NBÚ varuje pred kritickými zraniteľnosťami v PHP, riziko dosahuje 9,2 z 10
Národný bezpečnostný úrad (NBÚ) upozorňuje na vážny bezpečnostný problém, ktorý zasahuje rozsiahlu časť internetovej infraštruktúry. Dve nové zraniteľnosti v PHP umožňujú útočníkom spúšťať ľubovoľný kód na serveroch, pričom ohrozené sú roky staré verzie aj najnovšie inštalácie po celom svete.
Identifikované zraniteľnosti pod označením CVE-2026-109618 a CVE-2026-109619 dosiahli v medzinárodnom hodnotení nebezpečnosti CVSS v4.0 mimoriadne vysoké skóre 9,2 z 10. Najväčším rizikom je, že vzdialený neoverený útočník môže vďaka týmto chybám spustiť na cieľovom serveri ľubovoľný kód. Bezpečnostná diera sa týka prakticky všetkých vydaní od historickej verzie PHP 5.0 až po tie najnovšie.
Únik technických detailov pred oficiálnym zverejnením naviac spôsobil, že bezpečnostní výskumníci už publikovali funkčný koncept zneužitia. Hoci zatiaľ nebolo potvrdené masívne zneužívanie v reálnej prevádzke, riziko je bezprostredné.
Ohrozené sú aj zariadenia, kde by ste PHP nečakali
Problém sa netýka len klasických webových stránok či redakčných systémov. Bezpečnostný úrad zdôrazňuje, že PHP býva často zabudované v administrátorských rozhraniach sieťových prvkov, napríklad zariadení Palo Alto Networks PAN-OS či Citrix NetScaler, v Docker kontajneroch alebo v biznis aplikáciách tretích strán. Pre správcov IT to znamená jedinú povinnosť: okamžite zmapovať všetky systémy a nečakať len na to, či ide o primárne webový server.
Plán opráv a okamžité preventívne kroky
Vývojový tím PHP naplánoval vydanie mimoriadnych bezpečnostných záplat na 21. októbra 2026 o 16:00. Správcovia by mali byť pripravení aktualizácie ihneď aplikovať. Kým budú záplaty dostupné, NBÚ odporúča vykonať dočasné zmierňujúce opatrenia.
Prvým je vypnutie Session Upload Progress – nastavením parametra session.upload_progress.enabled=0 v konfigurácii PHP sa dá zablokovať minimálne jeden zo známych spôsobov vedenia útoku. Ďalej ide o obmedzenie multipart požiadaviek, teda na službách, ktoré nevyžadujú nahrávanie súborov, dočasne blokovať požiadavky typu multipart/form-data.
Úrad tiež odporúča izoláciu kritických systémov – najcitlivejšie a najviac exponované služby je vhodné dočasne odstaviť z verejného internetu alebo obmedziť prístup len pre dôveryhodné siete. Rovnako dôležité je centralizované logovanie, teda sledovanie a ukladanie logov mimo potenciálne zasiahnutých serverov na včasnú detekciu prípadných pádom procesov či neobvyklých požiadaviek.
Postup po vydaní záplaty
Akonáhle budú opravné verzie sprístupnené, prioritou musia byť internetovo dostupné služby. Samotná aktualizácia aplikácie či CMS nestačí – je nevyhnutné aktualizovať priamo runtime prostredie PHP a následne reštartovať všetky súvisiace procesy, ako PHP-FPM, Apache moduly či prebudovať Docker kontajnery.
Pokiaľ organizácie prevádzkujú staré, oficiálne už nepodporované verzie PHP, dostupnosť oficiálnej opravy nemožno očakávať. V takom prípade úrad zdôrazňuje, že ponechať zraniteľný systém dostupný z internetu nie je akceptovateľné – systém musí byť zmigrovaný, chránený komerčným backportom alebo trvalo stiahnutý z prevádzky.
