NBÚ varuje pred kritickými zraniteľnosťami v PHP, riziko siaha od verzie 5.0 po najnovšie inštalácie
Národný bezpečnostný úrad (NBÚ) upozorňuje na vážny bezpečnostný problém, ktorý zasahuje rozsiahlu časť internetovej infraštruktúry. Dve nové zraniteľnosti v PHP umožňujú útočníkom spúšťať ľubovoľný kód na serveroch. Ohrozené sú roky staré verzie aj najnovšie inštalácie po celom svete.
Identifikované zraniteľnosti pod označením CVE-2026-109618 a CVE-2026-109619 dosiahli v medzinárodnom hodnotení nebezpečnosti CVSS v4.0 mimoriadne vysoké skóre 9,2 z 10. Najväčším rizikom je, že vzdialený neoverený útočník môže vďaka týmto chybám spustiť na cieľovom serveri ľubovoľný kód. Bezpečnostná diera sa týka nevídaného rozsahu softvéru – ohrozené sú prakticky všetky vydania od historickej verzie PHP 5.0 až po tie najnovšie.
Únik technických detailov pred oficiálnym zverejnením naviac spôsobil, že bezpečnostní výskumníci už publikovali funkčný koncept zneužitia. Hoci zatiaľ nebolo potvrdené masívne zneužívanie v reálnej prevádzke, riziko je bezprostredné.
Ohrozené sú aj zariadenia, kde by ste PHP nečakali
Problém sa netýka len klasických webových stránok či redakčných systémov. Bezpečnostný úrad zdôrazňuje, že PHP býva často zabudované v administrátorských rozhraniach sieťových prvkov (napríklad zariadení Palo Alto Networks PAN-OS či Citrix NetScaler), v Docker kontajneroch alebo v biznis aplikáciách tretích strán. Pre správcov IT to znamená jedinú povinnosť: okamžite zmapovať všetky systémy a nečakať len na to, či ide o primárne webový server.
Plán opráv a okamžité preventívne kroky
Vývojový tím PHP naplánoval vydanie mimoriadnych bezpečnostných záplat na 21. októbra 2026 o 16:00. Správcovia by mali byť pripravení aktualizácie ihneď aplikovať. Kým budú záplaty dostupné, NBÚ odporúča vykonať dočasné zmierňujúce opatrenia.
Prvým krokom je vypnutie Session Upload Progress – nastavením parametra session.upload_progress.enabled=0 v konfigurácii PHP sa dá zablokovať minimálne jeden zo známych spôsobov vedenia útoku. Na službách, ktoré nevyžadujú nahrávanie súborov, je vhodné dočasne blokovať požiadavky typu multipart/form-data.
Najcitlivejšie a najviac exponované služby odporúča úrad dočasne odstaviť z verejného internetu alebo obmedziť prístup len pre dôveryhodné siete. Zároveň je potrebné sledovať a ukladať logy mimo potenciálne zasiahnutých serverov na včasnú detekciu prípadných pádov procesov či neobvyklých požiadaviek.
Postup po vydaní záplaty
Akonáhle budú opravné verzie sprístupnené, prioritou musia byť internetovo dostupné služby. Samotná aktualizácia aplikácie či CMS nestačí – je nevyhnutné aktualizovať priamo runtime prostredie PHP a následne reštartovať všetky súvisiace procesy (PHP-FPM, Apache moduly či prebudovať Docker kontajnery).
Pokiaľ organizácie prevádzkujú staré, oficiálne už nepodporované verzie PHP, dostupnosť oficiálnej opravy nemožno očakávať. V takom prípade úrad zdôrazňuje, že ponechať zraniteľný systém dostupný z internetu nie je akceptovateľné – systém musí byť zmigrovaný, chránený komerčným backportom alebo trvalo stiahnutý z prevádzky.
