Nebezpečné zraniteľnosti v PHP ohrozujú tisíce zariadení, NBÚ vydal okamžité varovanie

Dve nové zraniteľnosti v PHP umožňujú útočníkom spúšťať ľubovoľný kód na serveroch. Ohrozené sú roky staré verzie aj najnovšie inštalácie po celom svete.  

Národný bezpečnostný úrad (NBÚ) upozorňuje na vážny bezpečnostný problém, ktorý zasahuje rozsiahlu časť internetovej infraštruktúry. Identifikované zraniteľnosti pod označením CVE-2026-109618 a CVE-2026-109619 dosiahli v medzinárodnom hodnotení nebezpečnosti CVSS v4.0 mimoriadne vysoké skóre 9,2 z 10.

Najväčším rizikom je, že vzdialený neoverený útočník môže vďaka týmto chybám spustiť na cieľovom serveri ľubovoľný kód. Bezpečnostná diera sa týka nevídaného rozsahu softvéru – ohrozené sú prakticky všetky vydania od historickej verzie PHP 5.0 až po tie najnovšie.

Únik technických detailov pred oficiálnym zverejnením naviac spôsobil, že bezpečnostní výskumníci už publikovali funkčný koncept zneužitia. Hoci zatiaľ nebolo potvrdené masívne zneužívanie v reálnej prevádzke, riziko je bezprostredné.

Ohrozené sú aj zariadenia, kde by ste PHP nečakali

Problém sa netýka len klasických webových stránok či redakčných systémov. Bezpečnostný úrad zdôrazňuje, že PHP býva často zabudované v administrátorských rozhraniach sieťových prvkov (napríklad zariadení Palo Alto Networks PAN-OS či Citrix NetScaler), v Docker kontajneroch alebo v biznis aplikáciách tretích strán.

Pre správcov IT to znamená jedinú povinnosť: okamžite zmapovať všetky systémy a nečakať len na to, či ide o primárne webový server.

Plán opráv a okamžité preventívne kroky

Vývojový tím PHP naplánoval vydanie mimoriadnych bezpečnostných záplat na 21. októbra 2026 o 16:00. Správcovia by mali byť pripravení aktualizácie ihneď aplikovať.

Kým budú záplaty dostupné, NBÚ odporúča vykonať dočasné zmierňujúce opatrenia:

• Vypnutie Session Upload Progress: Nastavením parametra session.upload_progress.enabled=0 v konfigurácii PHP sa dá zablokovať minimálne jeden zo známych spôsobov vedenia útoku.
• Omezenie multipart požiadaviek: Na službách, ktoré nevyžadujú nahrávanie súborov, dočasne blokujte požiadavky typu multipart/form-data.
• Izolácia kritických systémov: Najcitlivejšie a najviac exponované služby je vhodné dočasne odstaviť z verejného internetu alebo obmedziť prístup len pre dôveryhodné siete.
• Centralizované logovanie: Sledujte a ukladejte logy mimo potenciálne zasiahnutých serverov na včasnú detekciu prípadných pádov procesov či neobvyklých požiadaviek.

Postup po vydaní záplaty

Akonáhle budú opravné verzie sprístupnené, prioritou musia byť internetovo dostupné služby. Samotná aktualizácia aplikácie či CMS nestačí – je nevyhnutné aktualizovať priamo runtime prostredie PHP a následne reštartovať všetky súvisiace procesy (PHP-FPM, Apache moduly či prebudovať Docker kontajnery).

Pokiaľ organizácie prevádzkujú staré, oficiálne už nepodporované verzie PHP, dostupnosť oficiálnej opravy nemožno očakávať. V takom prípade úrad zdôrazňuje, že ponechať zraniteľný systém dostupný z internetu nie je akceptovateľné – systém musí byť zmigrovaný, chránený komerčným backportom alebo trvalo stiahnutý z prevádzky.