Vývojáři programovacího jazyka PHP zveřejnili opravy dvou kritických bezpečnostních zranitelností, které mohou útočníkům umožnit na dálku spustit vlastní kód. Aktualizace vyšly ve středu 21. října a týkají se podporovaných větví PHP 8.5, 8.4, 8.3 a 8.2. Správci webů mají systémy aktualizovat co nejdříve.
PHP patří mezi nejrozšířenější nástroje pro tvorbu webových stránek a aplikací. Používají ho například redakční systémy, internetové obchody i interní portály. Nově odhalené chyby proto podle odborníků představovaly riziko pro velké množství služeb, jejichž provozovatelé nemuseli o tom, že PHP používají, bezprostředně vědět.
Obě zranitelnosti mají podle systému CVSS verzi 4.0 hodnocení 9,2 z deseti. Jedna z nich je vedena jako CVE-2026-109618, druhá jako CVE-2026-109619. Bezpečnostní tým PHP uvedl, že chyby mohou vést ke vzdálenému spuštění kódu bez předchozího přihlášení uživatele. Podrobnější technické informace zveřejnil spolu s opravenými verzemi.
Weby úřadů byly preventivně nedostupné
Obavy se zvýšily poté, co se před oficiálním vydáním oprav začaly šířit informace o zranitelnostech a objevily se zprávy o pokusech o jejich zneužití. Podle agentury Associated Press varovaly před hrozbou také americké bezpečnostní úřady FBI a NSA. Evropské úřady doporučily organizacím, které nemohou své systémy okamžitě opravit, zvážit jejich odpojení od veřejného internetu.
Preventivní kroky přijaly mimo jiné některé úřady v Nizozemsku a Finsku. Dočasně omezily dostupnost veřejných webových služeb, aby snížily riziko průniku do systémů. Podobný postup zvažovaly nebo použily i další organizace. Výpadky se týkaly webů, které bylo možné po instalaci aktualizací znovu uvést do provozu.
Vývojáři PHP označili instalaci oprav za nezbytnou. Aktualizace jsou dostupné pro verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro starší větve 7.4, 8.0 a 8.1, které už nejsou standardně podporované, zveřejnil bezpečnostní tým alespoň zdrojové opravy určené především pro správce, kteří si software sestavují sami nebo nemají přístup k aktualizaci od dodavatele. U těchto verzí však může být nasazení složitější.
Bezpečnostní odborníci upozorňují, že samotné stažení nové verze nemusí stačit. Správci musí ověřit, která instalace PHP skutečně obsluhuje veřejný provoz, restartovat související služby a zkontrolovat, zda po aktualizaci nezůstaly zranitelné starší servery. Organizace, které opravu nemohou nasadit, by měly podle evropských doporučení své internetové aplikace izolovat nebo dočasně odstavit.
Zdroj: Deutsche Welle
Tento článek byl vytvořen s pomocí umělé inteligence a redakčně zkontrolován.