování. Některé interní operace však nemusí správně zohledňovat takové náhlé ukončení. Výsledkem může být paměť ponechaná v neinicializovaném nebo nekonzistentním stavu.

Při následném čištění může PHP s touto pamětí nesprávně pracovat. Útočník, který dokáže cíleně vyvolat potřebné podmínky, může tuto chybu zneužít k narušení paměti procesu a za určitých okolností dosáhnout vzdáleného spuštění kódu.

CVE-2026-109619: Přístup k již uvolněné paměti

Druhá zranitelnost se týká interních globálních údajů PHP, které mohou během zpracování požadavku dočasně odkazovat na paměť používanou konkrétním požadavkem.

Pokud se tyto odkazy správně neodstraní, mohou zůstat zachovány i po uvolnění příslušné paměti. Při zpracování dalšího požadavku tak může PHP přistupovat k paměti, která již není platná.

Jde o typ zranitelnosti známý jako Use-After-Free. Její úspěšné zneužití může narušit fungování procesu a za určitých podmínek umožnit spuštění útočníkova kódu.

Obě zranitelnosti získaly hodnocení CVSS v4.0 na úrovni 9,2, což představuje kritickou závažnost. Jejich praktická zneužitelnost závisí na konkrétní konfiguraci a podmínkách, potenciální následky jsou však natolik vážné, že vývojáři PHP doporučují okamžitou aktualizaci.

Které weby a servery jsou ohroženy?

Riziko se netýká pouze konkrétního redakčního systému nebo frameworku. Zranitelnost se nachází v samotném PHP, proto mohou být ohroženy různé webové aplikace bez ohledu na to, zda jde o veřejný web, e-shop, zákaznický portál nebo interní informační systém.

Mezi dotčená prostředí patří instalace PHP zpracovávající webové požadavky, včetně PHP-FPM, Apache s modulem mod_php, php-cgi, FrankenPHP a LiteSpeed.

To však neznamená, že každá instalace je stejně snadno napadnutelná. Rozhodující je konkrétní verze PHP, konfigurace serveru a možnost vyvolat podmínky potřebné ke zneužití chyby.

Které verze PHP obsahují bezpečnostní opravy?

Vývojáři vydali 21. října 2026 tyto opravené verze:

Organizace používající starší, již nepodporované verze PHP by měly zvážit přechod na podporovanou větev. Někteří distributoři sice poskytují bezpečnostní opravy i pro starší verze, jejich dostupnost je však nutné ověřit u konkrétního dodavatele.

Důležité je také prověřit produkty, které PHP používají jako součást vlastního softwaru. Může jít například o administrační rozhraní, síťová zařízení nebo další systémy, u nichž se bezpečnostní opravy instalují prostřednictvím aktualizace od výrobce.

Objevily se již pokusy o zneužití?

Novozélandské Národní centrum kybernetické bezpečnosti (NCSC) ve svém upozornění z 22. října 2026 uvádí, že eviduje zprávy o aktivním zneužívání zranitelností.

Bezpečnostní výzkumníci zároveň demonstrovali možnosti jejich zneužití ke vzdálenému spuštění kódu. Veřejně dostupné informace však zatím neumožňují spolehlivě určit celkový rozsah úspěšných kompromitací.

Pro organizace je proto důležité nepovažovat problém za čistě teoretickou hrozbu. Dostupnost technických informací o zranitelnostech může útočníkům usnadnit přípravu dalších útoků, přičemž nezabezpečené servery zůstávají potenciálním cílem.

Právě proto nestačí pouze sledovat bezpečnostní upozornění. Rozhodující je rychlost, s jakou organizace dokáže identifikovat zranitelné systémy, nasadit opravy a prověřit možné následky útoku.

Co by měly firmy udělat okamžitě?

Nejvyšší prioritou je aktualizace PHP. Vývojáři upozorňují, že pro tyto zranitelnosti neexistují úplná náhradní opatření, která by spolehlivě odstranila riziko bez nasazení opravy.

Odpovědné IT a bezpečnostní týmy by měly postupovat v několika krocích.

Identifikovat všechny systémy využívající PHP. Kontrola by měla zahrnovat veřejné webové stránky, e-shopy, interní aplikace, administrační rozhraní, testovací prostředí i produkty provozované externími dodavateli. Pozornost si zaslouží zejména starší aplikace, které nemusí být součástí pravidelného procesu aktualizací.

Neprodleně nasadit bezpečnostní opravy. PHP je nutné aktualizovat na opravenou verzi nebo na distribuční balíček obsahující příslušnou opravu. Následně je třeba ověřit, že se aktualizovaná verze skutečně používá. V závislosti na prostředí může být nutné restartovat procesy PHP nebo související služby.

Prověřit možné známky kompromitace. Zvláštní pozornost si zaslouží neobvyklé HTTP požadavky, opakované chyby související s nedostatkem paměti, neočekávané pády procesů PHP, podezřelé změny souborů a neznámé procesy spuštěné na serveru. Tyto události samy o sobě nepotvrzují útok, mohou však představovat důvod k podrobnější analýze.

Ověřit bezpečnost související infrastruktury. I po odstranění konkrétní zranitelnosti mohou v prostředí zůstat další slabiny. Jde například o nesprávně nastavená přístupová oprávnění, zranitelné komponenty aplikace, nedostatečně chráněná rozhraní API nebo chyby v konfiguraci serveru.

Pokud existuje podezření, že útočník již zranitelnost úspěšně zneužil, organizace by měla postupovat podle svého procesu řešení bezpečnostních incidentů.

Aktualizace PHP je první krok. Co dál?

Nasazením bezpečnostních oprav se odstraní známé zranitelnosti, tím však kontrola bezpečnosti nekončí. Pokud útočník stihl chybu zneužít ještě před aktualizací, mohl získat přístup k serveru, upravit soubory nebo vytvořit mechanismus pro opětovný přístup. V takovém případě je nutné prověřit rozsah kompromitace a odstranit její následky.

Samostatnou otázkou zůstává celková odolnost webové aplikace. I po aktualizaci PHP mohou útočníci využít slabiny autentizace, nedostatečně zabezpečená API, nesprávnou konfiguraci serveru nebo zranitelnosti dalších komponent.

Právě tato rizika pomáhá odhalit penetrační testování. Bezpečnostní specialisté při něm prověřují aplikace a infrastrukturu z pohledu reálného útočníka, ověřují zneužitelnost identifikovaných slabin a vyhodnocují jejich možný dopad na organizaci.

Kritické chyby v PHP jsou další připomínkou, že bezpečnost nezávisí na jediné aktualizaci. Vyžaduje průběžnou kontrolu používaných technologií, včasné odstraňování zranitelností a pravidelné ověřování účinnosti bezpečnostních opatření.