Dvě kritické chyby správy paměti v jádře PHP (CVSS v4.0 9,2), označované jako php2shell, umožňují neautentizovaným útočníkům vzdálené spuštění kódu prostřednictvím webového požadavku. Vývojáři vydali opravné verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12 a zdroje hlásí aktivní zneužívání těchto zranitelností v reálném provozu.
Týdenní přehled švédského NCSC CERT-SE informuje o tom, že norský bezpečnostní úřad NSM zvýšil úroveň národního kybernetického rizika na vysokou. Dále zmiňuje zařazení zranitelností v PHP do katalogu zneužívaných chyb CISA KEV.
Podle výzkumníků z Tenable vyžaduje zneužití zranitelností php2shell kód přesně přizpůsobený konkrétnímu prostředí a sestavení PHP, což plošné útoky ztěžuje. Výjimku tvoří síťová zařízení se shodným firmwarem, kde bylo v praxi zaznamenáno úspěšné kompromitování, například u systémů PAN-OS spojením s další chybou v Linuxu.
Kritická zranitelnost typu out-of-bounds write v dekodéru kompresní knihovny Google Brotli (CVE-2026-111497, CVSS až 9,8) umožňuje neautentizovanému vzdálenému útočníkovi spustit kód pomocí upravených dat. Chyba zasahuje širokou škálu technologií včetně Node.js, .NET či Pythonu, jsou dostupné veřejné exploity a CISA ji zařadila na seznam aktivně zneužívaných.
Zdroj přináší přehled událostí z uplynulého týdne, během něhož se objevila kritická chyba v PHP, uniklá hlášení o jádře Linuxu či kompromitovaná verze nástroje LiteLLM. Článek hodnotí, které z těchto hrozeb vyžadovaly okamžitou reakci a které vyvolaly spíše zbytečný rozruch.
Malwarebytes varuje před nárůstem webových útoků typu ClickFix na legitimních webech a zneužíváním zranitelností v technologiích jako PHP či Node.js. Společnost doporučuje aktualizovat software, ověřovat podezřelé požadavky stránek a používat bezpečnostní rozšíření i správce hesel.
Pro poštovní a kolaborační server IceWarp Server jsou k dispozici aktualizace a mitigace řešící kritické zranitelnosti PHP2Shell (CVE-2026-109618, CVE-2026-109619 a CVE-2026-115560) v integrovaném interpretu PHP. Americká agentura CISA potvrdila, že tyto zranitelnosti jsou již aktivně zneužívány při útocích, a zařadila je do svého katalogu.
Americká agentura CISA zařadila na seznam aktivně zneužívaných chyb zranitelnost poškození paměti v PHP označenou jako CVE-2026-109618. Maďarský úřad NBSZ NKI již dříve varoval před dvěma kritickými chybami v tomto běhovém prostředí s ohledem na jejich závažnost a očekávané zneužití.
Bezpečnostní chyba CVE-2026-115560 označovaná jako PHP2Shell umožňuje vzdálené spuštění libovolného kódu, přičemž zneužití podle vývojářů vyžaduje specifickou kombinaci konfiguračních voleb. Italský CSIRT upozornil, že zranitelnost zatím nemá opravu, a doporučuje vypnout volbu session.upload_progress.enabled nebo nasadit blokovací pravidla na WAF.
Podle zdroje byla v PHP odhalena zranitelnost CVE-2026-115560, která může za specifických podmínek vést ke vzdálenému spuštění kódu. Do vydání opravy zdroj doporučuje nastavit volbu 'session.upload_progress.enabled=0'.
Rozbor publikovaných konceptů zneužití zranitelnosti php2shell ukazuje, že vytvoření univerzálního a spolehlivého exploitu je v reálném prostředí velmi obtížné kvůli specifickým požadavkům na paměťové limity, konfiguraci procesů a obcházení ASLR. Autor doporučuje dočasně nastavit session.upload_progress.enabled na 0.
Podle SANS ISC koordinované vydání oprav pro nedávnou zranitelnost v PHP zafungovalo a řada dodavatelů vydala záplaty současně s PHP.net. Ačkoli Cloudflare a Amazon hlásí pokusy o zneužití, spolehlivý veřejný exploit zatím není známý, jeho zveřejnění a následné masivnější útoky jsou však podle autora pouze otázkou času.
CERT-SE ve svém týdenním přehledu upozorňuje na dvě kritické zranitelnosti v programovacím jazyce PHP. Vydání dále odkazuje na zprávu agentury CISA a dalších institucí o ransomwarové skupině Safepay.
Newsletter Cisco Talos upozorňuje na dvě neautentizované zranitelnosti typu RCE v PHP označené jako 'php2shell', které postihují verze od 5.4 a vyvolávají pokusy o zneužití. V úvodní úvaze se věnuje dopadům zrušení přestupné sekundy na IT infrastrukturu a přináší souhrn dalších bezpečnostních zpráv.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti ovlivňující verze PHP starší než 8.x. Organizace doporučuje uživatelům a správcům sledovat vydané bezpečnostní informace a aplikovat potřebné aktualizace, jakmile budou k dispozici.
Britské Národní středisko kybernetické bezpečnosti (NCSC) vyzývá tamní organizace, aby se připravily na okamžitou aktualizaci systémů využívajících PHP.
CERT-FR informuje o oznámení vývojářů PHP ohledně dvou kritických zranitelností. Bezpečnostní opravy mají být podle vydavatele dostupné 21. října 2026 v 16:00 pařížského času, přičemž starší verze PHP 5.x, 6.x, 7.x, 8.0.x a 8.1.x již nejsou podporovány.
PHP Foundation oznámila nadcházející bezpečnostní vydání řešící dvě kritické zranitelnosti v PHP, které by podle úniků informací mohly vést ke vzdálenému spuštění kódu. Technické podrobnosti zatím nebyly zveřejněny a CERT-EU doporučuje organizacím připravit se na okamžité nasazení záplat.
V PHP bylo odhaleno několik zranitelností hodnocených se skóre CVSS až 7,5, pro které existuje proof-of-concept a jsou k dispozici oficiální opravy. Chyby se týkají například komponent SOAP, PHP-FPM, OpenSSL či Phar a mohou neautentizovanému útočníkovi umožnit shodit SOAP endpoint, obejít omezení přístupu přes IPv6, vyzradit přihlašovací údaje nebo narušit integritu a důvěrnost dat.
Zdroj uvádí, že funkce parse_str v PHP, Hardened-PHP a Suhosin může při volání bez druhého parametru umožnit útočníkům přepsat libovolné proměnné zadáním názvů a hodnot v parsovaném řetězci.