Kritické zraniteľnosti v PHP

21. októbra 2026

Národné centrum kybernetickej bezpečnosti SK-CERT varuje pred dvoma kritickými zraniteľnosťami v PHP, identifikovanými ako CVE-2026-109618 a CVE-2026-109619. Podľa aktuálne dostupných informácií môže úspešné zneužitie umožniť vzdialenému neautentifikovanému útočníkovi vykonať ľubovoľný kód na zasiahnutom systéme. Obe zraniteľnosti majú pridelené skóre CVSS v4.0 vo výške 9,2. Zraniteľnosti sú zneužiteľné vo všetkých verziách od PHP 5.0 až po súčasnú.

Bezpečnostný tím PHP oznámil mimoriadne bezpečnostné vydanie naplánované na 21. októbra 2026 o 16:00 a vyzval všetkých používateľov PHP, aby sa pripravili na okamžité nasadenie aktualizácií. Technické informácie o zraniteľnostiach boli predčasne zverejnené ešte pred koordinovaným vydaním a verejne dostupný bezpečnostný výskum už opisuje funkčné zneužitie minimálne jednej zo zraniteľností. V čase publikovania však nebolo potvrdené aktívne zneužívanie týchto zraniteľností vo voľnej prevádzke.

Vzhľadom na rozsiahle používanie PHP v internetovo dostupných webových aplikáciách, interne vyvíjaných systémoch, kontajnerizovaných službách a zabudovaných administrátorských rozhraniach produktov tretích strán považuje SK-CERT tieto zraniteľnosti za významné a potenciálne rozsiahle riziko. Správcom a poskytovateľom služieb odporúčame bezodkladne identifikovať zasiahnuté systémy, pripraviť sa na rýchle nasadenie bezpečnostných aktualizácií a tam, kde nie je možné vykonať okamžitú nápravu, zaviesť dočasné opatrenia na zníženie rizika.

Okamžitá príprava (teraz)

Nasledujúce opatrenia samotnú zraniteľnosť neodstraňujú a nesmú sa považovať za náhradu bezpečnostnej aktualizácie. Môžu však znížiť exponovaný útočný povrch, sťažiť niektoré spôsoby zneužitia, zlepšiť schopnosť odhaliť pokusy o zneužitie a umožniť rýchlejšiu reakciu v prípade, ak sa zneužívanie začne ešte pred nasadením opráv.

Bezodkladne identifikujte všetky použitia PHP v organizácii vrátane webových aplikácií, interných aplikácií, kontajnerov, zariadení a produktov tretích strán. Inventarizáciu neobmedzujte len na systémy tradične považované za „PHP aplikácie“.
- PHP sa používa aj v administrátorských a podporných rozhraniach produktov, ako sú Palo Alto Networks PAN-OS a Citrix NetScaler a mnohých iných,
- môže byť súčasťou služieb prevádzkovaných v Docker kontajneroch,
- môže sa nachádzať aj v službách tretích strán, od ktorých je organizácia závislá.
Ak je to z prevádzkového hľadiska možné, dočasne vypnite PHP Session Upload Progress nastavením session.upload_progress.enabled=0. Aktuálny verejne dostupný výskum naznačuje, že tým možno znefunkčniť minimálne jeden známy spôsob zneužitia, nejde však o úplné zmiernenie rizika.
Na službách, ktoré nevyžadujú nahrávanie súborov ani spracovanie multipart formulárov, zvážte dočasné blokovanie požiadaviek multipart/form-data ešte predtým, ako sa dostanú k PHP. Tam, kde je nahrávanie súborov potrebné, zvážte obmedzenie multipart spracovania iba na nevyhnutné endpointy. Ide o opatrenie na zníženie útočného povrchu, nie o úplné riešenie zraniteľnosti.
Zabezpečte, aby sa logy PHP, webového servera, reverzného proxy a operačného systému podľa možnosti zhromažďovali a uchovávali mimo zasiahnutého systému. Logovanie by malo umožniť následnú identifikáciu podozrivých požiadaviek, pádov PHP alebo webového servera, neočakávaných podprocesov a ďalších indikátorov zneužitia.
Pripravte sa na inštaláciu bezpečnostnej aktualizácie bezprostredne po sprístupnení opravených verzií PHP alebo aktualizácií konkrétnych výrobcov. Organizácie by mali vopred určiť zodpovedných vlastníkov systémov a príslušné postupy údržby, namiesto toho, aby túto činnosť začali až po vydaní opráv.
Pripravte postupy na rýchlu izoláciu alebo dočasné odstavenie zraniteľných internetovo dostupných PHP služieb v prípade zisteného zneužívania alebo ak dôveryhodné informácie naznačia jeho rozsiahle rozšírenie ešte pred dokončením aktualizácie.
Citlivé systémy dočasne odstavte okamžite.

