Kritické RCE zranitelnosti php2shell v PHP (CVE-2026-109618 a CVE-2026-109619)

CVE v události 2

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.8.

Jak se o tom psalo 42

1. 23. 10. 2026 00:04 · Tenable Research US

   Jak kyberzločinci reagují na zranitelnosti PHP2Shell

   Výzkumníci z Tenable uvádějí, že kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 v jazyce PHP donutily provozovatele kriminálních fór k urychlenému odstavení a migraci vlastní infrastruktury. Fóra jako BreachForums čelí hrozbě zneužití chyb ze strany bezpečnostních složek i konkurenčních skupin, které by mohly získat identity členů a uniklá data.

   originál: The adversary economy: How threat actors are reacting to PHP2Shell

2. 22. 10. 2026 20:04 · Cisco Talos US

   Týdenní přehled Threat Source: zranitelnosti php2shell a přestupná sekunda

   Newsletter Cisco Talos upozorňuje na dvě neautentizované zranitelnosti typu RCE v PHP označené jako 'php2shell', které postihují verze od 5.4 a vyvolávají pokusy o zneužití. V úvodní úvaze se věnuje dopadům zrušení přestupné sekundy na IT infrastrukturu a přináší souhrn dalších bezpečnostních zpráv.

   originál: I had plans for that second

3. 22. 10. 2026 15:09 · BleepingComputer US

   Amazon: Zneužívání chyb PHP2Shell začalo 4 dny před vydáním záplat

   Bezpečnostní výzkumníci z Amazon Threat Intelligence uvádějí, že útočníci začali zranitelnosti PHP2Shell zneužívat již čtyři dny před středečním vydáním bezpečnostních záplat.

   originál: Amazon says PHP2Shell exploitation began 4 days before patches

4. 22. 10. 2026 10:00 · CSIRT.CZ – novinky CZ

   Kritické zranitelnosti PHP umožňují vzdálené spuštění kódu

   Vývojový tým PHP vydal bezpečnostní aktualizace opravující dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 v jádře jazyka PHP. Chyby mohou neautentizovanému útočníkovi umožnit vzdálené spuštění kódu na serveru a týkají se různých způsobů nasazení včetně PHP-FPM či Apache s mod_php. Zdroj doporučuje bezodkladnou aktualizaci nebo dočasná bezpečnostní omezení přístupu.

   originál: Kritické zranitelnosti PHP umožňují vzdálené spuštění kódu

5. 22. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

   Dopad kritických zranitelností v PHP na produkty Palo Alto Networks

   Společnost Palo Alto Networks vyhodnocuje dopad dvou kritických zranitelností vzdáleného spuštění kódu v PHP (CVE-2026-109618 a CVE-2026-109619) na své portfolio produktů. Obě chyby souvisejí se zpracováním chyb nedostatku paměti a fatálních stavů pomocí funkce longjmp(), což útočníkům umožňuje spolehlivě provést libovolný kód.

   originál: Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products

6. 22. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

   Kritické zranitelnosti umožňující vzdálené spuštění kódu v PHP

   Podle finského NCSC opravují verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňující neautentizované vzdálené spuštění kódu. Ohroženy jsou instalace obsluhující webové požadavky a zdroj důrazně doporučuje okamžitou aktualizaci.

   originál: PHP Security advisory: Critical remote code execution vulnerabilities

7. 22. 10. 2026 · zachyceno 21:30 · Splunk Advisories US

   Zranitelnosti v PHP u produktů Splunk

   Splunk vyšetřuje potenciální dopad zranitelností CVE-2026-109618 a CVE-2026-109619 v PHP na své produkty. V současnosti není známo, že by byl jakýkoli produkt zasažen, a výrobce bude bezpečnostní oznámení aktualizovat.

   originál: SVD-2026-1013: Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Splunk Products - October 2026

8. 21. 10. 2026 21:12 · Cisco PSIRT US

   Kritické zranitelnosti v PHP ovlivňují produkty Cisco

   Společnost Cisco upozorňuje na bezpečnostní vydání PHP řešící dvě kritické zranitelnosti označované jako PHP2shell (CVE-2026-109618 a CVE-2026-109619), které umožňují vzdálené spuštění kódu. Tyto chyby ovlivňují produkty Cisco a výrobce jim přiřadil kritickou závažnost.

