Vývojový tým PHP zveřejnil bezpečnostní aktualizace, které opravují dvě kritické zranitelnosti v jádře jazyka PHP. Zranitelnosti CVE-2026-109618 a CVE-2026-109619 mohou za určitých podmínek umožnit neautentizovanému útočníkovi vzdálené spuštění libovolného kódu na zranitelném serveru. Problém se týká širokého spektra instalací PHP, které zpracovávají webové požadavky, včetně konfigurací PHP-FPM, Apache s modulem mod_php a dalších způsobů nasazení.

Provozovatelům dotčených systémů doporučujeme bezodkladně aktualizovat PHP na opravenou verzi a prověřit také aplikace, kontejnery a další produkty, které tuto technologii využívají. Pokud není možné aktualizaci provést neprodleně, doporučujeme zvážit dočasné omezení dostupnosti dotčené aplikace, například zpřístupněním pouze z důvěryhodných IP adres nebo omezením přístupu prostřednictvím VPN. Pokud nelze riziko dostatečně snížit těmito opatřeními, je vhodné zvážit dočasné odstavení aplikace až do instalace bezpečnostní aktualizace. Tato opatření představují pouze dočasné snížení rizika a nenahrazují aktualizaci zranitelného PHP.

Více informací je také v článku na blogu sdružení CZ.NIC.