Kritické RCE zranitelnosti php2shell v jádře PHP (CVE-2026-109618 a CVE-2026-109619)

CVE v události 5

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.8.

Jak se o tom psalo 66

1. 30. 10. 2026 12:32 · CSIRT Itálie (ACN) IT

   ESET: aktualizace a mitigace zranitelností PHP2Shell

   Pro platformu ESET Endpoint Encryption Server jsou podle CSIRT Itálie dostupné aktualizace a zmírňující opatření řešící kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619, známé jako 'PHP2Shell'. Tyto chyby se nacházejí v integrovaném interpretu PHP.

   originál: ESET: aggiornamenti e mitigazioni per le vulnerabilità "PHP2Shell"

2. 30. 10. 2026 02:42 · Tenable Research US

   php2shell po týdnu: proč jeden exploit nefunguje všude

   Podle výzkumníků z Tenable vyžaduje zneužití zranitelností php2shell kód přesně přizpůsobený konkrétnímu prostředí a sestavení PHP, což plošné útoky ztěžuje. Výjimku tvoří síťová zařízení se shodným firmwarem, kde bylo v praxi zaznamenáno úspěšné kompromitování, například u systémů PAN-OS spojením s další chybou v Linuxu.

   originál: php2shell one week later: Why one exploit doesn’t work everywhere

3. 29. 10. 2026 11:00 · CERT@VDE DE

   Welotec: Zranitelnosti PHP2Shell v SMART EMS

   Podle bezpečnostního oznámení obsahují verze SMART EMS až do v3.5.3 včetně dvě zranitelnosti v běhovém prostředí PHP týkající se bezpečnosti paměti. Neautentizovaný vzdálený útočník může tyto chyby využít ke spuštění libovolného kódu v kontextu webového workeru PHP.

   originál: Welotec: PHP2Shell Vulnerabilities in SMART EMS

4. 29. 10. 2026 · zachyceno 04:30 · NCSC-FI FI

   Dopad zranitelností PHP2Shell na produkty Juniper

   Tým HPE Juniper Networking PSIRT vydal bezpečnostní oznámení ke zranitelnostem PHP2Shell vedeným pod CVE-2026-109618 a CVE-2026-109619, které umožňují vzdálené spuštění kódu. Podle výrobce je systém Junos OS zranitelný vůči první chybě, nelze ji však zneužít, a zneužití v praxi zatím nebylo zaznamenáno.

   originál: 2026-10 Reference Advisory: Status of PHP2Shell vulnerabilities on Juniper Products (CVE-2026-109618, CVE-2026-109619)

5. 28. 10. 2026 13:41 · CSIRT Itálie (ACN) IT

   PHP2Shell: prověřte produkty integrující PHP

   Italský CSIRT v návaznosti na předchozí zprávy o kritických zranitelnostech označovaných jako 'PHP2Shell' upozorňuje na nutnost zkontrolovat nabízené služby. Správci by měli ověřit přítomnost produktů třetích stran, které integrují PHP.

   originál: PHP2Shell: verificare i prodotti che Integrano PHP

6. 28. 10. 2026 10:30 · CERT@VDE DE

   Zranitelnost PHP2Shell v Octo Image Server od METTLER TOLEDO

   Podle CERT@VDE obsahuje OCTO Image Server zranitelnou verzi PHP dotčenou chybami PHP2Shell (CVE-2026-109618 a CVE-2026-109619). Vydavatel důrazně doporučuje provést upgrade PHP na verzi 8.2.35.

   originál: METTLER TOLEDO: PHP2Shell in Octo Image Server

7. 28. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

   Bezpečnostní upozornění pro Citrix: CVE-2026-109618 a CVE-2026-109619

   Společnost Cloud Software Group informuje o kritických zranitelnostech CVE-2026-109618 a CVE-2026-109619 v produktech Citrix NetScaler ADC a NetScaler Gateway s CVSS skóre 9.2, které umožňují vzdálené spuštění kódu. Výrobce důrazně doporučuje zákazníkům co nejdříve nainstalovat opravené verze, mimo jiné NetScaler ADC a Gateway 14.1-73.49 či 13.1-64.32.

