PHP CVE‑2026‑109618 & CVE‑2026‑109619

21. 10. 2026 15:09:32

Zdar,

trochu se divím, že tu už dávno není živé vlákno na tohle téma. Zdá se, že dopad je tak na 99% všech PHP webů.

Impacted všechny PHP verze od PHP5 až do posledni PHP8.x.

Abych to tady celý nemusel vypisovat. Je bambilion článků, které to popisujou v detailu:

https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote

https://www.root.cz/clanky/vazne-chyby-v-php-umoznuji-vzdalene-spusteni-kodu-unikly-pred-oznamenim/

Jak to zatím mitigujete?

Já jsem se rozhodl to zazdít na nginx proxy přes zákaz multipart..

# Block all multipart requests across all endpoints
if ($http_content_type ~* "multipart") {
return 403;
}

plus zákaz file upload na php-fpm backendech.. tak uvidíme no.. Patche by měly být dostupný snad dnes po 16:00 CEST.

Samozřejmě balíky pro distra budou mít zpoždění..

Editováno 21. 10. 2026 15:11:40 uživatelem Jiří Pomazal

21. 10. 2026 15:09:32

2 0

Líbí se: MyDreams VPS hosting, Petra Řehořová

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/php-cve-2026-109618-cve-2026-109619/#reply1546612

MyDreams VPS hosting

(57 hodnocení)

21. 10. 2026 16:18:28

https://www.root.cz/clanky/vazne-chyby-v-php-umoznuji-vzdalene-spusteni-kodu-aktualizace-byly-vydany/

Jako je snadné říci, přejděte na záplatované PHP 8.5., ale převod webů ze dne na den na nejnovejší PHP je SCI-FI, když například Joomla 3, končí na verzi PHP 7.4.

A balíčky pro operační systémy mohou klidně přijít až za několik měsíců.

21. 10. 2026 16:18:28

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/php-cve-2026-109618-cve-2026-109619/#reply1546615

Jiří Pomazal

21. 10. 2026 18:33:47

Hmm.. tak PHP project vydal patche:

https://www.php.net/archive/2026.php#2026-10-21-5

Samozřejmě jen pro verze: PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35

Cokoli nižšího je na odstřel a musí pravděpodobně přežít jen s pomocí těch workarounds..

Dopadne to pravděpodobně tak, že "ležáci" - tedy neupdatované weby na prehistorických verzích PHP, které reáně nikdo nespravuje bude třeba dát do nějakého containmentu - tedy zásadně k nim omezit přístup z venčí.

Jsem zvědavý, jak bude probíhat migrace těchle webů...

21. 10. 2026 18:33:47

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/php-cve-2026-109618-cve-2026-109619/#reply1546626

Dominik Shaim Ulrich

(142 hodnocení)

21. 10. 2026 19:59:32

Pro doplnění, opravy těchhle dvou CVE existují i pro starší PHP. Ondřej Surý (udržuje PHP balíčky pro Debian a Ubuntu) vydal 21. 10. kolem 15:40 na packages.sury.org opravené balíčky i pro PHP 5.6, 7.1, 7.2, 7.3, 7.4 a 8.1, se zpětně přeneseným patchem z php-src. Na Debianu i Ubuntu tedy stačí mít ten repozitář a aktualizovat, kvůli téhle chybě není nutné weby narychlo převádět na 8.5. Jen je dobré mít na paměti, že řady do 8.1 už oficiálně podporované nejsou, takže jde o záplatu téhle konkrétní chyby, ne o návrat podpory.

My jsme to na hostingu OpenServis nasadili ještě týž den na všechny servery a všechny verze PHP od 5.6 do 8.5: https://www.openservis.cz/prestashop-blog/kriticke-chyby-php-rijen-2026-hosting-opraven/

Editováno 21. 10. 2026 20:00:03 uživatelem Dominik Shaim Ulrich

21. 10. 2026 19:59:32

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/php-cve-2026-109618-cve-2026-109619/#reply1546628

David Musil

(73 hodnocení)

23. 10. 2026 14:29:07

Jo, je to zábava. Máme co dělat ještě hodně dlouho... a to se do konce roku finishují ještě standardní projekty.

Hrozně blázní composery - ty závislosti jsou šílený.

Editováno 23. 10. 2026 14:29:35 uživatelem David Musil

23. 10. 2026 14:29:07

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/php-cve-2026-109618-cve-2026-109619/#reply1546675

Eric Keyword

27. 10. 2026 11:43:10

Díky za odkazy. Ten zákaz multipart na nginxu ale asi rozbije i nahrávání obrázků v administraci, ne? Na Begetu to prý udělali plošně a lidem pak v MODX nešlo uložit ani článek. Takže spíš jen dočasně, než se aktualizuje PHP.

27. 10. 2026 11:43:10

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/php-cve-2026-109618-cve-2026-109619/#reply1546771

Pro odpověď se přihlašte.

Přihlásit