Chyby zabezpečení, sledované jako CVE-2026-109618 a CVE-2026-109619, by mohly útočníkům umožnit vzdáleně spouštět škodlivý kód na zranitelných serverech bez ověřování. Bezpečnostní tým PHP vydal aktualizace 21. října 2026 ve 13:40 UTC. Vydání doprovázejí úplné technické podrobnosti o těchto aktualizacích, stejně jako o dotčených a pevných verzích.
Bezpečnostní poradenství PHP naleznete na adrese: https://www.php.net/archive/2026.php
Organizace by měly identifikovat své aplikace založené na PHP, koordinovat svou činnost s poskytovateli hostingu a služeb a používat vydané aktualizace zabezpečení. Upřednostňovat systémy zaměřené na internet. Pokud není okamžitá náprava proveditelná, zvažte oddělení exponovaných aplikací od veřejných sítí, dokud nebude možné použít opravy.
Mnoho komerčních a open-source produktů spoléhá na PHP na pozadí. V důsledku toho mohou být některé z nich těmito zranitelnostmi ovlivněny, i když se nezdá, že by PHP používaly přímo. Doporučujeme zkontrolovat úložiště NCSC-NL GitHub, zda neobsahuje informace o softwaru třetích stran, který obsahuje PHP a může být ovlivněn: https://github.com/NCSC-NL/php2shell
Nejnovější doporučení zveřejněná členy sítě CSIRT lze nalézt v jejich příslušných oficiálních komunikačních kanálech. Organizace mohou rovněž odkazovat na pokyny skupiny CERT-EU. Agentura ENISA vede poradenskou sbírku na adrese: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Agentura ENISA a všichni příslušní aktéři EU budou tuto hrozbu nadále sledovat, aby přispěli k celkové informovanosti o situaci na úrovni Unie.
Politika EU
Organizace by si měly být dále vědomy toho, že od 11. září 2026 musí výrobci hardwarových a softwarových produktů hlásit aktivně zneužívané zranitelnosti prostřednictvím jednotné platformy pro podávání zpráv ratingových agentur v souladu s nařízením (EU) 2024/2847 (akt o kybernetické odolnosti). Další informace jsou k dispozici na adrese: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting a https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Hlavní požadavky na kybernetickou bezpečnost podle aktu o kybernetické odolnosti se použijí ode dne 11. prosince 2027. Ty budou vyžadovat, aby výrobci hardwarových a softwarových produktů (dále jen „produkty s digitálními prvky“) zavedli bezpečnost již od fáze návrhu a zajistili bezpečnostní podporu během životního cyklu těchto produktů, včetně neprodlené nápravy zranitelností.
Last update
22 Říjen 2026