   originál: Citrix Security Advisory for CVE-2026-109618 and CVE-2026-109619

8. 28. 10. 2026 · zachyceno 16:30 · CERT-FR – avis FR

   Mnohočetné zranitelnosti v Palo Alto Networks PAN-OS

   V systému Palo Alto Networks PAN-OS bylo odhaleno několik zranitelností, které útočníkovi umožňují vzdálené spuštění libovolného kódu. Výrobce uvádí, že chyby CVE-2026-109618 a CVE-2026-109619 jsou aktivně zneužívány v praxi.

   originál: Multiples vulnérabilités dans Palo Alto Networks PAN-OS (28 octobre 2026)

9. 27. 10. 2026 09:20 · BleepingComputer US

   CISA potvrdila aktivní zneužívání zranitelností PHP2Shell

   Americká agentura CISA zařadila zranitelnosti PHP2Shell do svého katalogu aktivně zneužívaných bezpečnostních chyb. Federálním úřadům nařídila zajistit záplatování jejich systémů do čtvrtka.

   originál: CISA confirms PHP2Shell vulnerabilities now exploited in attacks

10. 27. 10. 2026 · zachyceno 17:00 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v Citrix NetScaler ADC a Gateway

    V produktech Citrix NetScaler ADC a Gateway byly odhaleny mnohočetné zranitelnosti. Podle CERT-FR umožňují útočníkovi vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans Citrix NetScaler ADC et Gateway (27 octobre 2026)

11. 26. 10. 2026 23:15 · Aikido Security BE

    Jak opravit PHP2Shell pomocí bezplatných obrazů od Aikido

    Společnost Aikido představila bezplatné obrazy pro PHP verze 5.5 až 8.5, které obsahují zpětně portované záplaty pro zranitelnosti PHP2Shell (CVE-2026-109618 a CVE-2026-109619). Uživatelé tak mohou zůstat na své současné verzi a přitom mít chyby opravené.

    originál: How to patch PHP2Shell with free Aikido Images

12. 26. 10. 2026 20:48 · Tenable Research US

    Detekce a náprava zranitelností PHP2Shell pomocí nástrojů Tenable

    Společnost Tenable popisuje využití svých bezpečnostních nástrojů k vyhledání a nápravě kritických zranitelností PHP2Shell (CVE-2026-109618 a CVE-2026-109619). Podle textu běží PHP na více než 70 % webů, což vyžaduje rychlou identifikaci zasažených systémů a aplikaci záplat.

    originál: Discover and remediate PHP2Shell exposure with Tenable

13. 26. 10. 2026 15:20 · CSIRT Itálie (ACN) IT

    IceWarp Server: aktualizace a mitigace pro chyby PHP2Shell

    Podle italského CSIRT jsou k dispozici aktualizace a instrukce k mitigaci pro IceWarp Server, které řeší kritické zranitelnosti známé jako 'PHP2Shell' (CVE-2026-109618, CVE-2026-109619 a CVE-2026-115560). Tyto chyby se nacházejí v integrovaném PHP interpretu produktu.

    originál: IceWarp Server: aggiornamenti e mitigazioni per le vulnerabilità "PHP2Shell"

14. 26. 10. 2026 14:25 · ESET WeLiveSecurity SK

    PHP2Shell: Co vědět o dvou kritických chybách v PHP

    Zdroj přináší stručný přehled informací o dvou kritických zranitelnostech v PHP, CVE-2026-109618 a CVE-2026-109619. Součástí jsou také doporučení pro majitele webů a IT týmy, jak zajistit bezpečnost svých systémů.

    originál: PHP2Shell: What to know about two critical PHP flaws

15. 26. 10. 2026 10:19 · BleepingComputer US

    Zranitelnosti PHP2Shell jsou aktivně zneužívány

    Podle zprávy jsou v praxi aktivně zneužívány dvě kritické RCE zranitelnosti CVE-2026-109618 a CVE-2026-109619, souhrnně označované jako PHP2Shell.

