# PHP opravilo dvě kritické zranitelnosti umožňující vzdálené spuštění kódu; weby kvůli záplatám vypadávají

*2026-10-22 02:01 UTC · Technologie · 1 min read*

> PHP 8.5.12 a další verze opravují dvě kritické chyby s RCE (CVSS 9,2); některé evropské vládní a nemocniční weby šly kvůli záplatám offline.

Projekt PHP vydal 21. října verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35, které opravují dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619, obě umožňují vzdálené spuštění kódu. První vzniká poškozením paměti, když požadavek narazí na memory_limit ve špatný okamžik; druhá zastaralým globálním stavem po fatální chybě, což umožňuje use-after-free. Skóre CVSS je 9,2, nikoli 10,0 uváděných v uniklých informacích.

Na Apache s mod_php může neautentizovaný požadavek spustit první chybu dřív, než se vykoná kód aplikace, a RCE bylo předvedeno s výchozím nastavením. Potvrzeno bylo i u PHP-FPM přes cesty v aplikačním kódu. ID zranitelností unikla o dva dny dříve, proto byla oprava vydána o den dřív. OpenAI uvedlo, že chyby pomohl najít jeho model GPT-5.6 Sol; podle WSJ může být ohroženo až 70 % webů.

Reuters uvádí, že evropské vládní, školní a nemocniční weby byly při záplatování staženy offline. Opravy pokrývají jen PHP 8.2 a novější, starší nasazení závisí na dodavatelích; Cloudflare nasadil ochranná pravidla WAF pro všechny zákazníky.

## Zdroje

- [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)
- [reuters.com](https://www.reuters.com/technology/websites-taken-offline-over-php-risks-2026-10-21/)
- [wired.com](https://www.wired.com/story/this-is-not-a-drill-2-php-vulnerabilities-are-setting-the-internet-on-fire/)

---
TechTools News · https://techtools.cz/tools/news/clanek/2632-php-opravilo-dve-kriticke-zranitelnosti-umoznujici-vzdalene-spusteni-kodu-weby
English version: https://techtools.cz/tools/news/article/2558-php-patches-two-critical-remote-code-execution-flaws-sites-go-offline-as-admins