Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] PHP opravuje 2 kritické zranitelnosti

PHP (včetně SAPI, jako např. Apache mod_php, php-cgi, FrankenPHP nebo LiteSpeed) verzemi 8.5.12, 8.4.27, 8.3.36, 8.2.35 a backporty pro 8.1 [1], 8.0 [2] a 7.4 [3] opravuje 2 kritické zranitelnosti [4]. Pokud nemůžete provést aktualizaci okamžitě, níže je seznam dočasných opatření, která však nenahrazují řádnou aktualizaci. V případě CVE-2026-109618 se doporučuje nastavit parametr memory_limit = -1, omezit velikost multipart požadavků v PHP přes parametr post_max_size na co nejnižší možnou hodnotu, implementovat dodatečné limity na úrovni webserveru nebo proxy (pro velikost dekódovaného požadavku, počet vstupních polí, počet multipart částí, počet hlaviček a hloubku vnoření) a pro správu paměti kontejnerů místo omezení RLIMIT používat cgroups. Detaily naleznete zde [4]. V případě CVE-2026-109619 se doporučuje globálně vypnout sledování uploadů (session.upload_progress.enabled = 0) v php.ini, FPM poolu nebo serverové konfiguraci, odstranit neplatná či zastaralá konfigurační nastavení způsobující brzká varování a ošetřit pády a timeouty, které dokáže vyvolat útočník, a v PHP 8.5 vypnout fatal_error_backtraces. Detaily naleznete zde [4]. Jednotlivá vydání Linux distribucí a jejich opravené verze: Ubuntu [5][6]: Stonking - 8.5.9-0ubuntu2.1 Resolute - 8.5.4-0ubuntu1.5 Noble - 8.3.6-0ubuntu0.24.04.13 Jammy - 8.1.2-1ubuntu2.28 Focal - 7.4.3-4ubuntu2.29+esm5 Bionic - 7.2.24-0ubuntu0.18.04.17+esm14 Xenial - 7.0.33-0ubuntu0.16.04.16+esm22 Trusty - 5.5.9+dfsg-1ubuntu4.29+esm18 Debian [7][8]: bookworm (security) - 8.2.35~deb12u1 trixie (security) - 8.4.27~deb13u1 Red Hat [9][10]: Red Hat Enterprise Linux 8 - oprava dostupná pro php:7.4, podrobnosti na [11]

PHP - RCE (CVE-2026-109618)
CVSS 9.2 (Critical)

Neautentizovanému vzdálenému útočníkovi je zasláním speciálně vytvořeného multipart HTTP požadavku umožněno vyčerpat paměť požadavku, což v důsledku chybného zotavení může způsobit spuštění libovolného kódu s právy worker procesu webserveru [12].

Zranitelnost se nachází v produktech:

  • *:PHP; <8.2.35; >=8.3.0, <8.3.36; >=8.4.0, <8.4.27; >=8.5.0, <8.5.12;
  • *:Wordpress; >=0;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 21. 10. 2026.

PHP - RCE (CVE-2026-109619)
CVSS 9.2 (Critical)

Neautentizovanému vzdálenému útočníkovi je zasláním speciálně vytvořené sekvence HTTP požadavků umožněno neoprávněně přistoupit k uvolněné paměti v důsledku neresetovaného globálního stavu PHP, což může vést k úniku dat nebo spuštění libovolného kódu s právy worker procesu webserveru [13].

Zranitelnost se nachází v produktech:

  • *:PHP; <8.2.35; >=8.3.0, <8.3.36; >=8.4.0, <8.4.27; >=8.5.0, <8.5.12;
  • *:Wordpress; >=0;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 21. 10. 2026.

Za CESNET, z.s.p.o. Ondrej Pavlovič dne 21. 10. 2026.

CESNET, z.s.p.o. Logo