    originál: PHP2Shell security flaws now sucessfully exploited in the wild

16. 26. 10. 2026 05:31 · Qualys US

    Jak zmírnit riziko PHP2Shell před nasazením záplat

    Podle společnosti Qualys bylo během prvních 12 hodin po zveřejnění zranitelnosti PHP2Shell opraveno pouze 199 000 ze 156 milionů sledovaných instalací PHP. Bezpečnostní tým doporučuje dočasná opatření v podobě úpravy konfigurace session upload progress a využití kompenzačních kontrolních mechanismů na úrovni WAF, IPS a EDR. Jediným úplným řešením však podle zdroje zůstává instalace opravených verzí PHP.

    originál: Can’t Patch PHP2Shell Yet? Build a Stopgap with the Controls You Own

17. 26. 10. 2026 · zachyceno 27. 10. 2026 00:30 · CISA KEV US

    CISA zařadila na seznam aktivně zneužívaných zranitelnost v PHP

    Agentura CISA přidala do katalogu známých zneužívaných zranitelností chybu CVE-2026-109619 týkající se produktu PHP od PHP Group. Termín pro nápravu byl stanoven na 29. října 2026.

    originál: PHP Stale Internal Request-State Vulnerability (CVE-2026-109619)

18. 26. 10. 2026 · zachyceno 27. 10. 2026 00:30 · CISA KEV US

    CISA zařadila na seznam zneužívaných zranitelností chybu v PHP

    Americká agentura CISA přidala zranitelnost CVE-2026-109618 do katalogu aktivně zneužívaných zranitelností (KEV). Chyba způsobuje poškození paměti v softwaru PHP od PHP Group a termín pro její nápravu byl stanoven na 2026-10-29.

    originál: PHP Memory Corruption Vulnerability (CVE-2026-109618)

19. 26. 10. 2026 · zachyceno 17:30 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v produktech Tenable

    V produktech společnosti Tenable byly objeveny mnohočetné zranitelnosti. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans les produits Tenable (26 octobre 2026)

20. 23. 10. 2026 22:04 · SANS Internet Storm Ctr. US

    Analýza spolehlivosti zneužití zranitelnosti php2shell

    Rozbor publikovaných konceptů zneužití zranitelnosti php2shell ukazuje, že vytvoření univerzálního a spolehlivého exploitu je v reálném prostředí velmi obtížné kvůli specifickým požadavkům na paměťové limity, konfiguraci procesů a obcházení ASLR. Autor doporučuje dočasně nastavit session.upload_progress.enabled na 0.

    originál: (Reliable)? php2shell exploitability, (Fri, Oct 23rd)

21. 23. 10. 2026 17:38 · BleepingComputer US

    PHP sdílí opatření pro novou neopravenou RCE zranitelnost

    Bezpečnostní tým PHP zveřejnil mitigační opatření pro novou zranitelnost umožňující vzdálené spuštění kódu. Podle zdroje se problém týká systémů s nevýchozí konfigurací a v současnosti pro něj neexistuje oprava.

    originál: PHP shares mitigation for new RCE vulnerability with no patch

22. 23. 10. 2026 15:02 · SANS Internet Storm Ctr. US

    Shrnutí situace kolem zranitelnosti v PHP

    Podle SANS ISC koordinované vydání oprav pro nedávnou zranitelnost v PHP zafungovalo a řada dodavatelů vydala záplaty současně s PHP.net. Ačkoli Cloudflare a Amazon hlásí pokusy o zneužití, spolehlivý veřejný exploit zatím není známý, jeho zveřejnění a následné masivnější útoky jsou však podle autora pouze otázkou času.

    originál: PHP Vulnerability Wrap-Up, (Fri, Oct 23rd)

23. 23. 10. 2026 · CERT-FR – avis FR

    Početné zranitelnosti v produktech Tenable

    V produktech Tenable bylo objeveno několik zranitelností. Podle CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans les produits Tenable (23 octobre 2026)

24. 23. 10. 2026 · zachyceno 16:30 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v produktech Tenable

    Podle bezpečnostního varování CERT-FR bylo v produktech Tenable odhaleno několik zranitelností. Útočníkům umožňují vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans les produits Tenable (23 octobre 2026)

25. 23. 10. 2026 00:04 · Tenable Research US

    Jak kyberzločinci reagují na zranitelnosti PHP2Shell

    Výzkumníci z Tenable uvádějí, že kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 v jazyce PHP donutily provozovatele kriminálních fór k urychlenému odstavení a migraci vlastní infrastruktury. Fóra jako BreachForums čelí hrozbě zneužití chyb ze strany bezpečnostních složek i konkurenčních skupin, které by mohly získat identity členů a uniklá data.

