{"data":{"id":2632,"lang":"cs","title":"PHP opravilo dvě kritické zranitelnosti umožňující vzdálené spuštění kódu; weby kvůli záplatám vypadávají","summary":"PHP 8.5.12 a další verze opravují dvě kritické chyby s RCE (CVSS 9,2); některé evropské vládní a nemocniční weby šly kvůli záplatám offline.","category":"technology","category_label":"Technologie","published_at":"2026-10-22T02:01:21Z","updated_at":"2026-10-22T02:01:21Z","url":"https://techtools.cz/tools/news/clanek/2632-php-opravilo-dve-kriticke-zranitelnosti-umoznujici-vzdalene-spusteni-kodu-weby","api_url":"https://techtools.cz/news-api/v1/articles/2632?lang=cs","markdown_url":"https://techtools.cz/news-api/v1/articles/2632.md?lang=cs","image_url":"https://images.unsplash.com/photo-1677442136019-21780ecad995?w=800","word_count":159,"reading_time_minutes":1,"sources":[{"url":"https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/","domain":"thephp.foundation"},{"url":"https://www.reuters.com/technology/websites-taken-offline-over-php-risks-2026-10-21/","domain":"reuters.com"},{"url":"https://www.wired.com/story/this-is-not-a-drill-2-php-vulnerabilities-are-setting-the-internet-on-fire/","domain":"wired.com"}],"translation":{"lang":"en","id":2558,"title":"PHP Patches Two Critical Remote-Code-Execution Flaws; Sites Go Offline as Admins Rush to Update","url":"https://techtools.cz/tools/news/article/2558-php-patches-two-critical-remote-code-execution-flaws-sites-go-offline-as-admins","api_url":"https://techtools.cz/news-api/v1/articles/2558?lang=en"},"content":"Projekt PHP vydal 21. října verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35, které opravují dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619, obě umožňují vzdálené spuštění kódu. První vzniká poškozením paměti, když požadavek narazí na memory_limit ve špatný okamžik; druhá zastaralým globálním stavem po fatální chybě, což umožňuje use-after-free. Skóre CVSS je 9,2, nikoli 10,0 uváděných v uniklých informacích.\n\nNa Apache s mod_php může neautentizovaný požadavek spustit první chybu dřív, než se vykoná kód aplikace, a RCE bylo předvedeno s výchozím nastavením. Potvrzeno bylo i u PHP-FPM přes cesty v aplikačním kódu. ID zranitelností unikla o dva dny dříve, proto byla oprava vydána o den dřív. OpenAI uvedlo, že chyby pomohl najít jeho model GPT-5.6 Sol; podle WSJ může být ohroženo až 70 % webů.\n\nReuters uvádí, že evropské vládní, školní a nemocniční weby byly při záplatování staženy offline. Opravy pokrývají jen PHP 8.2 a novější, starší nasazení závisí na dodavatelích; Cloudflare nasadil ochranná pravidla WAF pro všechny zákazníky."}}