PHP vydalo nouzové záplaty pro kritické chyby PHP2Shell

Ve středu 21. října vydali správci PHP neplánované bezpečnostní aktualizace pro dvě kritické chyby v jádru jazyka. Tyto chyby jsou souhrnně označovány jako PHP2Shell a umožňují útočníkovi bez účtu spouštět kód na webových serverech. BleepingComputer uvedl, že opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Chyby jsou sledovány pod označením CVE-2026-109618 a CVE-2026-109619 a obě mají na stupnici CVSS v4.0 hodnocení 9.2. The Hacker News uvedly, že PHP aktualizace vydalo kolem 14:00 UTC, jeden den poté, co podrobnosti unikly před plánovaným zveřejněním 22. října.bleepingcomputer.com+1

Sázky jsou vysoké, protože chyby se nacházejí přímo v běhovém prostředí, nikoliv v jednotlivých aplikacích. Wiz Research, jeden z týmů, který je objevil, uvádí, že PHP pohání asi 70 % světových webových stránek a že každá verze PHP za poslední desetiletí, sahající až k 5.4, obsahuje alespoň jednu z těchto chyb.ncsc.gov.uk

Vlády odpojují weby

Vládní agentury v Nizozemsku a Finsku preventivně odpojily webové stránky, uvedla agentura Reuters. Kybernetické bezpečnostní agentury v Evropě, Austrálii, Japonsku a Británii vyzvaly uživatele PHP k okamžité aktualizaci nebo odpojení stránek. Nizozemská kybernetická bezpečnostní agentura vypnula vlastní web. Stejně tak učinila Tweede Kamer, dolní komora nizozemského parlamentu, a Národní institut pro veřejné zdraví a životní prostředí, uvádí BBC. Britské Národní centrum kybernetické bezpečnosti doporučilo, že "pokud není okamžitá náprava proveditelná, organizace by měly zvážit odpojení systému od sítě."reuters.com+1

Před vydáním záplat Dane Knecht, CTO společnosti Cloudflare, uvedl: "Vidíme počáteční útoky," a pravidla firewallu společnosti označil pouze za "dočasné řešení". Žádné úspěšné narušení nebylo potvrzeno. K 11:26 UTC společnost watchTowr nezaznamenala žádné zneužití v praxi.thehackernews.com+1

Starší verze zůstávají vystaveny

Chyby ovlivňují PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Tým PHP uvádí, že mod_php představuje nejvyšší riziko, protože demonstrovaný exploit lze spustit neautorizovaným požadavkem "před spuštěním jakéhokoli kódu aplikace". Verze 8.1 a starší již nejsou podporovány a nedostávají oficiální vydání. Vzhledem k závažnosti chyb však tým PHP zveřejnil minimální backporty zdrojového kódu pro verze 7.4, 8.0 a 8.1. Útočníci mohou také číst pracovní paměť, která může obsahovat hesla, API klíče a certifikáty. Aktualizace aplikace, jako je WordPress, neaktualizuje pod ní běžící běhové prostředí PHP.bleepingcomputer.com+1

Objev s pomocí AI

Chyby objevily společnosti Wiz, Calif a bezpečnostní tým OpenAI Codex. Podle The Hacker News byl základní kód v PHP přítomen více než deset let. Wiz přirovnala PHP2Shell k Heartbleed a Log4Shell. Uvedla, že pokročilé modely AI "výrazně snížily" bariéru pro přeměnu dlouhodobé chyby na funkční exploit. Před vydáním varoval hlavní vývojář PHP Gina Peter Banyard, že "jedinou obranou je záplatování/aktualizace PHP."thehackernews.com+1