    originál: The adversary economy: How threat actors are reacting to PHP2Shell

26. 22. 10. 2026 15:09 · BleepingComputer US

    Amazon: Zneužívání chyb PHP2Shell začalo 4 dny před vydáním záplat

    Bezpečnostní výzkumníci z Amazon Threat Intelligence uvádějí, že útočníci začali zranitelnosti PHP2Shell zneužívat již čtyři dny před středečním vydáním bezpečnostních záplat.

    originál: Amazon says PHP2Shell exploitation began 4 days before patches

27. 22. 10. 2026 10:00 · CSIRT.CZ – novinky CZ

    Kritické zranitelnosti PHP umožňují vzdálené spuštění kódu

    Vývojový tým PHP vydal bezpečnostní aktualizace opravující dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 v jádře jazyka PHP. Chyby mohou neautentizovanému útočníkovi umožnit vzdálené spuštění kódu na serveru a týkají se různých způsobů nasazení včetně PHP-FPM či Apache s mod_php. Zdroj doporučuje bezodkladnou aktualizaci nebo dočasná bezpečnostní omezení přístupu.

    originál: Kritické zranitelnosti PHP umožňují vzdálené spuštění kódu

28. 22. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

    Dopad kritických zranitelností v PHP na produkty Palo Alto Networks

    Společnost Palo Alto Networks vyhodnocuje dopad dvou kritických zranitelností vzdáleného spuštění kódu v PHP (CVE-2026-109618 a CVE-2026-109619) na své portfolio produktů. Obě chyby souvisejí se zpracováním chyb nedostatku paměti a fatálních stavů pomocí funkce longjmp(), což útočníkům umožňuje spolehlivě provést libovolný kód.

    originál: Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products

29. 22. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

    Kritické zranitelnosti umožňující vzdálené spuštění kódu v PHP

    Podle finského NCSC opravují verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňující neautentizované vzdálené spuštění kódu. Ohroženy jsou instalace obsluhující webové požadavky a zdroj důrazně doporučuje okamžitou aktualizaci.

    originál: PHP Security advisory: Critical remote code execution vulnerabilities

30. 22. 10. 2026 · zachyceno 21:30 · Splunk Advisories US

    Zranitelnosti v PHP u produktů Splunk

    Splunk vyšetřuje potenciální dopad zranitelností CVE-2026-109618 a CVE-2026-109619 v PHP na své produkty. V současnosti není známo, že by byl jakýkoli produkt zasažen, a výrobce bude bezpečnostní oznámení aktualizovat.

    originál: SVD-2026-1013: Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Splunk Products - October 2026

31. 21. 10. 2026 21:12 · Cisco PSIRT US

    Kritické zranitelnosti v PHP ovlivňují produkty Cisco

    Společnost Cisco upozorňuje na bezpečnostní vydání PHP řešící dvě kritické zranitelnosti označované jako PHP2shell (CVE-2026-109618 a CVE-2026-109619), které umožňují vzdálené spuštění kódu. Tyto chyby ovlivňují produkty Cisco a výrobce jim přiřadil kritickou závažnost.

    originál: Vulnerabilities in PHP Affecting Cisco Products: October 2026

32. 21. 10. 2026 19:30 · Cyber Centre Kanada CA

    Kritické zranitelnosti v PHP umožňují spuštění kódu

    Kanadské centrum pro kybernetickou bezpečnost varuje před kritickými zranitelnostmi typu 'use after free' v jazyce PHP, označenými jako CVE-2026-109618 a CVE-2026-109619 či souhrnně 'php2shell'. Neautentizovaný útočník může jejich zneužitím spustit libovolný kód na zasaženém systému. Pro chyby existuje veřejný funkční exploit (PoC), aktivní zneužívání však zatím nebylo zaznamenáno. Opravy jsou dostupné ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

    originál: AL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619

33. 21. 10. 2026 18:14 · Malwarebytes Labs US

    PHP2Shell: Kritické chyby v PHP vedou k odstávkám webů a nouzovým záplatám

    Podle zprávy čelí dvě kritické zranitelnosti v PHP označené jako CVE-2026-109618 a CVE-2026-109619 aktivním útokům, což nutí správce webů nasazovat nouzové záplaty nebo dočasně vypínat služby. Chyby se závažností 9,2 z 10 umožňují neautentizovaným útočníkům spustit škodlivý kód na serveru, přičemž vývojáři PHP již vydali opravy ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

    originál: PHP2Shell: Why websites are going offline for emergency security updates

