Kritické chyby PHP: čo preveriť na webe a e-shope

PHP môže poháňať aj interný portál, firemný informačný systém alebo integračné rozhranie. Kontrola preto patrí všetkým používaným aplikáciám a serverom, nie iba verejnému webu.

Bezpečnostná chyba v PHP môže ohroziť aj aplikáciu, ktorej vlastný kód sa nezmenil. Preto má prevádzkovateľ e-shopu vedieť, kto sleduje opravy serverového prostredia a kto zodpovedá za ich nasadenie.

Čo PHP oznámilo v októbri 2026

PHP tím 21. októbra oznámil dve kritické chyby: CVE-2026-109618 a CVE-2026-109619. Môžu umožniť vzdialené spustenie kódu bez prihlásenia. Riziko sa týka PHP inštalácií obsluhujúcich webové požiadavky; tím uvádza najvyššie riziko pri Apache mod_php. Opravy priniesli verzie 8.2.35, 8.3.36, 8.4.27 a 8.5.12.

Americká CISA obe chyby 26. októbra zaradila do katalógu známych zneužívaných zraniteľností KEV. Nejde teda už iba o teoretické riziko: podľa CISA sa zneužívajú v praxi. Ako ich útočníci môžu spojiť s chybou jadra Linuxu, opisujeme v článku Fragnesia v CISA KEV: prečo preveriť Linux aj PHP.

Nasledovali aj doplňujúce upozornenia: 23. októbra k neobvyklej kombinácii nastavení session upload progress a 26. októbra k aktualizovaným Windows balíčkom s opravou knižnice Brotli. Windows zostavenia majú príponu -1, pričom číslo PHP runtime zostáva rovnaké. Podrobnosti a aktuálne pokyny treba overiť v oznámeniach PHP a u dodávateľa systému.

Číslo z terminálu nemusí opisovať váš web

Firma môže prevádzkovať viac domén, verzií PHP aj samostatných poolov. Príkaz spustený cez SSH preto nemusí potvrdiť stav e-shopu. Potrebujete zistiť skutočný runtime konkrétneho webu, spôsob jeho spúšťania a to, či dodávateľ balíčka poskytol opravu spätne do svojej verzie.

• Spíšte weby, aplikačné pooly, kontajnery a serverové balíčky.
• Overte podporu používaných vetiev a bezpečnostné oznámenia dodávateľa.
• Skontrolujte testovacie aj menej viditeľné subdomény.
• Po aktualizácii overte, že procesy naozaj bežia s opraveným prostredím.

Ako pripraviť aktualizáciu e-shopu

Pred zásahom si pripravte overenú zálohu, testovací scenár a postup návratu. Pri zmene hlavnej vetvy PHP skontrolujte kompatibilitu aplikácie a závislostí. Funkčné overenie musí zahŕňať viac než úvodnú stránku: prihlásenie, administráciu, výber variantu, objednávku, platbu, dopravu a dátové integrácie.

Podmienky servisného okna a zodpovednú osobu dohodnite vopred. Po nasadení sledujte chyby aplikácie, spracovanie úloh a neúspešné požiadavky. Bez týchto kontrol môže zostať chyba nákupného procesu skrytá.

Oprava zraniteľnosti a vyšetrovanie sú dva kroky

Aktualizácia odstráni konkrétnu zraniteľnosť. Sama nepotvrdzuje, že k napadnutiu predtým nedošlo. Pri podozrení treba preveriť dostupné logy, zmeny súborov, účty a naplánované úlohy. Bez dôkazov sa nedá konkrétnej chybe pripísať incident vo vašej firme.

O úlohe AI pri obrannom výskume a nadväzujúcom procese opráv píšeme v článku AI objavuje kritické chyby. Kto u vás nasadí opravu?.