Po vydaní aktualizácie (dnes o 16:00)

Organizácie by mali systémy prioritizovať podľa ich skutočnej expozície a nepristupovať ku všetkým inštaláciám PHP rovnako. Ako prvé by mali byť riešené internetovo dostupné PHP služby, administrátorské rozhrania a systémy dostupné z nedôveryhodných sietí. Organizácie by zároveň mali počítať s tým, že PHP môže byť prítomné aj v produktoch a službách, pri ktorých jeho použitie nie je na prvý pohľad zrejmé.

Zabezpečte aktualizáciu samotného PHP runtime. Aktualizácia CMS, frameworku, aplikácie, pluginu alebo závislosti bez aktualizácie zraniteľného interpretera PHP neodstraňuje zraniteľnosť v jadre PHP.
Po nainštalovaní aktualizácie zabezpečte, aby sa zraniteľný PHP runtime už nevykonával. Reštartujte alebo nahraďte PHP-FPM workery, procesy Apache/mod_php a ďalšie dlhodobo bežiace PHP procesy. Kontajnerizované nasadenia je potrebné znovu zostaviť z opravených základných image a opätovne nasadiť, nie iba reštartovať kontajnery založené na zraniteľnom image.
Ak zraniteľnú internetovo dostupnú službu nemožno bezodkladne aktualizovať, odstráňte jej verejnú dostupnosť alebo ju iným spôsobom izolujte od nedôveryhodných sietí až do vykonania nápravy. Pravidlá WAF ani konfiguračné zmeny nemožno považovať za rovnocenné s izoláciou alebo aktualizáciou.
Rovnako pristupujte aj k produktom, ktoré obsahujú PHP a aktualizácia nebola doposiaľ vydaná.
Ak sú zraniteľné dockerové kontajnery, aktualizácia nie je dostupná a ste schopní ich prebudovať, vykonajte to.
Nepodporované verzie PHP musia byť migrované na podporovanú verziu alebo chránené výrobcom či distribúciou, ktorá pre ne výslovne poskytuje bezpečnostné backporty. Pokračovanie prevádzky zraniteľného PHP runtime dostupného z internetu len preto, že pre danú verziu nie je dostupná upstream oprava, nie je prijateľným spôsobom nápravy.
Naďalej sledujte bezpečnostné upozornenia PHP, distribúcií operačných systémov a výrobcov produktov. Produkty so zabudovaným PHP runtime môžu vyžadovať aktualizáciu firmvéru alebo softvéru špecifickú pre daný produkt aj v prípadoch, keď správca nemôže PHP aktualizovať priamo.

Pre výrobcov navyše

Výrobcovia, ktorých produkty obsahujú PHP, by mali situáciu považovať za zraniteľnosť závislosti produktu a bezodkladne určiť, či je zraniteľný kód PHP v ich produktoch dosiahnuteľný. Týka sa to zariadení, zabudovaných manažmentových rozhraní, balíkovaných aplikácií aj kontajnerových image distribuovaných zákazníkom.

