Vývojári PHP vydali bezpečnostné aktualizácie, ktoré opravujú dve kritické zraniteľnosti umožňujúce vzdialenému neautentizovanému útočníkovi potenciálne spustiť ľubovoľný kód na serveri. Chyby sa týkajú viacerých verzií PHP vrátane starších vetiev a môžu ohroziť webové servery využívajúce rôzne SAPI rozhrania.
Prvá zraniteľnosť CVE-2026-109618 (CVSS 9,2) súvisí so spracovaním špeciálne vytvorených multipart HTTP požiadaviek. Útočník môže vyvolať vyčerpanie pamäte a následne potenciálne dosiahnuť spustenie vlastného kódu s oprávneniami procesu webservera.
Druhá chyba, CVE-2026-109619 (CVSS 9,2), vzniká v dôsledku nesprávneho resetovania globálneho stavu PHP. Pomocou sekvencie HTTP požiadaviek môže útočník pristupovať k už uvoľnenej pamäti, čo môže viesť k úniku údajov alebo spusteniu ľubovoľného kódu.
Opravené verzie a odporúčania
Opravy sú dostupné vo verziách PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Bezpečnostné záplaty boli pripravené aj pre staršie vetvy PHP 8.1, 8.0 a 7.4. Opravy postupne sprístupňujú aj distribúcie Ubuntu, Debian a Red Hat Enterprise Linux.
Správcom serverov sa odporúča čo najskôr nainštalovať príslušné bezpečnostné aktualizácie a overiť, či oprava pokrýva konkrétnu verziu PHP a používanú distribúciu. Ak okamžitá aktualizácia nie je možná, dočasné opatrenia zahŕňajú obmedzenie veľkosti a zložitosti HTTP požiadaviek, vypnutie sledovania priebehu nahrávania súborov (session.upload_progress.enabled = 0) a zavedenie dodatočných limitov na úrovni webservera alebo reverznej proxy.
Tieto opatrenia však nenahrádzajú aktualizáciu na opravenú verziu. Zraniteľnosti môžu mať závažný dosah najmä na verejne dostupné servery spracúvajúce nedôveryhodné HTTP požiadavky.
Opravené verzie a odporúčania
Ubuntu:
- Stonking – 8.5.9-0ubuntu2.1
- Resolute – 8.5.4-0ubuntu1.5
- Noble – 8.3.6-0ubuntu0.24.04.13
- Jammy – 8.1.2-1ubuntu2.28
- Focal – 7.4.3-4ubuntu2.29+esm5
- Bionic – 7.2.24-0ubuntu0.18.04.17+esm14
- Xénia – 7.0.33-0ubuntu0.16.04.16+esm22
- Trusty – 5.5.9+dfsg-1ubuntu4.29+esm18
Debian:
- bookworm (security) – 8.2.35-deb12u1
- trixie (security) – 8.4.27-deb13u1
Red Hat Enterprise Linux 8 – oprava dostupná pre php:7.4, podrobnosti na https://access.redhat.com/errata/RHSA-2026:87080
Ďalšie informácie je možné nájsť na stránkach:
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619
https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
https://ubuntu.com/security/CVE-2026-109618
https://ubuntu.com/security/CVE-2026-109619
https://security-tracker.debian.org/tracker/CVE-2026-109618
https://security-tracker.debian.org/tracker/CVE-2026-109619
https://www.php.net/archive/2026.php#2026-10-20-1
https://cert.europa.eu/publications/security-advisories/2026-018
https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities