PHP CVE‑2026‑109618 & CVE‑2026‑109619

Zdar, trochu se divím, že tu už dávno není živé vlákno na tohle téma. Zdá se, že dopad je tak na 99% všech PHP webů. Impacted všechny PHP verze od PHP5 až do posledni PHP8.x. Abych to tady celý nemusel vypisovat. Je bambilion článků, které to popisujou v detailu: https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote https://www.root.cz/clanky/vazne-chyby-v-php-umoznuji-vzdalene-spusteni-kodu-unikly-pred-oznamenim/ Jak to zatím mitigujete? Já jsem se rozhodl to zazdít na nginx proxy přes zákaz multipart..

# Block all multipart requests across all endpoints

if ($http_content_type ~* "multipart") {

    return 403;

}

plus zákaz file upload na php-fpm backendech.. tak uvidíme no.. Patche by měly být dostupný snad dnes po 16:00 CEST. Samozřejmě balíky pro distra budou mít zpoždění..