PHP vydalo opravy dvou kritických chyb PHP2Shell s CVSS 9,2

Vývojáři PHP vydali aktualizace 8.5.12, 8.4.27, 8.3.36 a 8.2.35, které opravují dvě kritické bezpečnostní chyby umožňující vzdálené spuštění kódu bez přihlášení. Uživatelé PHP by měli podle projektu aktualizovat bez odkladu.

Zranitelnosti označené jako CVE-2026-109618 a CVE-2026-109619 mají podle dřívějšího oznámení týmu PHP hodnocení CVSS v4.0 9,2 z 10. Obě jsou v databázi GitHub Security Advisories vedeny jako kritické. Chyby se v bezpečnostní komunikaci objevují také pod označením PHP2Shell.

Dvě cesty ke spuštění cizího kódu

První opravená chyba, CVE-2026-109618, souvisí s poškozením obsahu paměti při stavu nedostatku paměti, tedy OOM (out of memory). Taková situace může narušit vnitřní práci běhového prostředí a podle bezpečnostního upozornění vést ke vzdálenému spuštění kódu.

Druhá zranitelnost, CVE-2026-109619, vychází z práce se zastaralým globálním stavem. I v tomto případě může útočník podle zástupců projektu PHP dosáhnout spuštění kódu na dálku bez autentizace.

Právě absence požadavku na přihlášení zvyšuje naléhavost opravy. Ohrožený server nemusí mít veřejně dostupnou administraci ani účet kompromitovaný útočníkem; rozhodující je, zda zpracovává vstupy způsobem, který umožní chybu zneužít. Z dostupných oznámení nevyplývají další technické podrobnosti o konkrétním scénáři útoku.

Oznámení přišlo den před vydáním oprav

Tým PHP na chystané vydání upozornil 20. října 2026. V oznámení uvedl, že bezpečnostní aktualizace vyjde následující den ve 14:00 UTC a opraví dvě kritické chyby. Veřejně publikované bezpečnostní záznamy GitHubu jsou datované 21. října 2026. V repozitáři packages.sury.org se objevily včera odpoledne.

Správci by měli ověřit, kterou větev PHP jejich aplikace skutečně používá. Nestačí aktualizovat balíček v jednom prostředí, pokud produkční provoz běží v jiném kontejneru, virtuálním serveru nebo na jiné verzi runtime. Opravy jsou dostupné ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

Po nasazení aktualizace je vhodné zkontrolovat běžící verzi PHP, restartovat příslušné služby a projít mechanismus automatických aktualizací v provozních prostředích. Projekt PHP v bezpečnostním upozornění rozhodně nedoporučuje s instalací čekat.