Bezpečnostní tým PHP oznámil, že dnes, 21. října 2026, ve 14:00 UTC, tedy v 16:00 pražského času, vydá mimořádnou bezpečnostní aktualizaci. Opravuje dvě kritické zranitelnosti, obě se skóre 9,2 podle CVSS 4.0. Něco z podrobností začalo kolovat po internetu ještě před vydáním opravy, takže kdo má na internetu web nebo aplikaci postavenou na PHP, měl by se připravit teď a nasadit opravu hned, jak vyjde.
Co se stalo
PHP je programovací jazyk, ve kterém běží velká část webových aplikací, od redakčních systémů a e-shopů po interní nástroje. Tahle oprava se tedy netýká jedné krabice na hraně sítě, ale běhového prostředí na vašich webových serverech.
Podle oznámení na php.net z 20. října 2026 dal bezpečnostní tým vydání dopředu vědět právě proto, aby se správci mohli připravit. Zároveň si vyhradil možnost vydat opravu dřív, pokud by podrobnosti unikly nebo pokud by se objevily známky zneužívání. Technický popis chyb a seznam zasažených i opravených verzí se podle oznámení zveřejní až s vydáním.
Označení CVE-2026-109618 a CVE-2026-109619 a tvrzení, že jde o vzdálené spuštění kódu bez přihlášení, nepocházejí z oznámení PHP. Pocházejí z úniku, který začal 20. října, a z navazujících analýz bezpečnostních firem. CERT-EU k tomu vydal upozornění 2026-018, ve kterém uvádí, že technické podrobnosti nejsou k dispozici a že skóre 9,2 u obou chyb naznačuje možnost vzdáleného spuštění kódu bez přihlášení. Podle téhož upozornění mohou chyby zasahovat všechny verze PHP od PHP 5 výše, tento rozsah ale zatím nikdo oficiálně nepotvrdil.
Co je důležité říct na rovinu: zneužívání v praxi nikdo nepotvrdil. Ani jedna z obou chyb není v katalogu zneužívaných zranitelností CISA KEV, zneužití nepotvrdil bezpečnostní tým PHP ani národní CERT. Firma watchTowr, která únik označila za věcně správný, uvádí, že útoky v praxi neviděla.
Horší je to proto, že informace o chybách jsou venku dřív než oprava. Z každé opravy navíc jde zpětně dohledat, co přesně se opravovalo. U prostředí, které běží na tolika serverech, se proto dá čekat, že se někdo o zneužití začne pokoušet krátce po vydání záplaty. Firma Sansec, která se zabývá bezpečností e-shopů, očekává hromadné útoky krátce po vydání opravy.
Týká se vás to?
Předpokládejte, že ano, pokud kdekoli ve firmě běží PHP, a to i tehdy, když samotnou aplikaci nevyvíjíte. Podle statistiky W3Techs z října 2026 používá PHP 69,3 % webů, u kterých se dá serverový jazyk zjistit. Není to podíl mezi všemi weby na internetu, ale mezi těmi zjistitelnými. V praxi jde o WordPress, Drupal, Magento, Shopware, WooCommerce i o vlastní aplikace. Samostatnou statistiku pro Česko a Slovensko jsme nenašli, rozšíření těchto systémů je ale i u nás běžné.
Verzi zjistíte příkazem php -v na serveru nebo v administraci hostingu. Podporované větve jsou podle php.net 8.2, 8.3, 8.4 a 8.5. Pokud běžíte na PHP 8.1 nebo starším, oficiální opravu nedostanete: budete potřebovat přenesenou opravu od dodavatele své distribuce nebo hostingu, nebo povýšit na podporovanou verzi.
Stejně důležité je, kdo PHP ve vaší firmě vlastně ovládá. Opravu nejde nasadit úpravou aplikace, protože se mění samotné binárky PHP. U serveru ve vlastní správě to má v rukou váš tým, u řízeného hostingu poskytovatel a u kontejnerů ten, kdo staví základní image a spouští nové nasazení.
Co udělat hned
- Udělejte si seznam míst, kde PHP běží: webové servery, kontejnery, interní aplikace, staré weby, na které si nikdo nevzpomene. Co v seznamu není, to dnes neopravíte.
- U každého z nich zjistěte verzi a to, kdo ji aktualizuje. Pokud je to poskytovatel hostingu, zeptejte se dnes, kdy opravu nasadí.
- Připravte si na dnešní odpoledne a večer okno na aktualizaci a sledujte php.net. Jakmile oprava vyjde, nasaďte ji podle verzí, které výrobce uvede.
- U kontejnerů naplánujte přestavbu image na opravené tagy a nové nasazení. Restart starého kontejneru nic neopraví.
- Kde opravu hned nasadit nejde, zvažte podle doporučení CERT-EU oddělení aplikace vystavené do internetu od veřejné sítě, než se oprava nasadit dá. V praxi to znamená omezit přístup na známé adresy nebo aplikaci dočasně vypnout.
- U PHP 8.1 a starších se dnes spojte s dodavatelem distribuce nebo hostingu a zjistěte, jestli opravu přenese. Pokud ne, máte před sebou povýšení verze a je lepší to vědět dnes než za týden.
- Zkontrolujte, že logy webového serveru odcházejí i mimo samotný server. Bez nich se zpětně nedohledá, jestli se o něco někdo pokoušel.
Co zatím není známo
Abyste na tom nestavěli rozhodnutí: dosud není zveřejněný technický popis chyb, přesný seznam zasažených verzí, čísla opravených verzí ani žádné dočasné opatření na úrovni konfigurace PHP. Záznam v databázi NVD a na cve.org k oběma označením zatím také chybí. Jedna nepotvrzená zpráva spojuje chyby s funkcí session upload progress, ale oficiální potvrzení není a opatření na tom nestavějte. Jakmile PHP opravu vydá, čísla opravených verzí do tohoto článku doplníme.
Nestíháte to sledovat?
Většina firem nemá tolik lidí, aby u každé aplikace sledovala, na čem běží a co se v ní zrovna opravuje. Pomáháme s tím dvěma způsoby: posouzením bezpečnosti zjistíme, co máte vystavené do internetu a jak jste na tom se zranitelnostmi, a v roli externího manažera bezpečnosti hlídáme priority a nápravu průběžně. Evidenci aktiv, dodavatelů a opatření na jednom místě řeší naše aplikace Observa. Úvodní konzultace je bezplatná, napište nám. Pokud řešíte incident právě teď, ozvěte se nám na stránce Právě řešíte incident.
Zdroje: php.net, oznámení o mimořádné bezpečnostní aktualizaci PHP · CERT-EU, upozornění 2026-018 ke kritickým zranitelnostem v PHP · CISA, katalog zneužívaných zranitelností KEV · watchTowr, otázky a odpovědi k CVE-2026-109618 a CVE-2026-109619 · Sansec, analýza php2shell a očekávaný vývoj po vydání opravy · W3Techs, statistika používání PHP · BleepingComputer, souhrn oznámení PHP a úniku podrobností