34. 21. 10. 2026 18:00 · Palo Alto PSIRT US

    Dopad kritických zranitelností v PHP na produkty Palo Alto Networks

    Palo Alto Networks informuje o dopadu kritických zranitelností CVE-2026-109618 a CVE-2026-109619 v PHP na své produkty. Závažnost problému byla vyhodnocena jako vysoká.

    originál: CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products (Severity: HIGH)

35. 21. 10. 2026 17:18 · Securelist (Kaspersky) RU

    Kritické RCE zranitelnosti v PHP ohrožují řadu verzí

    V jádře PHP byly odhaleny dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 s hodnocením 9,2 podle CVSS, které umožňují neautentizované vzdálené spuštění kódu. Chyby se týkají zpracování 'multipart/form-data' spolu se sledováním průběhu nahrávání v relacích a byl pro ně zveřejněn funkční exploit 'PHP2Shell'.

    originál: Critical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)

36. 21. 10. 2026 17:10 · Cisco Talos US

    Dvě kritické RCE zranitelnosti v jádře PHP

    V jádře PHP byly odhaleny dvě kritické zranitelnosti typu RCE označené CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2, známé jako 'php2shell'. Podle výzkumníků zasahují všechny sestavení od verze 5.4 a umožňují neautentizované spuštění kódu ještě před během aplikačního kódu, přičemž k jejich nalezení přispěla umělá inteligence.

    originál: Two critical RCEs in PHP core

37. 21. 10. 2026 17:03 · NÚKIB CZ

    php2shell: Dvě kritické RCE zranitelnosti v PHP

    NÚKIB upozorňuje na kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 v PHP, souhrnně označované jako 'php2shell', které neověřenému útočníkovi umožňují vzdálené spuštění kódu. Podle úřadu byly chyby opraveny ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35, přičemž jediným úplným řešením je aktualizace.

    originál: Upozornění na "php2shell", dvě kritické zranitelnosti v PHP

38. 21. 10. 2026 16:21 · CSIRT Itálie (ACN) IT

    PHP2Shell: opraveny kritické zranitelnosti v PHP

    Podle italského CSIRT vyšly bezpečnostní aktualizace, které v interpretu PHP řeší dvě nové zranitelnosti s kritickou závažností. Zranitelnosti se nacházejí v komponentě php-src a vzdálenému útočníkovi by mohly umožnit spuštění libovolného kódu na zasažených systémech.

    originál: PHP2Shell: sanate vulnerabilità critiche in PHP

39. 21. 10. 2026 16:21 · CSIRT Itálie (ACN) IT

    PHP2Shell: opraveny kritické zranitelnosti v PHP

    Bezpečnostní aktualizace řeší dvě nové kritické zranitelnosti v interpretu PHP, konkrétně v komponentě php-src. Vzdálený útočník by jejich zneužitím mohl na zasažených systémech spustit libovolný kód.

    originál: PHP2Shell: sanate vulnerabilità critiche PHP

40. 21. 10. 2026 16:21 · CSIRT Itálie (ACN) IT

    PHP: opraveny kritické zranitelnosti

    Podle italského CSIRT vyšly bezpečnostní aktualizace pro interpret PHP, které opravují dvě nové zranitelnosti s kritickou závažností v komponentě 'php-src'. Případné zneužití těchto chyb by vzdálenému útočníkovi mohlo umožnit spustit na zasažených systémech libovolný kód.

    originál: PHP: sanate vulnerabilità critiche

41. 21. 10. 2026 16:07 · BleepingComputer US

    PHP vydalo mimořádné opravy kritických chyb PHP2Shell

    Bezpečnostní tým PHP vydal mimořádné bezpečnostní záplaty pro dvě kritické zranitelnosti umožňující vzdálené spuštění kódu (CVE-2026-109618 a CVE-2026-109619). Chyby jsou společně označovány jako PHP2Shell.

