PHP vydalo mimořádné opravy dvou kritických chyb, které útočníci už zneužívají

PHP vydalo mimořádnou bezpečnostní aktualizaci, která řeší dvě kritické chyby s označením CVE-2026-109618 a CVE-2026-109619. Útočníkovi umožňují převzít plnou kontrolu nad napadeným serverem. Funkční exploity už existují a chyby jsou zneužívány v praxi.

Zranitelnosti se týkají všech serverů s PHP 5.4 nebo novějším. Opravy přinášejí verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Podle zveřejněných informací je nutné aktualizovat základní softwarové součásti asi u 70 procent webů. Dotčené jsou i systémy postavené na PHP, mezi nimi Drupal, Magento, Joomla a WordPress.

Možné následky zahrnují odmítnutí služby, vzdálené spuštění kódu i únik dat. Agentura Reuters uvádí, že po zveřejnění zranitelností vypadly vládní weby v Evropě i jinde. Souvislost mezi výpadky a zneužíváním chyb tedy zatím vychází z tohoto zpravodajství, nikoli z nezávislého potvrzení konkrétních incidentů.

Zneužívání chyby potvrdil Cloudflare. Ve 3:02 UTC nasadil pravidla web application firewallu, která mají weby před útoky chránit. Takové pravidlo ale představuje jen dočasnou ochranu a neřeší příčinu, tedy zranitelný kód v samotném PHP.

Na výzkumu se podílel i OpenAI, který situaci označil za jeden z nejvýznamnějších bezpečnostních problémů poslední doby. Technický rozbor v netradiční podobě komiksu zveřejnila firma Calif, která se na odhalení chyb rovněž podílela.

Rozsah možného dopadu naznačují údaje společnosti Censys. Ta napočítala přibližně 2,58 milionu hostitelů přístupných z internetu a 54,9 milionu webových prezentací provozovaných na PHP. Nejde přitom o počet zranitelných systémů, ale o celkové rozšíření platformy, takže skutečný počet ohrožených instalací bude záviset na tom, jak rychle správci opravy nasadí.

Společnost Wiz uvádí, že každá verze PHP vydaná za poslední dekádu je zasažena alespoň jednou ze dvou zranitelností. Wiz zároveň očekává masové zneužití k instalaci webových backdoorů, takzvaných web shellů, které útočníkům umožní zůstat v napadeném systému i po případné pozdější opravě. Situaci srovnává s chybou Log4Shell z roku 2021, která se týkala široce používané javové knihovny a vedla k vlně útoků napříč odvětvími. Pro úplnost je třeba dodat, že Wiz je inzerentem blogu, na němž se informace objevily.

Opravy se postupně dostávají k uživatelům. Ubuntu už vydalo aktualizované balíčky PHP a SANS Internet Storm Center sleduje, jak jednotlivé hlavní platformy opravy publikují. Správcům serverů tak zbývá zjistit, kterou verzi PHP provozují, a podle toho nasadit odpovídající opravenou řadu. Kdo používá starší větev, než jsou čtyři výše uvedené, musí počítat s přechodem na podporovanou verzi, protože zveřejněné opravy se týkají právě těchto vydání.

Správci webů postavených na redakčních a e-commerce systémech by měli kromě samotného PHP sledovat také případná doporučení vývojářů daného systému. Vzhledem k tomu, že se chyby již aktivně zneužívají, je rozumné prověřit servery i na stopy případného narušení, zejména na neznámé soubory, které by mohly představovat web shell. Samotná aktualizace totiž neodstraní backdoor, který by útočník na server nainstaloval před jejím nasazením.

Zpráva byla zveřejněna ve středu 21. října v 11:26 a aktualizována ve 14:30 východního času. Situace se přitom stále vyvíjí a další platformy a distribuce budou opravy teprve vydávat.