PHP vydalo mimořádné bezpečnostní aktualizace. Řeší dvě kritické chyby v samotném jádru jazyka, které útočníkovi umožňují spustit vlastní kód na serveru, aniž by se musel přihlásit.
Obě jsou hodnocené stupněm 9,2 z 10. Na problém upozornil i Národní úřad pro kybernetickou a informační bezpečnost.
Opravené verze: PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pokud web nebo e-shop provozujete na vlastním hostingu, aktualizujte co nejdřív.
Co se stalo
Jde o dvě zranitelnosti v jádru PHP, označované souhrnně jako php2shell:
- CVE-2026-109618 — chyba ve zpracování situace, kdy PHP dojde paměť. Část vnitřních dat zůstane nedoinicializovaná a dál se s nimi pracuje, jako by byla v pořádku.
- CVE-2026-109619 — vnitřní stav požadavku přežije uvolnění paměti, na které stojí. Další požadavek obsloužený tímtéž procesem pak může sáhnout na data, která už neplatí.
Obě vedou ke stejnému výsledku: spuštění kódu pod účtem, pod kterým běží PHP.
Situaci zhoršuje způsob, jakým se to dostalo ven. Detaily unikly veřejně den před plánovaným koordinovaným zveřejněním, tedy dřív, než byly opravy k dispozici. PHP proto vydalo mimořádnou aktualizaci mimo běžný cyklus.
Koho se to týká
Prakticky každé instalace PHP, která obsluhuje webové požadavky — bez ohledu na to, jak je nasazená.
To zahrnuje weby a e-shopy postavené na WordPressu, WooCommerce, PrestaShopu, Magentu i na vlastním řešení. Není to chyba v jedné aplikaci; je to chyba v jazyce, na kterém ty aplikace běží.
Pokud máte vlastní hosting nebo server, je aktualizace na vás nebo na vašem dodavateli.
Pokud používáte hostovanou platformu, server spravuje její provozovatel. Ale nepředpokládejte, že je hotovo — ověřte si to u něj. Je to otázka na jednu větu a odpověď byste měli dostat obratem.
Co udělat teď
Zjistěte, jakou verzi PHP máte. U běžného hostingu to bývá v administraci. Ve WordPressu to najdete v sekci Nástroje → Zdraví webu.
Aktualizujte na opravenou verzi. PHP 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35 podle toho, jakou větev používáte.
Pokud web spravuje dodavatel, napište mu. Zeptejte se konkrétně: jakou verzi PHP běží náš web a kdy bude aktualizovaná.
Po aktualizaci zkontrolujte, že web funguje. Opravné verze jsou v rámci větve, takže by neměly nic rozbít — ale ověřit to stojí za minutu.
Když aktualizovat hned nemůžete
PHP zveřejnilo dočasná opatření. Jsou to náhradní řešení, ne oprava — a po jejich nastavení je nutné restartovat všechny PHP workery, jinak se neprojeví.
Pro CVE-2026-109619 je uváděné vypnutí session.upload_progress.enabled, u PHP 8.5 navíc fatal_error_backtraces. Pro CVE-2026-109618 úprava chování paměťového limitu.
Konkrétní nastavení si vezměte z oficiálního oznámení PHP, ne z článků — u bezpečnostních opatření je rozdíl mezi správným a skoro správným zásadní.
Starší verze PHP jsou vážný problém
Větve PHP 8.1 a starší jsou po konci podpory a oficiální opravu nedostanou. Podle dostupných rozborů sahá zranitelnost zpět až k PHP 5.4.
Pokud váš web běží na takové verzi, nestačí počkat na záplatu — žádná nepřijde. Jediné řešení je přechod na podporovanou větev, a ten může znamenat úpravy v aplikaci.
Je to nepříjemné zjištění, ale lepší ho udělat teď než po incidentu.
Časté otázky
Které verze PHP problém opravují? PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Starší větve než 8.2 jsou po konci podpory a oficiální opravu nedostanou — tam je jediným řešením přechod na podporovanou verzi.
Týká se to i mého e-shopu na pronajaté platformě? Pokud používáte hostovanou platformu, server spravuje její provozovatel a aktualizaci PHP řeší on. Ověřte si u něj, jestli je nasazená — nepředpokládejte to.
Co když nemůžu aktualizovat hned? PHP zveřejnilo dočasná opatření pro oba případy, mimo jiné vypnutí session.upload_progress. Jsou to ale náhradní řešení, ne oprava — a po jejich nastavení je potřeba restartovat všechny PHP workery.
Jak zjistím, jakou verzi PHP mám? U běžného hostingu to najdete v administraci hostingu nebo ve WordPressu v sekci Nástroje → Zdraví webu. Pokud web spravuje dodavatel, zeptejte se přímo jeho.
Jak poznám, že mě někdo napadl? Jednoduchý test neexistuje. Podezřelé jsou neznámé soubory v adresáři webu, nové administrátorské účty, změny v obsahu a neobvyklý provoz v logách. Při podezření nechte web prověřit odborníkem.
Shrnutí
- Aktualizujte na PHP 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35. Je to jediné úplné řešení.
- Není to chyba aplikace, ale jazyka. Týká se prakticky každého webu na PHP, bez ohledu na to, co na něm běží.
- U hostovaných platforem se zeptejte provozovatele. Nepředpokládejte, že je hotovo.
Nevíte, na čem váš web běží, nebo si nejste jistí, že je aktualizovaný? Ozvěte se a podíváme se na to: kontakty.
