Zraniteľnosti, sledované ako CVE-2026-109618 a CVE-2026-109619, by mohli útočníkom umožniť vzdialene spúšťať škodlivý kód na zraniteľných serveroch bez autentifikácie. Bezpečnostný tím PHP vydal aktualizácie 21. októbra 2026 o 13:40 UTC. Úplné technické podrobnosti o týchto aktualizáciách, ako aj príslušné a pevné verzie sú priložené k vydaniu.
PHP bezpečnostné poradenstvo možno nájsť na: https://www.php.net/archive/2026.php
Organizácie by mali identifikovať svoje aplikácie založené na PHP, koordinovať svoju činnosť s poskytovateľmi hostingu a služieb a uplatňovať vydané bezpečnostné aktualizácie. Uprednostniť systémy smerujúce na internet. Ak nie je možná okamžitá náprava, zvážte izoláciu exponovaných aplikácií z verejných sietí, kým nebude možné uplatniť opravy.
Mnohé komerčné produkty a produkty s otvoreným zdrojovým kódom sa spoliehajú na PHP v pozadí. V dôsledku toho môžu byť niektoré z nich ovplyvnené týmito zraniteľnosťami, aj keď sa nezdá, že by priamo používali PHP. Odporúčame skontrolovať repozitár NCSC-NL GitHub pre informácie o softvéri tretích strán, ktorý obsahuje PHP a môže byť ovplyvnený: https://github.com/NCSC-NL/php2shell
Najnovšie odporúčania uverejnené členmi siete jednotiek CSIRT možno nájsť v ich príslušných oficiálnych komunikačných kanáloch. Organizácie sa môžu odvolávať aj na usmernenia CERT-EU. Agentúra ENISA vedie poradenskú zbierku na adrese: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Agentúra ENISA a všetci príslušní aktéri EÚ budú naďalej monitorovať túto hrozbu s cieľom prispieť k celkovej situačnej informovanosti na úrovni Únie.
Politika EÚ
Organizácie by si mali byť ďalej vedomé toho, že od 11. septembra 2026 musia výrobcovia hardvérových a softvérových produktov nahlasovať aktívne zneužívané zraniteľnosti prostredníctvom jednotnej oznamovacej platformy pre ratingové agentúry v súlade s nariadením (EÚ) 2024/2847 (akt o kybernetickej odolnosti). Ďalšie informácie sú k dispozícii na: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting a https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Od 11. decembra 2027 sa budú uplatňovať hlavné požiadavky aktu o kybernetickej odolnosti. To si bude vyžadovať, aby výrobcovia hardvérových a softvérových produktov (ďalej len „produkty s digitálnymi prvkami“) zaviedli bezpečnosť už v štádiu návrhu a zabezpečili bezpečnostnú podporu počas životného cyklu takýchto produktov vrátane bezodkladnej nápravy zraniteľností.
Last update
22 Október 2026