   originál: Vulnerabilities in PHP Affecting Cisco Products: October 2026

9. 21. 10. 2026 19:30 · Cyber Centre Kanada CA

   Kritické zranitelnosti v PHP umožňují spuštění kódu

   Kanadské centrum pro kybernetickou bezpečnost varuje před kritickými zranitelnostmi typu 'use after free' v jazyce PHP, označenými jako CVE-2026-109618 a CVE-2026-109619 či souhrnně 'php2shell'. Neautentizovaný útočník může jejich zneužitím spustit libovolný kód na zasaženém systému. Pro chyby existuje veřejný funkční exploit (PoC), aktivní zneužívání však zatím nebylo zaznamenáno. Opravy jsou dostupné ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

   originál: AL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619

10. 21. 10. 2026 18:14 · Malwarebytes Labs US

    PHP2Shell: Kritické chyby v PHP vedou k odstávkám webů a nouzovým záplatám

    Podle zprávy čelí dvě kritické zranitelnosti v PHP označené jako CVE-2026-109618 a CVE-2026-109619 aktivním útokům, což nutí správce webů nasazovat nouzové záplaty nebo dočasně vypínat služby. Chyby se závažností 9,2 z 10 umožňují neautentizovaným útočníkům spustit škodlivý kód na serveru, přičemž vývojáři PHP již vydali opravy ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

    originál: PHP2Shell: Why websites are going offline for emergency security updates

11. 21. 10. 2026 18:00 · Palo Alto PSIRT US

    Dopad kritických zranitelností v PHP na produkty Palo Alto Networks

    Palo Alto Networks informuje o dopadu kritických zranitelností CVE-2026-109618 a CVE-2026-109619 v PHP na své produkty. Závažnost problému byla vyhodnocena jako vysoká.

    originál: CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products (Severity: HIGH)

12. 21. 10. 2026 17:18 · Securelist (Kaspersky) RU

    Kritické RCE zranitelnosti v PHP ohrožují řadu verzí

    V jádře PHP byly odhaleny dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 s hodnocením 9,2 podle CVSS, které umožňují neautentizované vzdálené spuštění kódu. Chyby se týkají zpracování 'multipart/form-data' spolu se sledováním průběhu nahrávání v relacích a byl pro ně zveřejněn funkční exploit 'PHP2Shell'.

    originál: Critical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)

13. 21. 10. 2026 17:10 · Cisco Talos US

    Dvě kritické RCE zranitelnosti v jádře PHP

    V jádře PHP byly odhaleny dvě kritické zranitelnosti typu RCE označené CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2, známé jako 'php2shell'. Podle výzkumníků zasahují všechny sestavení od verze 5.4 a umožňují neautentizované spuštění kódu ještě před během aplikačního kódu, přičemž k jejich nalezení přispěla umělá inteligence.

    originál: Two critical RCEs in PHP core

14. 21. 10. 2026 17:03 · NÚKIB CZ

    php2shell: Dvě kritické RCE zranitelnosti v PHP

    NÚKIB upozorňuje na kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 v PHP, souhrnně označované jako 'php2shell', které neověřenému útočníkovi umožňují vzdálené spuštění kódu. Podle úřadu byly chyby opraveny ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35, přičemž jediným úplným řešením je aktualizace.

    originál: Upozornění na "php2shell", dvě kritické zranitelnosti v PHP

15. 21. 10. 2026 16:21 · CSIRT Itálie (ACN) IT

    PHP2Shell: opraveny kritické zranitelnosti v PHP

    Podle italského CSIRT vyšly bezpečnostní aktualizace, které v interpretu PHP řeší dvě nové zranitelnosti s kritickou závažností. Zranitelnosti se nacházejí v komponentě php-src a vzdálenému útočníkovi by mohly umožnit spuštění libovolného kódu na zasažených systémech.

