[TLP:CLEAR] PHP opravuje 2 kritické zraniteľností

PHP (vrátane SAPI, ako napr. Apache mod_php, php-cgi, FrankenPHP alebo LiteSpeed) verziami 8.5.12, 8.4.27, 8.3.36, 8.2.35 a backportami pre 8.1 [2], 8.0 [3] a 7.4 [4] opravuje 2 kritické zraniteľnosti [5]. Ak nemôžete vykonať aktualizáciu okamžite, nižšie je zoznam dočasných opatrení, ktoré ale nenahrádzajú riadnu aktualizáciu. V prípade CVE-2026-109618 sa odporúča nastaviť parameter memory_limit = -1, obmedziť veľkosť multipart požiadaviek v PHP cez parameter post_max_size na čo najnižšiu možnú hodnotu, implementovať dodatočné limity na úrovni webservera alebo proxy (pre veľkosť dekódovanej požiadavky, počet vstupných polí, počet multipart častí, počet hlavičiek a hĺbku vnorenia) a na správu pamäte kontajnerov namiesto obmedzení RLIMIT používať cgroups. Detaily nájdete tu [5]. V prípade CVE-2026-109619 sa odporúča globálne vypnúť sledovanie uploadov (session.upload_progress.enabled = 0) v php.ini, FPM poole alebo serverovej konfigurácii, odstrániť neplatné či zastarané konfiguračné nastavenia spôsobujúce skoré varovania a ošetriť pády a timeouty, ktoré vie vyvolať útočník, a v PHP 8.5 vypnúť fatal_error_backtraces. Detaily nájdete tu [5]. Jednotlivé vydania Linux distribúcií a ich opravené verzie: Ubuntu [6][7]: Stonking - 8.5.9-0ubuntu2.1 Resolute - 8.5.4-0ubuntu1.5 Noble - 8.3.6-0ubuntu0.24.04.13 Jammy - 8.1.2-1ubuntu2.28 Focal - 7.4.3-4ubuntu2.29+esm5 Bionic - 7.2.24-0ubuntu0.18.04.17+esm14 Xenial - 7.0.33-0ubuntu0.16.04.16+esm22 Trusty - 5.5.9+dfsg-1ubuntu4.29+esm18 Debian [8][9]: bookworm (security) - 8.2.35~deb12u1 trixie (security) - 8.4.27~deb13u1 Red Hat [10][11]: Red Hat Enterprise Linux 8 - oprava dostupná pre php:7.4, podrobnosti na [12]

PHP - RCE (CVE-2026-109618)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je zaslaním špeciáne vytvoreného multipart HTTP požiadavku umožnené vyčerpať pamäť požiadavku, čo v dôsledku chybného zotavenia môže spôsobiť spúštanie ľubovolného kódu s právami worker procesu webservera [1].

Zraniteľnosť sa nachádza v produkte PHP vo verziách (<8.2.35) OR (>=8.3.0 AND <8.3.36) OR (>=8.4.0 AND <8.4.27) OR (>=8.5.0 AND <8.5.12).

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

PHP - RCE (CVE-2026-109619)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je zaslaním špeciáne vytvorenej sekvencie HTTP požiadaviek umožnené neoprávnene pristúpiť k uvoľnenej pamäti v dôsledku nezresetovaného globálneho stavu PHP, čo môže viesť k úniku dát alebo spusteniu ľubovoľného kódu s právami worker procesu webservera [13].

Zraniteľnosť sa nachádza v produkte PHP vo verziách (<8.2.35) OR (>=8.3.0 AND <8.3.36) OR (>=8.4.0 AND <8.4.27) OR (>=8.5.0 AND <8.5.12).

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Za CESNET-CERTS Ondrej Pavlovič dňa 21. 10. 2026.

CESNET-CERTS Logo