Identifikujte každý podporovaný produkt, vydanie a komponent obsahujúci PHP vrátane PHP obsiahnutého v build-time a runtime kontajnerových image a určte, či je zraniteľná funkcionalita dosiahnuteľná. Ak sú k dispozícii produktové SBOM a build manifesty, použite ich na túto analýzu.
Znovu zostavte zasiahnuté produkty a kontajnerové image s opravenými verziami PHP alebo s primerane backportovanou opravou. Samotný reštart alebo opätovné publikovanie existujúceho image neodstráni zraniteľný PHP runtime z jeho obsahu.
Čo najskôr technicky pripravte, otestujte a vydajte opravený softvér, firmvér, balíky alebo kontajnerové image. Ak zatiaľ nie je možné poskytnúť úplnú aktualizáciu, zverejnite overené dočasné mitigácie a jasne uveďte ich obmedzenia.
Proaktívne komunikujte so zákazníkmi. Výrobcovia by mali jasne identifikovať zasiahnuté verzie produktov, podmienky expozície, dostupné mitigácie, plánované alebo vydané opravy a všetky kroky, ktoré musia zákazníci vykonať. Zákazníci by nemali byť nútení odvodzovať mieru svojho ohrozenia iba zo skutočnosti, že produkt interne používa PHP.
Výrobcovia, na ktorých sa vzťahuje nariadenie EÚ o kybernetickej odolnosti (Cyber Resilience Act, CRA), by mali posúdiť, či zraniteľnosť zakladá oznamovaciu povinnosť podľa CRA. Od 11. septembra 2026 musia výrobcovia prostredníctvom jednotnej platformy CRA na oznamovanie hlásiť aktívne zneužívané zraniteľnosti v produktoch s digitálnymi prvkami, pričom predbežné upozornenie sa podáva do 24 hodín od okamihu, keď sa výrobca dozvie o relevantnom aktívnom zneužívaní, a podrobnejšie oznámenie do 72 hodín. Samotná existencia zraniteľnosti automaticky neznamená oznamovaciu povinnosť; povinné hlásenie zraniteľnosti sa uplatňuje v prípadoch, keď existujú spoľahlivé dôkazy o jej škodlivom zneužívaní.

Staršie verzie PHP

Nepodporované inštalácie PHP si vyžadujú osobitnú pozornosť, pretože upstream projekt PHP pre ne nemusí vydať bezpečnostné opravy. Nedostupnosť upstream opravy však nerobí pokračovanie prevádzky zraniteľnej služby prijateľným.

Čo najskôr nahraďte nepodporované verzie PHP aktuálne podporovanou verziou. Ak okamžitá migrácia nie je technicky možná, používajte iba distribúciu alebo komerčného dodávateľa, ktorý pre danú zasiahnutú verziu PHP výslovne poskytuje bezpečnostný backport.
Ak nie je k dispozícii ani migrácia, ani overený bezpečnostný backport, odstráňte zasiahnutú službu z dosahu nedôveryhodných sietí alebo ju vyraďte z prevádzky. „Pre túto starú verziu neexistuje oprava“ je dôvodom prestať službu exponovať, nie dôvodom ponechať zraniteľnosť bez nápravy.
Systémy, ktoré nemožno aktualizovať pre nekompatibilitu aplikácie, považujte za technický dlh vyžadujúci explicitný plán nápravy, zodpovedného vlastníka a termín odstránenia problému. Takéto závislosti sa nesmú bez povšimnutia meniť na trvalé výnimky.
Ak musia staršie aplikácie dočasne zostať v prevádzke, izolujte ich od nesúvisiacich systémov, minimalizujte oprávnenia účtu PHP/webového servera a obmedzte prístup iba na nevyhnutných používateľov a siete. Tieto opatrenia znižujú následky prípadného zneužitia, ale samotnú zraniteľnosť neodstraňujú.

Linky

« Späť na zoznam

Okamžitá príprava (teraz)

Po vydaní aktualizácie (dnes o 16:00)

Pre výrobcov navyše

Staršie verzie PHP

Linky

Dôležité odkazy