    originál: PHP2Shell: sanate vulnerabilità critiche in PHP

16. 21. 10. 2026 16:21 · CSIRT Itálie (ACN) IT

    PHP2Shell: opraveny kritické zranitelnosti v PHP

    Bezpečnostní aktualizace řeší dvě nové kritické zranitelnosti v interpretu PHP, konkrétně v komponentě php-src. Vzdálený útočník by jejich zneužitím mohl na zasažených systémech spustit libovolný kód.

    originál: PHP2Shell: sanate vulnerabilità critiche PHP

17. 21. 10. 2026 16:21 · CSIRT Itálie (ACN) IT

    PHP: opraveny kritické zranitelnosti

    Podle italského CSIRT vyšly bezpečnostní aktualizace pro interpret PHP, které opravují dvě nové zranitelnosti s kritickou závažností v komponentě 'php-src'. Případné zneužití těchto chyb by vzdálenému útočníkovi mohlo umožnit spustit na zasažených systémech libovolný kód.

    originál: PHP: sanate vulnerabilità critiche

18. 21. 10. 2026 16:07 · BleepingComputer US

    PHP vydalo mimořádné opravy kritických chyb PHP2Shell

    Bezpečnostní tým PHP vydal mimořádné bezpečnostní záplaty pro dvě kritické zranitelnosti umožňující vzdálené spuštění kódu (CVE-2026-109618 a CVE-2026-109619). Chyby jsou společně označovány jako PHP2Shell.

    originál: PHP ships emergency patches for critical PHP2Shell flaws

19. 21. 10. 2026 16:01 · NCSC-NL NL

    Oprava kritických zranitelností v PHP

    V PHP byly odstraněny dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619, které umožňují neautentizovaným útočníkům vzdálené spuštění libovolného kódu prostřednictvím webových požadavků. Zasaženy jsou všechny instalace zpracovávající webové požadavky a vývojáři i NCSC doporučují neprodleně aplikovat opravy.

    originál: NCSC-2026-0443 [1.00] [H/H] Kwetsbaarheden verholpen in PHP

20. 21. 10. 2026 15:49 · CERT.at AT

    Kritické zranitelnosti v PHP umožňují vzdálené spuštění kódu

    Projekt PHP vydal aktualizace opravující dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2. Chyby umožňují neautentizovaným útočníkům vzdálené spuštění libovolného kódu a čtení paměti na systémech zpracovávajících webové požadavky.

    originál: Kritische Sicherheitslücken in PHP - Updates verfügbar

21. 21. 10. 2026 15:40 · Palo Alto Unit 42 US

    Kritické zranitelnosti v PHP: CVE-2026-109618 a CVE-2026-109619

    Bezpečnostní tým Unit 42 informuje o kritických zranitelnostech CVE-2026-109618 a CVE-2026-109619 v programovacím jazyce PHP. Podle zprávy se jedná o skriptovací jazyk celosvětově využívaný pro webové servery a systémy pro správu obsahu.

    originál: Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619

22. 21. 10. 2026 15:27 · Cyber Centre Kanada CA

    Bezpečnostní varování pro PHP (AV26-1070)

    Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnosti ovlivňující verze PHP starší než 8.x. Organizace doporučuje uživatelům a správcům sledovat vydané bezpečnostní informace a aplikovat potřebné aktualizace, jakmile budou k dispozici.

    originál: PHP security advisory (AV26-1070)

23. 21. 10. 2026 14:44 · SANS Internet Storm Ctr. US

    Kritická zranitelnost v PHP (CVE-2026-109618, CVE-2026-109619)

    Podle SANS ISC oznámil web PHP.net vydání kritické aktualizace opravující chyby se závažností CVSS 9.4. Zranitelnost je v jádře PHP a zasahuje všechny verze od PHP 5, přičemž záplatu má obdržet pouze PHP 8. Dostupné jsou již PoC exploity a Cloudflare hlásí i aktivní zneužívání v praxi.

    originál: Critical PHP Vulnerability (CVE-2026-109618, CVE-2026-109619) [infocon yellow], (Wed, Oct 21st)

24. 21. 10. 2026 14:21 · DNSC Rumunsko RO

    Kritické zranitelnosti v PHP

    Podle rumunského úřadu DNSC oznámil bezpečnostní tým PHP dne 20. října 2026 vydání aktualizací opravujících kritické zranitelnosti.

