Kritické chyby PHP: co prověřit na webu a e-shopu

PHP může pohánět i interní portál, firemní informační systém nebo integrační rozhraní. Kontrola proto patří všem používaným aplikacím a serverům, ne jen veřejnému webu.

Bezpečnostní chyba v PHP může ohrozit i aplikaci, jejíž vlastní kód se nezměnil. Proto má provozovatel e-shopu vědět, kdo sleduje opravy serverového prostředí a kdo odpovídá za jejich nasazení.

Co PHP oznámilo v říjnu 2026

Tým PHP 21. října oznámil dvě kritické chyby: CVE-2026-109618 a CVE-2026-109619. Mohou umožnit vzdálené spuštění kódu bez přihlášení. Riziko se týká instalací PHP obsluhujících webové požadavky; tým uvádí nejvyšší riziko u Apache mod_php. Opravy přinesly verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12.

Americká CISA obě chyby 26. října zařadila do katalogu známých zneužívaných zranitelností KEV. Nejde tedy už jen o teoretické riziko: podle CISA se zneužívají v praxi. Jak je útočníci mohou spojit s chybou jádra Linuxu, popisujeme v článku Fragnesia v CISA KEV: proč prověřit Linux i PHP.

Následovala i doplňující upozornění: 23. října k neobvyklé kombinaci nastavení session upload progress a 26. října k aktualizovaným balíčkům pro Windows s opravou knihovny Brotli. Sestavení pro Windows mají příponu -1, přičemž číslo runtime PHP zůstává stejné. Podrobnosti a aktuální pokyny je třeba ověřit v oznámeních PHP a u dodavatele systému.

Číslo z terminálu nemusí popisovat váš web

Firma může provozovat více domén, verzí PHP i samostatných poolů. Příkaz spuštěný přes SSH proto nemusí potvrdit stav e-shopu. Potřebujete zjistit skutečný runtime konkrétního webu, způsob jeho spouštění a to, zda dodavatel balíčku poskytl opravu zpětně do své verze.

• Sepište weby, aplikační pooly, kontejnery a serverové balíčky.
• Ověřte podporu používaných větví a bezpečnostní oznámení dodavatele.
• Zkontrolujte testovací i méně viditelné subdomény.
• Po aktualizaci ověřte, že procesy opravdu běží s opraveným prostředím.

Jak připravit aktualizaci e-shopu

Před zásahem si připravte ověřenou zálohu, testovací scénář a postup návratu. Při změně hlavní větve PHP zkontrolujte kompatibilitu aplikace a závislostí. Funkční ověření musí zahrnovat víc než úvodní stránku: přihlášení, administraci, výběr varianty, objednávku, platbu, dopravu a datové integrace.

Podmínky servisního okna a odpovědnou osobu domluvte předem. Po nasazení sledujte chyby aplikace, zpracování úloh a neúspěšné požadavky. Bez těchto kontrol může chyba nákupního procesu zůstat skrytá.

Oprava zranitelnosti a vyšetřování jsou dva kroky

Aktualizace odstraní konkrétní zranitelnost. Sama nepotvrzuje, že k napadení předtím nedošlo. Při podezření je třeba prověřit dostupné logy, změny souborů, účty a naplánované úlohy. Bez důkazů nelze konkrétní chybě připsat incident ve vaší firmě.

O roli AI v obranném výzkumu a navazujícím procesu oprav píšeme v článku AI objevuje kritické chyby. Kdo u vás nasadí opravu?.