Dve kritické chyby v PHP ohrozili weby po celom svete

Dve kritické bezpečnostné chyby v PHP môžu útočníkom umožniť vzdialene spustiť škodlivý kód na webovom serveri bez potreby prihlásenia. Zraniteľnosti s hodnotením CVSS 9,2 z 10 sa týkajú jednej z najpoužívanejších technológií na prevádzku webových stránok a aplikácií. Vývojári PHP preto 21. októbra 2026 vydali mimoriadne bezpečnostné aktualizácie. Organizácie by ich mali nasadiť čo najskôr a zároveň preveriť, či už ich systémy neboli napadnuté.

PHP tvorí technologický základ mnohých firemných webov, e-shopov, zákazníckych portálov a interných aplikácií. Používajú ho aj rozšírené redakčné systémy ako WordPress, Drupal či Joomla. Bezpečnostná chyba priamo v PHP preto predstavuje osobitne vážne riziko. Môže totiž zasiahnuť aj aplikácie, ktorých vlastný zdrojový kód neobsahuje známu zraniteľnosť.

Najnovší bezpečnostný problém sa týka dvoch zraniteľností označených ako CVE-2026-109618 a CVE-2026-109619. Obe súvisia s nesprávnou správou pamäte pri spracovaní požiadaviek a za určitých podmienok umožňujú vzdialené spustenie kódu (Remote Code Execution – RCE).

Úspešný útok môže viesť k neoprávnenému prístupu k serveru, manipulácii so súbormi aplikácie alebo získaniu citlivých údajov. Konkrétny rozsah škôd závisí aj od oprávnení procesu PHP a zabezpečenia zvyšku infraštruktúry.

Ako fungujú dve kritické zraniteľnosti PHP?

Hoci obe chyby môžu viesť k podobnému výsledku, ich technické príčiny sa líšia. Spoločným menovateľom je nesprávna práca s pamäťou a interným stavom PHP pri spracovaní webových požiadaviek.

CVE-2026-109618: Chyba pri nedostatku pamäte

Prvá zraniteľnosť súvisí so situáciou, keď PHP počas spracovania požiadavky narazí na nedostatok dostupnej pamäte (Out of Memory – OOM).

PHP používa mechanizmus, ktorý umožňuje v takom prípade prerušiť aktuálne spracovanie. Niektoré interné operácie však nemusia správne zohľadňovať takéto náhle ukončenie. Výsledkom môže byť pamäť ponechaná v neinicializovanom alebo nekonzistentnom stave.

Pri následnom čistení môže PHP s touto pamäťou nesprávne pracovať. Útočník, ktorý dokáže cielene vyvolať potrebné podmienky, môže túto chybu zneužiť na narušenie pamäte procesu a za určitých okolností dosiahnuť vzdialené spustenie kódu.

CVE-2026-109619: Prístup k už uvoľnenej pamäti

Druhá zraniteľnosť sa týka interných globálnych údajov PHP, ktoré môžu počas spracovania požiadavky dočasne odkazovať na pamäť používanú konkrétnou požiadavkou.

Ak sa tieto odkazy správne neodstránia, môžu zostať zachované aj po uvoľnení príslušnej pamäte. Pri spracovaní ďalšej požiadavky tak môže PHP pristupovať k pamäti, ktorá už nie je platná.

Ide o typ zraniteľnosti známy ako Use-After-Free. Jej úspešné zneužitie môže narušiť fungovanie procesu a za určitých podmienok umožniť vykonanie útočníkovho kódu.

Obe zraniteľnosti získali hodnotenie CVSS v4.0 na úrovni 9,2, čo predstavuje kritickú závažnosť. Ich praktická zneužiteľnosť závisí od konkrétnej konfigurácie a podmienok, no potenciálne následky sú natoľko vážne, že vývojári PHP odporúčajú okamžitú aktualizáciu.

Ktoré weby a servery sú ohrozené?

Riziko sa netýka iba konkrétneho redakčného systému alebo frameworku. Zraniteľnosť sa nachádza v samotnom PHP, preto môžu byť ohrozené rôzne webové aplikácie bez ohľadu na to, či ide o verejný web, e-shop, zákaznícky portál alebo interný informačný systém.

Medzi dotknuté prostredia patria inštalácie PHP spracúvajúce webové požiadavky, vrátane PHP-FPM, Apache s modulom mod_php, php-cgi, FrankenPHP a LiteSpeed.

To však neznamená, že každá inštalácia je rovnako ľahko napadnuteľná. Rozhodujúca je konkrétna verzia PHP, konfigurácia servera a možnosť vyvolať podmienky potrebné na zneužitie chyby.

Ktoré verzie PHP obsahujú bezpečnostné opravy?

Vývojári vydali 21. októbra 2026 tieto opravené verzie:

Organizácie používajúce staršie, už nepodporované verzie PHP by mali zvážiť prechod na podporovanú vetvu. Niektorí distribútori síce poskytujú bezpečnostné opravy aj pre staršie verzie, no ich dostupnosť je potrebné overiť u konkrétneho dodávateľa.

