Kritické chyby PHP z října 2026: co ověřit u firemního webu

Říjnové bezpečnostní aktualizace PHP řeší dvě kritické chyby, které za určitých podmínek umožňují spustit cizí kód na serveru bez přihlášení. Pro provozovatele firemních webů je důležité ověřit skutečně používanou verzi PHP a dostupnost opravy u hostingu. Samotná aktualizace WordPressu tuto práci nenahradí.

Projekt PHP zveřejnil 21. října 2026 upozornění na CVE-2026-109618 a CVE-2026-109619. První chyba souvisí s obsluhou vyčerpání paměti: při přerušení operace mohou zůstat vnitřní data v neplatném stavu. Druhá se týká interního stavu, který může přetrvat mezi požadavky, přestože paměť předchozího požadavku již byla uvolněna.

Nejde tedy o chybu jednoho pluginu nebo konkrétního redakčního systému. Problém je přímo v běhovém prostředí PHP. Úspěšný útok může získat oprávnění procesu obsluhujícího web; neznamená automaticky administrátorská oprávnění celého serveru, ale ohrožení webových dat a přístupových údajů může být závažné.

Ne. Tyto říjnové chyby nelze zaměňovat se staršími zprávami o PHP-CGI na Windows. Oficiální upozornění zahrnuje instalace obsluhující webové požadavky, například Apache s mod_php, PHP-FPM, php-cgi, FrankenPHP a LiteSpeed. Přesná zneužitelnost závisí na konfiguraci, aplikaci i rozšířeních; Linux s PHP-FPM proto nelze automaticky označit za bezpečný.

PHP označuje riziko za nejvyšší u mod_php, kde byl předveden útok ještě před spuštěním aplikačního kódu. PHP Foundation uvádí také potvrzené cesty ke spuštění kódu přes PHP-FPM navázané na aplikaci. Technické advisory rozlišují jednotlivé ověřené scénáře a omezení; ne všechny kombinace jsou stejně snadno napadnutelné.

Bezpečnostní vydání z 21. října 2026 jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. U příslušných řad jde o hranice vydání s opravami obou uvedených chyb. Starší neopravené sestavení je potřeba řešit. Při aktualizaci vybírejte aktuální podporované vydání doporučené dodavatelem, nikoli bez rozmyslu starší balíček jen podle tohoto seznamu.

Linuxové distribuce a poskytovatelé dlouhodobé podpory mohou opravu přenést do balíčku se starším základním číslem verze. Rozhodující je jejich bezpečnostní oznámení a konkrétní sestavení. PHP 8.1 a starší již od samotného projektu pravidelné aktualizace nedostávají; mimořádně dostupné minimální zdrojové opravy nejsou obnovením běžné podpory. PHP 8.2 navíc podle projektu končí s podporou 31. prosince 2026.

1. Zjistěte skutečné prostředí webu. V administraci hostingu nebo u správce ověřte verzi a sestavení PHP, způsob jeho spuštění a všechny používané domény. Verze příkazové řádky se může lišit od té, která obsluhuje návštěvníky.
2. Vyžádejte potvrzení opravy. Ptejte se výslovně na obě CVE a na balíček, který dodavatel nasadil. Aktualizace aplikace, certifikátu nebo antiviru sama nepotvrzuje aktualizaci PHP.
3. Připravte zálohu a ověřte kompatibilitu. Zkontrolujte obnovitelnost souborů i databáze. Na testovací kopii vyzkoušejte přihlášení, formuláře, e-mail, nahrávání souborů a případné objednávky.
4. Nasaďte opravu a obnovte běžící procesy. Se správcem ověřte, že se restartovaly příslušné služby či workery a web už skutečně používá opravené sestavení. U kontejnerů nezapomeňte na znovunasazení aktualizovaného obrazu.
5. Zkontrolujte provoz a záznamy. Sledujte chyby, neobvyklé změny souborů a přístupy. Nepřítomnost podezřelého záznamu není důkazem, že k incidentu nedošlo; případné podezření řešte odděleně od samotné aktualizace.

PHP výslovně uvádí, že konfigurační opatření pokrývají jen některé cesty útoku. Nastavení limitů paměti nebo zpracování požadavků proto nepřebírejte z diskuse bez znalosti prostředí: nevhodná změna může způsobit výpadek. Správce má vycházet z oficiálních advisory a zároveň připravit aktualizaci.

Upozornění PHP z 23. října navíc doporučuje prověřit session upload progress v souvislosti s CVE-2026-115560. Dne 26. října vyšly také nové Windows balíčky s příponou „-1“ kvůli samostatné chybě Brotli, CVE-2026-111497. Jde o další témata, nikoli o nové názvy dvou hlavních chyb; při výběru balíčku je vhodné zohlednit i tato následná oznámení.

Nizozemské NCSC v aktualizaci z 23. října uvedlo, že zneužití je složité a jeden hlášený možný útok nebyl potvrzen jako úspěšný. To je datované vyjádření, nikoli záruka současné situace. Předvedené technické zneužití, plošné útoky a napadení konkrétního webu jsou různé věci. Opravy přesto není vhodné odkládat.

Nejste si jistí, kdo PHP vašeho webu spravuje? Ozvěte se LMit. Společně projdeme prostředí, odpovědnosti a plán aktualizace. Tento článek neposuzuje zranitelnost žádného konkrétního webu.