    originál: ALERTĂ: Vulnerabilități critice în PHP

25. 21. 10. 2026 · zachyceno 18:00 · CISA Advisories US

    Kritické zranitelnosti v PHP vyžadují okamžitou instalaci oprav

    Agentura CISA vyzývá k okamžité instalaci oprav kritických zranitelností CVE-2026-109618 a CVE-2026-109619 v PHP, označovaných jako 'php2shell'. Tyto chyby umožňují neautentizované vzdálené spuštění kódu na všech instalacích PHP obsluhujících webové požadavky a podle zdroje je řeší verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

    originál: Critical Vulnerabilities in PHP Require Immediate Patching

26. 21. 10. 2026 14:00 · CERT-SE SE

    Kritické zranitelnosti v PHP

    Podle zdroje vydá PHP bezpečnostní aktualizace pro dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2. Tyto chyby mohou umožnit neověřené spuštění škodlivého kódu.

    originál: Kritiska sårbarheter i PHP

27. 21. 10. 2026 · zachyceno 12:00 · NCSC UK GB

    Kritická bezpečnostní zranitelnost v PHP

    Britské Národní středisko kybernetické bezpečnosti (NCSC) vyzývá tamní organizace, aby se připravily na okamžitou aktualizaci systémů využívajících PHP.

    originál: Critical security issue affecting PHP

28. 21. 10. 2026 12:00 · CERT.hr HR

    Kritické zranitelnosti v PHP umožňují vzdálené spuštění kódu

    Před oficiálním vydáním záplat unikly informace o dvou kritických zranitelnostech CVE-2026-109618 a CVE-2026-109619 v jádru PHP se skóre CVSS 9.2, které umožňují neautentizované spuštění kódu. Podle CERT.hr se problém může týkat verzí 5.x až 8.x a tým PHP plánuje mimořádnou bezpečnostní opravu.

    originál: UPOZORENJE: Kritične ranjivosti u PHP-u – čeka se nadogradnja

29. 21. 10. 2026 11:01 · Tenable Research US

    Kritické zranitelnosti PHP umožňují vzdálené spuštění kódu

    V jazyce PHP byly odhaleny dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 se skóre CVSS 9.2, které umožňují vzdálené spuštění kódu. Podle zástupců společnosti Cloudflare již byly zaznamenány první pokusy o jejich zneužití v praxi. Opravy jsou naplánovány pro verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35, zatímco starší nepodporované větve oficiální záplaty neobdrží.

    originál: php2shell (CVE-2026-109618, CVE-2026-109619): Frequently asked questions about critical PHP remote code execution vulnerabilities

30. 21. 10. 2026 10:09 · SK-CERT (NBÚ SR) SK

    SK-CERT varuje před dvěma kritickými zranitelnostmi v PHP

    Národné centrum kybernetickej bezpečnosti SK-CERT varuje před dvěma kritickými chybami v PHP s označeními CVE-2026-109618 a CVE-2026-109619 a skóre CVSS v4.0 ve výši 9,2. Podle dostupných informací mohou vzdálenému neautentizovanému útočníkovi umožnit spuštění libovolného kódu a zneužitelné jsou ve verzích od PHP 5.0.

    originál: Národné centrum kybernetickej bezpečnosti SK-CERT varuje pred dvoma kritickými zraniteľnosťami v PHP, identifikovanými a

31. 21. 10. 2026 09:09 · NKI Maďarsko HU

    Varování před kritickými zranitelnostmi v prostředí PHP

    Maďarský úřad NBSZ NKI vydal varování před dvěma kritickými zranitelnostmi v prostředí PHP s ohledem na jejich závažnost a očekávané zneužití. Vývojáři PHP plánují vydat bezpečnostní opravy 21. října 2026, přičemž zpráva zmiňuje identifikátor CVE-2026-109618.