Dôležité je tiež preveriť produkty, ktoré PHP používajú ako súčasť vlastného softvéru. Môže ísť napríklad o administračné rozhrania, sieťové zariadenia alebo ďalšie systémy, pri ktorých sa bezpečnostné opravy inštalujú prostredníctvom aktualizácie od výrobcu.

Objavili sa už pokusy o zneužitie?

Novozélandské Národné centrum kybernetickej bezpečnosti (NCSC) vo svojom upozornení z 22. októbra 2026 uvádza, že eviduje správy o aktívnom zneužívaní zraniteľností.

Bezpečnostní výskumníci zároveň demonštrovali možnosti ich zneužitia na vzdialené spustenie kódu. Verejne dostupné informácie však zatiaľ neumožňujú spoľahlivo určiť celkový rozsah úspešných kompromitácií.

Pre organizácie je preto dôležité nepovažovať problém za čisto teoretickú hrozbu. Dostupnosť technických informácií o zraniteľnostiach môže útočníkom uľahčiť prípravu ďalších útokov, pričom nezabezpečené servery zostávajú potenciálnym cieľom.

Práve preto nestačí iba sledovať bezpečnostné upozornenia. Rozhodujúca je rýchlosť, s akou organizácia dokáže identifikovať zraniteľné systémy, nasadiť opravy a preveriť možné následky útoku.

Čo by mali firmy urobiť okamžite?

Najvyššou prioritou je aktualizácia PHP. Vývojári upozorňujú, že pre tieto zraniteľnosti neexistujú úplné náhradné opatrenia, ktoré by spoľahlivo odstránili riziko bez nasadenia opravy.

Zodpovedné IT a bezpečnostné tímy by mali postupovať v niekoľkých krokoch.

Identifikovať všetky systémy využívajúce PHP. Kontrola by mala zahŕňať verejné webové stránky, e-shopy, interné aplikácie, administračné rozhrania, testovacie prostredia aj produkty prevádzkované externými dodávateľmi. Pozornosť si zaslúžia najmä staršie aplikácie, ktoré nemusia byť súčasťou pravidelného procesu aktualizácií.

Bezodkladne nasadiť bezpečnostné opravy. PHP je potrebné aktualizovať na opravenú verziu alebo na distribučný balík obsahujúci príslušnú opravu. Následne treba overiť, že sa aktualizovaná verzia skutočne používa. V závislosti od prostredia môže byť potrebné reštartovať PHP procesy alebo súvisiace služby.

Preveriť možné známky kompromitácie. Osobitnú pozornosť si zaslúžia neobvyklé HTTP požiadavky, opakované chyby súvisiace s nedostatkom pamäte, neočakávané pády PHP procesov, podozrivé zmeny súborov a neznáme procesy spustené na serveri. Tieto udalosti samy osebe nepotvrdzujú útok, môžu však predstavovať dôvod na podrobnejšiu analýzu.

Overiť bezpečnosť súvisiacej infraštruktúry. Aj po odstránení konkrétnej zraniteľnosti môžu v prostredí zostať ďalšie slabiny. Ide napríklad o nesprávne nastavené prístupové oprávnenia, zraniteľné komponenty aplikácie, nedostatočne chránené rozhrania API alebo chyby v konfigurácii servera.

Ak existuje podozrenie, že útočník už zraniteľnosť úspešne zneužil, organizácia by mala postupovať podľa svojho procesu riešenia bezpečnostných incidentov.

Aktualizácia PHP je prvý krok. Čo ďalej?

Nasadením bezpečnostných opráv sa odstránia známe zraniteľnosti, no tým sa kontrola bezpečnosti nekončí. Ak útočník stihol chybu zneužiť ešte pred aktualizáciou, mohol získať prístup k serveru, upraviť súbory alebo vytvoriť mechanizmus na opätovný prístup. V takom prípade je potrebné preveriť rozsah kompromitácie a odstrániť jej následky.

Samostatnou otázkou zostáva celková odolnosť webovej aplikácie. Aj po aktualizácii PHP môžu útočníci využiť slabiny autentifikácie, nedostatočne zabezpečené API, nesprávnu konfiguráciu servera alebo zraniteľnosti ďalších komponentov.

Práve tieto riziká pomáha odhaliť penetračné testovanie. Bezpečnostní špecialisti pri ňom preverujú aplikácie a infraštruktúru z pohľadu reálneho útočníka, overujú zneužiteľnosť identifikovaných slabín a vyhodnocujú ich možný dopad na organizáciu.

Kritické chyby v PHP sú ďalšou pripomienkou, že bezpečnosť nezávisí od jedinej aktualizácie. Vyžaduje si priebežnú kontrolu používaných technológií, včasné odstraňovanie zraniteľností a pravidelné overovanie účinnosti bezpečnostných opatrení.