0 
Pokud není možné aktualizaci provést neprodleně, doporučujeme zvážit dočasné omezení dostupnosti dotčené aplikace, například zpřístupněním pouze z důvěryhodných IP adres nebo omezením přístupu prostřednictvím VPN. Pokud nelze riziko dostatečně snížit těmito opatřeními, je vhodné zvážit dočasné odstavení aplikace až do instalace bezpečnostní aktualizace. Tato opatření představují pouze dočasné snížení rizika a nenahrazují aktualizaci zranitelného PHP.
Technický popis
Obě zranitelnosti souvisejí s nesprávnou správou paměti a interního stavu při zpracování požadavků PHP.
- CVE-2026-109618 – poškození paměti při nedostatku paměti (out-of-memory): Při zpracování chybového stavu může dojít k přerušení běhu PHP v okamžiku, kdy interní data požadavku nejsou plně inicializována. Následné uvolňování prostředků může s těmito daty nesprávně pracovat, což může vést ke vzdálenému spuštění kódu.
- CVE-2026-109619 – použití uvolněné paměti (use-after-free): Za určitých okolností mohou interní globální proměnné PHP odkazovat na paměť, která již byla uvolněna. Následující požadavek zpracovávaný stejným procesem může s tímto neplatným stavem pracovat a umožnit útočníkovi spuštění kódu.
Obě zranitelnosti jsou hodnoceny skóre CVSS v4.0 9,2 z 10. Jejich úspěšné zneužití může ohrozit důvěrnost, integritu i dostupnost provozovaného systému.
Zvláštní pozornost vyžadují veřejně dostupné servery. Podle bezpečnostního oznámení projektu PHP existuje demonstrace zneužití, při níž může být zranitelnost v konfiguraci Apache s mod_php vyvolána ještě před spuštěním aplikačního kódu. Ochrana na úrovni samotné webové aplikace proto nemusí být dostačující.
Dotčené verze
Zranitelnosti se týkají více verzí PHP, včetně starších, již nepodporovaných vydání. Opravy jsou dostupné v následujících verzích:
| Větev PHP | Opravená verze |
|---|---|
| PHP 8.5.x | 8.5.12 |
| PHP 8.4.x | 8.4.27 |
| PHP 8.3.x | 8.3.36 |
| PHP 8.2.x | 8.2.35 |
Verze PHP 8.1 a starší již nejsou standardně podporovány vývojovým týmem PHP. Někteří dodavatelé linuxových distribucí a dlouhodobě podporovaných systémů mohou poskytovat vlastní opravy zpětně přenesené do starších verzí. V takovém případě je nutné ověřit stav aktualizace přímo u dodavatele.
Doporučená opatření
Provozovatelům doporučujeme provést následující kroky:
- Aktualizovat PHP na příslušnou opravenou verzi, případně na novější podporované vydání.
- Upřednostnit veřejně dostupné systémy, zejména webové servery a aplikace zpracovávající nedůvěryhodné vstupy.
- Prověřit závislé komponenty – například kontejnery, redakční systémy, aplikační platformy, hostingová řešení a zařízení třetích stran, které obsahují vlastní instalaci PHP.
- Prověřit systémy se staršími verzemi PHP. Pokud pro ně nejsou dostupné bezpečnostní aktualizace, doporučujeme migraci na podporovanou verzi. Do vyřešení problému zvažte omezení přístupu k dotčeným službám.
- Zkontrolovat dostupné bezpečnostní záznamy a hledat známky možného napadení, například neobvyklé procesy, neočekávané soubory, podezřelé příkazy nebo neobvyklá odchozí spojení související s webovým serverem či procesy PHP.
- Ověřit úspěšnost aktualizace ve všech provozních prostředích, včetně kontejnerů, záložních instancí a systémů, které se automaticky nenasazují z aktuálních obrazů.
Pokud není možné aktualizaci provést okamžitě, lze podle oficiálního oznámení PHP využít některá dočasná opatření omezující konkrétní cesty zneužití. Tato opatření však nepředstavují úplnou nápravu. Přednost má vždy instalace opravené verze.
Zdroje
- Oficiální bezpečnostní oznámení PHP: https://www.php.net/archive/2026.php
- CVE-2026-109618 – bezpečnostní upozornění projektu PHP: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- CVE-2026-109619 – bezpečnostní upozornění projektu PHP: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- Canadian Centre for Cyber Security – upozornění k oběma zranitelnostem: https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619