    originál: PHP ships emergency patches for critical PHP2Shell flaws

42. 21. 10. 2026 16:01 · NCSC-NL NL

    Oprava kritických zranitelností v PHP

    V PHP byly odstraněny dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619, které umožňují neautentizovaným útočníkům vzdálené spuštění libovolného kódu prostřednictvím webových požadavků. Zasaženy jsou všechny instalace zpracovávající webové požadavky a vývojáři i NCSC doporučují neprodleně aplikovat opravy.

    originál: NCSC-2026-0443 [1.00] [H/H] Kwetsbaarheden verholpen in PHP

43. 21. 10. 2026 15:49 · CERT.at AT

    Kritické zranitelnosti v PHP umožňují vzdálené spuštění kódu

    Projekt PHP vydal aktualizace opravující dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2. Chyby umožňují neautentizovaným útočníkům vzdálené spuštění libovolného kódu a čtení paměti na systémech zpracovávajících webové požadavky.

    originál: Kritische Sicherheitslücken in PHP - Updates verfügbar

44. 21. 10. 2026 15:40 · Palo Alto Unit 42 US

    Kritické zranitelnosti v PHP: CVE-2026-109618 a CVE-2026-109619

    Bezpečnostní tým Unit 42 informuje o kritických zranitelnostech CVE-2026-109618 a CVE-2026-109619 v programovacím jazyce PHP. Podle zprávy se jedná o skriptovací jazyk celosvětově využívaný pro webové servery a systémy pro správu obsahu.

    originál: Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619

45. 21. 10. 2026 15:27 · Cyber Centre Kanada CA

    Bezpečnostní varování pro PHP (AV26-1070)

    Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti ovlivňující verze PHP starší než 8.x. Organizace doporučuje uživatelům a správcům sledovat vydané bezpečnostní informace a aplikovat potřebné aktualizace, jakmile budou k dispozici.

    originál: PHP security advisory (AV26-1070)

46. 21. 10. 2026 14:44 · SANS Internet Storm Ctr. US

    Kritická zranitelnost v PHP (CVE-2026-109618, CVE-2026-109619)

    Podle SANS ISC oznámil web PHP.net vydání kritické aktualizace opravující chyby se závažností CVSS 9.4. Zranitelnost je v jádře PHP a zasahuje všechny verze od PHP 5, přičemž záplatu má obdržet pouze PHP 8. Dostupné jsou již PoC exploity a Cloudflare hlásí i aktivní zneužívání v praxi.

    originál: Critical PHP Vulnerability (CVE-2026-109618, CVE-2026-109619) [infocon yellow], (Wed, Oct 21st)

47. 21. 10. 2026 14:21 · DNSC Rumunsko RO

    Kritické zranitelnosti v PHP

    Podle rumunského úřadu DNSC oznámil bezpečnostní tým PHP dne 20. října 2026 vydání aktualizací opravujících kritické zranitelnosti.

    originál: ALERTĂ: Vulnerabilități critice în PHP

48. 21. 10. 2026 · zachyceno 18:00 · CISA Advisories US

    Kritické zranitelnosti v PHP vyžadují okamžitou instalaci oprav

    Agentura CISA vyzývá k okamžité instalaci oprav kritických zranitelností CVE-2026-109618 a CVE-2026-109619 v PHP, označovaných jako 'php2shell'. Tyto chyby umožňují neautentizované vzdálené spuštění kódu na všech instalacích PHP obsluhujících webové požadavky a podle zdroje je řeší verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

    originál: Critical Vulnerabilities in PHP Require Immediate Patching

49. 21. 10. 2026 14:00 · CERT-SE SE

    Kritické zranitelnosti v PHP

    Podle zdroje vydá PHP bezpečnostní aktualizace pro dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2. Tyto chyby mohou umožnit neověřené spuštění škodlivého kódu.

    originál: Kritiska sårbarheter i PHP

50. 21. 10. 2026 · zachyceno 12:00 · NCSC UK GB

    Kritická bezpečnostní zranitelnost v PHP

    Britské Národní středisko kybernetické bezpečnosti (NCSC) vyzývá tamní organizace, aby se připravily na okamžitou aktualizaci systémů využívajících PHP.

