Michael JohnsonPHP 21. října 2026 oznámilo dvě kritické zranitelnosti, které mohou umožnit vzdálené spuštění kódu bez ověření. Ještě téhož dne projekt vydal opravy pro větve 8.5, 8.4, 8.3 a 8.2 a doporučil uživatelům neprodleně aktualizovat. Zranitelné mohou být instalace obsluhující webové požadavky, včetně PHP-FPM, Apache mod_php, php-cgi, FrankenPHP a LiteSpeed, uvádí PHP.
Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Vydání řeší CVE-2026-109618, související s poškozením stavu při nedostatku paměti, a CVE-2026-109619 — chybu, při níž mohl stav jednoho požadavku přetrvat v pracovním procesu a být využit při zpracování následujícího. Zasaženy jsou verze starší než uvedené. Projekt již nevydává vlastní aktualizace pro PHP 8.1 a starší větve, proto by správci těchto systémů měli ověřit, zda opravy nabízí jejich distribuce nebo poskytovatel dlouhodobé podpory.
Dvě chyby v životním cyklu webového požadavku
V případě CVE-2026-109618 může být zpracování požadavku přerušeno kvůli nedostatku paměti, ještě než se interní data plně inicializují. Při ukončení pak PHP může pracovat s neplatným stavem. V bezpečnostním upozornění vývojáři popisují mimo jiné scénáře s multipartovými požadavky a vyčerpáním limitu paměti. Pro Apache mod_php je potvrzen scénář, při němž problém nastává ještě před spuštěním kódu aplikace; PHP také upozorňuje, že riziko je v této konfiguraci vyšší.
CVE-2026-109619 se týká stavu uchovávaného pracovním procesem mezi požadavky. Pokud operace skončí chybou dříve, než se data vymažou, paměť předchozího požadavku se uvolní, ale odkaz na ni zůstane. Následující požadavek obsluhovaný stejným procesem může před běžnou inicializací přistoupit k zastaralému stavu. V bezpečnostním upozornění projektu PHP popisuje potvrzené cesty přes rané diagnostické operace a zpracování průběhu nahrávání souborů; použitelnost konkrétní cesty závisí na konfiguraci, aplikaci a používaných rozšířeních.
Obě zranitelnosti získaly skóre 9,2 podle CVSS 4.0. Podle PHP patří mezi potvrzené dopady spuštění kódu s oprávněními webového workeru. U chyby související s nedostatkem paměti bezpečnostní upozornění potvrzuje plně funkční scénář přes HTTP proti mod_php; u PHP-FPM zdroj popisuje analýzu kódu a podmínky zranitelnosti. Při hodnocení konkrétního nasazení je proto důležité tyto informace rozlišovat.
Co by měli správci zkontrolovat
Nejprve zjistěte verze PHP, které skutečně obsluhují webový provoz: na jednom serveru mohou běžet samostatná sestavení CLI, FPM i Apache a kontejnery či uzly clusteru se aktualizují nezávisle. Pro každou podporovanou větev nainstalujte odpovídající opravené vydání nebo balíček dodavatele s potvrzenou opravou. Poté restartujte všechny PHP workery a po restartu ověřte jejich verzi — pouhá výměna souborů ponechá staré procesy v provozu.
U PHP 8.1 a starších verzí ověřte stav podpory a dostupnost zpětně převzaté opravy od distribuce nebo poskytovatele dlouhodobé podpory. Pokud takový balíček není k dispozici, naplánujte přechod na podporovanou větev. PHP uvádí, že dodavatelé linuxových distribucí dostali opravy předem; číslo verze jejich balíčku se může lišit od oficiálního vydání PHP, proto ověřte, zda opravu skutečně obsahuje.
Dočasná nastavení a filtrování požadavků mohou omezit některé způsoby útoku, projekt však označuje aktualizaci za jediný úplný způsob, jak odstranit oba problémy. Praktickou prioritou týmů je zmapovat všechny webové workery, nainstalovat opravený balíček, restartovat procesy a ověřit výsledek na každém uzlu. Tím se odstraní potvrzené zranitelnosti, místo spoléhání na samotnou konfiguraci webového serveru.