V jádře PHP byly odhaleny dvě kritické chyby se závažností CVSS 9,2, CVE-2026-109618 a CVE-2026-109619, označované jako 'php2shell', které neautentizovanému útočníkovi umožňují vzdálené spuštění libovolného kódu přes webový požadavek. Vývojáři vydali opravy ve verzích PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35, přičemž zranitelnosti jsou podle bezpečnostních firem již aktivně zneužívány v praxi.
Kritická chyba typu zápis mimo meze v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS 9,2) umožňuje neautentizovanému útočníkovi na dálku způsobit pád procesu nebo spustit libovolný kód pomocí upravených komprimovaných dat. Zranitelnost zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou pro ni dostupné veřejné PoC exploity a agentura CISA potvrdila její aktivní zneužívání.
Pro poštovní a kolaborační server IceWarp Server jsou k dispozici aktualizace a mitigace řešící kritické zranitelnosti PHP2Shell (CVE-2026-109618, CVE-2026-109619 a CVE-2026-115560) v integrovaném interpretu PHP. Americká agentura CISA potvrdila, že tyto zranitelnosti jsou již aktivně zneužívány při útocích, a zařadila je do svého katalogu.
Americká agentura CISA zařadila na seznam aktivně zneužívaných chyb zranitelnost poškození paměti v PHP označenou jako CVE-2026-109618. Maďarský úřad NBSZ NKI již dříve varoval před dvěma kritickými chybami v tomto běhovém prostředí s ohledem na jejich závažnost a očekávané zneužití.
Bezpečnostní chyba CVE-2026-115560 označovaná jako PHP2Shell umožňuje vzdálené spuštění libovolného kódu, přičemž zneužití podle vývojářů vyžaduje specifickou kombinaci konfiguračních voleb. Italský CSIRT upozornil, že zranitelnost zatím nemá opravu, a doporučuje vypnout volbu session.upload_progress.enabled nebo nasadit blokovací pravidla na WAF.
Podle zdroje byla v PHP odhalena zranitelnost CVE-2026-115560, která může za specifických podmínek vést ke vzdálenému spuštění kódu. Do vydání opravy zdroj doporučuje nastavit volbu 'session.upload_progress.enabled=0'.
CERT-SE ve svém týdenním přehledu upozorňuje na dvě kritické zranitelnosti v programovacím jazyce PHP. Vydání dále odkazuje na zprávu agentury CISA a dalších institucí o ransomwarové skupině Safepay.
Newsletter Cisco Talos upozorňuje na dvě neautentizované zranitelnosti typu RCE v PHP označené jako 'php2shell', které postihují verze od 5.4 a vyvolávají pokusy o zneužití. V úvodní úvaze se věnuje dopadům zrušení přestupné sekundy na IT infrastrukturu a přináší souhrn dalších bezpečnostních zpráv.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti ovlivňující verze PHP starší než 8.x. Organizace doporučuje uživatelům a správcům sledovat vydané bezpečnostní informace a aplikovat potřebné aktualizace, jakmile budou k dispozici.
Britské Národní středisko kybernetické bezpečnosti (NCSC) vyzývá tamní organizace, aby se připravily na okamžitou aktualizaci systémů využívajících PHP.
CERT-FR informuje o oznámení vývojářů PHP ohledně dvou kritických zranitelností. Bezpečnostní opravy mají být podle vydavatele dostupné 21. října 2026 v 16:00 pařížského času, přičemž starší verze PHP 5.x, 6.x, 7.x, 8.0.x a 8.1.x již nejsou podporovány.
PHP Foundation oznámila nadcházející bezpečnostní vydání řešící dvě kritické zranitelnosti v PHP, které by podle úniků informací mohly vést ke vzdálenému spuštění kódu. Technické podrobnosti zatím nebyly zveřejněny a CERT-EU doporučuje organizacím připravit se na okamžité nasazení záplat.
V PHP bylo odhaleno několik zranitelností hodnocených se skóre CVSS až 7,5, pro které existuje proof-of-concept a jsou k dispozici oficiální opravy. Chyby se týkají například komponent SOAP, PHP-FPM, OpenSSL či Phar a mohou neautentizovanému útočníkovi umožnit shodit SOAP endpoint, obejít omezení přístupu přes IPv6, vyzradit přihlašovací údaje nebo narušit integritu a důvěrnost dat.