    originál: Critical security issue affecting PHP

51. 21. 10. 2026 12:00 · CERT.hr HR

    Kritické zranitelnosti v PHP umožňují vzdálené spuštění kódu

    Před oficiálním vydáním záplat unikly informace o dvou kritických zranitelnostech CVE-2026-109618 a CVE-2026-109619 v jádru PHP se skóre CVSS 9.2, které umožňují neautentizované spuštění kódu. Podle CERT.hr se problém může týkat verzí 5.x až 8.x a tým PHP plánuje mimořádnou bezpečnostní opravu.

    originál: UPOZORENJE: Kritične ranjivosti u PHP-u – čeka se nadogradnja

52. 21. 10. 2026 11:01 · Tenable Research US

    Kritické zranitelnosti PHP umožňují vzdálené spuštění kódu

    V jazyce PHP byly odhaleny dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2, které umožňují vzdálené spuštění kódu. Podle zástupců společnosti Cloudflare již byly zaznamenány první pokusy o jejich zneužití v praxi. Opravy jsou naplánovány pro verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35, zatímco starší nepodporované větve oficiální záplaty neobdrží.

    originál: php2shell (CVE-2026-109618, CVE-2026-109619): Frequently asked questions about critical PHP remote code execution vulnerabilities

53. 21. 10. 2026 10:09 · SK-CERT (NBÚ SR) SK

    SK-CERT varuje před dvěma kritickými zranitelnostmi v PHP

    Národné centrum kybernetickej bezpečnosti SK-CERT varuje před dvěma kritickými chybami v PHP s označeními CVE-2026-109618 a CVE-2026-109619 a skóre CVSS v4.0 ve výši 9,2. Podle dostupných informací mohou vzdálenému neautentizovanému útočníkovi umožnit spuštění libovolného kódu a zneužitelné jsou ve verzích od PHP 5.0.

    originál: Národné centrum kybernetickej bezpečnosti SK-CERT varuje pred dvoma kritickými zraniteľnosťami v PHP, identifikovanými a

54. 21. 10. 2026 09:09 · NKI Maďarsko HU

    Varování před kritickými zranitelnostmi v prostředí PHP

    Maďarský úřad NBSZ NKI vydal varování před dvěma kritickými zranitelnostmi v prostředí PHP s ohledem na jejich závažnost a očekávané zneužití. Vývojáři PHP plánují vydat bezpečnostní opravy 21. října 2026, přičemž zpráva zmiňuje identifikátor CVE-2026-109618.

    originál: Riasztás a PHP futtatókörnyezet kritikus sérülékenységeiről

55. 21. 10. 2026 · zachyceno 21:30 · Fortinet PSIRT US

    Záplaty zranitelností RCE v jádře PHP

    Bezpečnostní bulletin popisuje kritickou chybu CVE-2026-109618 s CVSSv3 skóre 9.8, která souvisí se způsobem, jakým PHP ošetřuje chyby nedostatku paměti pomocí funkce longjmp(). V některých kontextech může zůstat paměť v neinicializovaném stavu, což při následném čištění požadavku umožňuje útočníkovi vyvolat vzdálené spuštění kódu. Text zmiňuje také související CVE-2026-109619.

    originál: PHP core RCE vulnerability patches (CVE-2026-109618 and CVE-2026-109619)

56. 21. 10. 2026 · zachyceno 18:30 · CrowdStrike US

    CrowdStrike chrání zákazníky před hrozbami šířenými přes PHP2Shell

    CrowdStrike informuje o ochraně svých zákazníků před hrozbami doručovanými prostřednictvím PHP2Shell. Bližší podrobnosti nejsou k dispozici.

    originál: CrowdStrike Protects Customers from Threats Delivered via PHP2Shell

57. 21. 10. 2026 06:00 · Huntress US

    Únik kritických zranitelností v PHP: php2shell

    Podle společnosti Huntress unikly informace o dvou kritických zranitelnostech umožňujících vzdálené spuštění kódu v PHP (CVE-2026-109618 a CVE-2026-109619) ještě před vydáním záplat. Zdroj přináší přehled dosavadních zjištění, okruh ohrožených systémů a doporučení k přípravě obrany.

