Kritická chyba v PHP: co dělat, než vyjde oprava
Ráno 21. října 2026 jsem se dozvěděl o dvou závažných bezpečnostních chybách v PHP, které jsou označené CVE-2026-109618 a CVE-2026-109619. PHP je technologie, na které běží obrovské množství webů na internetu, včetně WordPressu a spousty e-shopů. Oprava má vyjít 21. října 2026 v 16:00 našeho času. Informace o chybách ale unikly už předchozího dne, takže se ještě před opravou ví, že existují.
Co se děje
Obě chyby (CVE-2026-109618 a CVE-2026-109619) jsou hodnocené jako kritické (9,2 z 10). Útočník by jejich zneužitím mohl převzít kontrolu nad serverem, na kterém web běží. Bezpečnostní firmy čekají, že útoky začnou velmi brzy po vydání opravy. Útočníci totiž z každé opravy zjistí, kde chyba je, a hned začnou zkoušet weby, které ji ještě nemají.
Zatím nic z toho není oficiálně potvrzené. Oficiální informace by se měla objevit na php.net/security. Do té doby jde jen o shodné zprávy z několika bezpečnostních zdrojů (odkazy níže).
Co by mohlo fungovat jako oprava
Skutečná oprava je nová verze PHP, která vyjde 21. října 2026. Jakmile bude k dispozici, je potřeba na ni přejít. Na sdíleném hostingu to obvykle jde jedním kliknutím v administraci, nebo to udělá přímo hosting.
Dočasná pojistka, než oprava dorazí. Podle uniklého popisu chyba souvisí s funkcí, která na webu ukazuje průběh nahrávání souboru (technicky se jmenuje session.upload_progress). Většina webů ji nepoužívá, takže její vypnutí obvykle nic nerozbije. Správce webu nebo podpora hostingu to umí nastavit, třeba vám stačí jim tohle jméno poslat. Je to ale jen domněnka z neoficiálního zdroje. Nikdo zatím nepotvrdil, že to chybu opravdu zacelí, a aktualizaci PHP to nenahrazuje.
Starší verze PHP. Podle dostupných zpráv nemusí oprava vyjít pro úplně staré verze (7 a starší, možná i 8.0 a 8.1). Pokud váš web běží na takové, je potřeba počítat s přechodem na novější verzi nebo se stěhováním jinam.
Co jsem udělal já, než oprava vyjde
- Zjistil jsem, co je opravdu jisté a co jen domněnka. Jisté je, že chyby existují a že oprava vyjde 21. října 2026. Spekulace je, kde přesně chyba je. Jeden člověk na Twitteru zveřejnil vlastní rozbor a ten jsem bral jako nápovědu, ne jako fakt.
- Vypnul jsem jednu funkci, kterou moje weby nepotřebují. Je to ta dočasná pojistka popsaná výše. Nic nerozbije a dá se kdykoli vrátit zpět.
- Zkontroloval jsem, že se změna opravdu projevila. Nestačí ji jen zadat. U některých míst se napoprvé neprojevila, i když to tak vypadalo. Teprve kontrola ukázala, že se musela udělat jinak.
- Sepsal jsem krátké shrnutí pro lidi, kteří mají web, ale technice nerozumí. Řekne jim, co mají zkontrolovat, a nemusí se při tom učit odborné pojmy. Přeju si, aby tenhle článek posloužil stejně.
Na rozbor, co je bezpečné udělat hned a co je zatím jen hádání, jsem použil Claude. Hodí se mít ráno v půl šesté někoho, s kým si můžete ověřit fakta a hned začít jednat.
Co by měl udělat každý, kdo má web
- Zeptejte se toho, kdo vám web spravuje. Napište agentuře, programátorovi nebo známému, jestli o chybách CVE-2026-109618 a CVE-2026-109619 ví a řeší je. Je to nejrychlejší krok a často stačí.
- Po 16:00 zkontrolujte hosting. Pokud web spravujete sami, najděte v administraci hostingu, jakou verzi PHP používáte. Pokud tam vyjde novější, přepněte na ni. Pokud ne, napište podpoře hostingu a zeptejte se, kdy opravu nasadí.
- Smažte staré a nepoužívané weby. Zapomenuté testovací kopie bývají nejčastější cestou, jak se útočník dostane dovnitř.
- Mějte aktuální zálohu webu. Kdyby se cokoli pokazilo, chcete se mít kam vrátit.
- Zkontrolujte hesla. Do administrace webu patří dlouhé a jedinečné heslo, nejlépe s dvoufázovým ověřením.
Jak poznáte, že je něco špatně
Pokud se web najednou chová divně, třeba nejde otevřít, odesílá spam, nebo se na něm objevují cizí stránky či odkazy, ozvěte se co nejdřív správci hostingu nebo webu.
Na co si dát pozor
Nenechte se rozhodit zprávami o panice. Tohle je běžná součást provozu webu a řeší se pár kroky, hlavně ale rychle. Důležité je, aby o tom někdo věděl a v nejbližších dnech to zkontroloval.
Zdroje
Oficiální oznámení bude na php.net/security. Zatím jsem vycházel z těchto neoficiálních, ale vzájemně se shodujících zpráv:
