Dne 21. října 2026 vydal tým PHP mimořádné bezpečnostní aktualizace, které reagují na kritické zranitelnosti v interpretu tohoto jazyka. Provozovatelé webových stránek a administrátoři serverů by měli neprodleně zkontrolovat své verze PHP a provést aktualizaci na nejnovější dostupné opravné verze.
Co jsou zranitelnosti CVE-2026-109618 a CVE-2026-109619
Tyto dvě zranitelnosti představují významné bezpečnostní riziko, které může v nesprávně nakonfigurovaných prostředích vést k úniku citlivých informací nebo k neoprávněné manipulaci s obsahem serveru. Chyba CVE-2026-109618 se zaměřuje na způsob, jakým PHP zpracovává interní systémové proměnné, zatímco CVE-2026-109619 souvisí s nesprávným ošetřením vstupů u konkrétních funkcí interpretu. Útočníkům tyto chyby umožňují obcházet některá bezpečnostní omezení, pokud mají možnost vynutit spuštění specifického PHP kódu na vašem serveru.
Riziko spojené se souborem info.php
Velkým bezpečnostním rizikem je v kontextu těchto zranitelností často opomíjený soubor typu info.php. Ten běžně obsahuje volání funkce phpinfo(), která vypisuje kompletní konfiguraci serveru, cesty k souborům, nainstalovaná rozšíření a verze komponent. Pokud útočník díky výše uvedeným CVE získá možnost číst informace z takto odhaleného prostředí, může získat klíčové podklady pro mnohem rozsáhlejší útok na celou vaši infrastrukturu. Takové diagnostické skripty by měly být po dokončení testování z produkčních serverů vždy odstraněny.
Přehled vydaných aktualizací
Vývojáři PHP reagovali velmi rychle a vydali opravy pro všechny podporované verze. Pokud používáte některou z níže uvedených verzí, je nezbytné provést upgrade na opravnou verzi: - PHP 8.2.35 - PHP 8.3.36 - PHP 8.4.27 - PHP 8.5.12 Aktualizace jsou dostupné prostřednictvím standardních repozitářů distribucí Linuxu nebo přímo na oficiálních stránkách php.net.
Jak postupovat při aktualizaci
Prvním krokem je vždy záloha celého webu a databáze. Následně ověřte kompatibilitu vašich skriptů a redakčního systému (např. WordPress, Joomla) s novou verzí PHP. Aktualizaci doporučujeme nejprve otestovat na vývojovém serveru, aby nedošlo k výpadku produkční verze webu. Po aktualizaci nezapomeňte restartovat webový server (Apache nebo Nginx/PHP-FPM), aby se změny projevily.
Shrnutí
Bezpečnostní záplaty z 21. října 2026 jsou kriticky důležité pro zabezpečení vašeho webu. Pokud provozujete PHP 8.2 a novější, nečekejte a proveďte update na uvedené verze. Současně se ujistěte, že na serveru nemáte ponechané žádné diagnostické soubory typu info.php, které by mohly útočníkům usnadnit zneužití těchto zranitelností.
Časté dotazy
Jak zjistím, jakou verzi PHP používám?
Verzi PHP zjistíte nejlépe příkazem "php -v" v terminálu serveru nebo v administraci vašeho webhostingu v sekci nastavení PHP.
Co se stane, když PHP neaktualizuji?
Vystavujete se riziku zneužití serveru, což může vést k vložení škodlivého kódu (malwaru) na váš web nebo k odcizení dat z databáze.
Mám smazat soubor info.php, i když je chráněný heslem?
Ano, nejlepším bezpečnostním postupem je tento soubor z produkce zcela odstranit, protože i dobře zabezpečený server může mít slabiny v nastavení přístupových práv.
Je aktualizace PHP zdarma?
Ano, samotný software PHP je open-source a aktualizace jsou zdarma, platit můžete pouze za čas technika, který ji na vašem serveru provede.
Jak poznám, že můj web byl napaden?
Varovnými příznaky jsou změny v kódu souborů, náhlý pokles výkonu serveru, nebo varování od vyhledávače Google, že vaše stránka může poškodit počítač uživatele.