    originál: Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)

58. 21. 10. 2026 04:59 · Qualys US

    PHP chystá kritické bezpečnostní vydání pro dvě zranitelnosti

    Bezpečnostní tým PHP oznámil nadcházející vydání oprav pro dvě kritické zranitelnosti se skóre CVSS v4.0 9.2. Veřejné zprávy s nimi spojují identifikátory CVE-2026-109618 a CVE-2026-109619, ale technické podrobnosti ani dotčené verze zatím nebyly zveřejněny.

    originál: PHP Announces Critical Security Release for Two Vulnerabilities

59. 21. 10. 2026 03:54 · Aikido Security BE

    Kritické zranitelnosti v PHP umožňující RCE (PHP2shell)

    V PHP se opravují dvě kritické zranitelnosti s identifikátory CVE-2026-109618 a CVE-2026-109619, které umožňují vzdálené spuštění kódu a postihují všechny verze. Zdroj popisuje postup aplikace záplat, dočasná mitigační opatření a způsoby kontroly systémů.

    originál: What you need to know about PHP2shell. Critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)

60. 21. 10. 2026 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v PHP

    V jazyce PHP bylo odhaleno několik zranitelností. Podle francouzského CERT-FR mohou útočníkovi umožnit vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans PHP (21 octobre 2026)

61. 21. 10. 2026 · zachyceno 17:30 · Elastic Security US

    Elastic analyzuje detekci zranitelností php2shell v PHP

    V jádře jazyka PHP byly odhaleny dvě kritické zranitelnosti typu RCE s neoprávněným přístupem CVE-2026-109618 a CVE-2026-109619 s hodnocením CVSS 9.2, označované jako php2shell. Vývojáři vydali opravy ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Elastic Security analyzuje možnosti detekce chování po zneužití v prostředí webového serveru a doporučuje aktualizaci jako jediné bezpečné řešení.

    originál: php2shell: Assessing Elastic detection coverage relevant to CVE-2026-109618 and CVE-2026-109619

62. 21. 10. 2026 · zachyceno 17:00 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v PHP

    Ve skriptovacím jazyce PHP bylo odhaleno několik zranitelností. Podle bezpečnostního varování mohou útočníkovi umožnit vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans PHP (21 octobre 2026)

63. 21. 10. 2026 · zachyceno 15:01 · Sophos Threat Research GB

    Byl zveřejněn exploit pro zranitelnosti v PHP

    Podle bezpečnostních výzkumníků byl zveřejněn funkční koncept zneužití (PoC) pro zranitelnosti v PHP evidované pod CVE-2026-109618 a CVE-2026-109619.

    originál: Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)

64. 21. 10. 2026 · zachyceno 13:00 · CERT-FR – alerty FR

    Vícečetné zranitelnosti v PHP

    CERT-FR informuje o oznámení vývojářů PHP ohledně dvou kritických zranitelností. Bezpečnostní opravy mají být podle vydavatele dostupné 21. října 2026 v 16:00 pařížského času, přičemž starší verze PHP 5.x, 6.x, 7.x, 8.0.x a 8.1.x již nejsou podporovány.

    originál: Multiples vulnérabilités dans PHP (21 octobre 2026)

65. 20. 10. 2026 22:56 · BleepingComputer US

    PHP varuje před dvěma kritickými chybami, chystá nouzové záplaty

    Bezpečnostní tým PHP podle zprávy varuje správce, aby se připravili na zítřejší nouzové bezpečnostní aktualizace řešící dvě kritické zranitelnosti. Důvodem je předčasný únik informací o těchto chybách ještě před jejich plánovaným zveřejněním.

    originál: PHP warns admins of two critical flaws, emergency patches coming tomorrow

66. 20. 10. 2026 22:33 · CERT-EU EU

    Kritické zranitelnosti v PHP

    PHP Foundation oznámila nadcházející bezpečnostní vydání řešící dvě kritické zranitelnosti v PHP, které by podle úniků informací mohly vést ke vzdálenému spuštění kódu. Technické podrobnosti zatím nebyly zveřejněny a CERT-EU doporučuje organizacím připravit se na okamžité nasazení záplat.

    originál: 2026-018: Critical Vulnerabilities in PHP