    originál: Riasztás a PHP futtatókörnyezet kritikus sérülékenységeiről

32. 21. 10. 2026 · zachyceno 21:30 · Fortinet PSIRT US

    Záplaty zranitelností RCE v jádře PHP

    Bezpečnostní bulletin popisuje kritickou chybu CVE-2026-109618 s CVSSv3 skóre 9.8, která souvisí se způsobem, jakým PHP ošetřuje chyby nedostatku paměti pomocí funkce longjmp(). V některých kontextech může zůstat paměť v neinicializovaném stavu, což při následném čištění požadavku umožňuje útočníkovi vyvolat vzdálené spuštění kódu. Text zmiňuje také související CVE-2026-109619.

    originál: PHP core RCE vulnerability patches (CVE-2026-109618 and CVE-2026-109619)

33. 21. 10. 2026 · zachyceno 18:30 · CrowdStrike US

    CrowdStrike chrání zákazníky před hrozbami šířenými přes PHP2Shell

    CrowdStrike informuje o ochraně svých zákazníků před hrozbami doručovanými prostřednictvím PHP2Shell. Bližší podrobnosti nejsou k dispozici.

    originál: CrowdStrike Protects Customers from Threats Delivered via PHP2Shell

34. 21. 10. 2026 06:00 · Huntress US

    Únik kritických zranitelností v PHP: php2shell

    Podle společnosti Huntress unikly informace o dvou kritických zranitelnostech umožňujících vzdálené spuštění kódu v PHP (CVE-2026-109618 a CVE-2026-109619) ještě před vydáním záplat. Zdroj přináší přehled dosavadních zjištění, okruh ohrožených systémů a doporučení k přípravě obrany.

    originál: Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)

35. 21. 10. 2026 04:59 · Qualys US

    PHP chystá kritické bezpečnostní vydání pro dvě zranitelnosti

    Bezpečnostní tým PHP oznámil nadcházející vydání oprav pro dvě kritické zranitelnosti se skóre CVSS v4.0 9.2. Veřejné zprávy s nimi spojují identifikátory CVE-2026-109618 a CVE-2026-109619, ale technické podrobnosti ani dotčené verze zatím nebyly zveřejněny.

    originál: PHP Announces Critical Security Release for Two Vulnerabilities

36. 21. 10. 2026 03:54 · Aikido Security BE

    Kritické zranitelnosti v PHP umožňující RCE (PHP2shell)

    V PHP se opravují dvě kritické zranitelnosti s identifikátory CVE-2026-109618 a CVE-2026-109619, které umožňují vzdálené spuštění kódu a postihují všechny verze. Zdroj popisuje postup aplikace záplat, dočasná mitigační opatření a způsoby kontroly systémů.

    originál: What you need to know about PHP2shell. Critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)

37. 21. 10. 2026 · zachyceno 17:30 · Elastic Security US

    Elastic analyzuje detekci zranitelností php2shell v PHP

    V jádře jazyka PHP byly odhaleny dvě kritické zranitelnosti typu RCE s neoprávněným přístupem CVE-2026-109618 a CVE-2026-109619 s hodnocením CVSS 9.2, označované jako php2shell. Vývojáři vydali opravy ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Elastic Security analyzuje možnosti detekce chování po zneužití v prostředí webového serveru a doporučuje aktualizaci jako jediné bezpečné řešení.

    originál: php2shell: Assessing Elastic detection coverage relevant to CVE-2026-109618 and CVE-2026-109619

38. 21. 10. 2026 · zachyceno 17:00 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v PHP

    Ve skriptovacím jazyce PHP bylo odhaleno několik zranitelností. Podle bezpečnostního varování mohou útočníkovi umožnit vzdálené spuštění libovolného kódu.

    originál: Multiples vulnérabilités dans PHP (21 octobre 2026)

39. 21. 10. 2026 · zachyceno 15:01 · Sophos Threat Research GB

    Byl zveřejněn exploit pro zranitelnosti v PHP

    Podle bezpečnostních výzkumníků byl zveřejněn funkční koncept zneužití (PoC) pro zranitelnosti v PHP evidované pod CVE-2026-109618 a CVE-2026-109619.

    originál: Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)

40. 21. 10. 2026 · zachyceno 13:00 · CERT-FR – alerty FR

    Vícečetné zranitelnosti v PHP

    CERT-FR informuje o oznámení vývojářů PHP ohledně dvou kritických zranitelností. Bezpečnostní opravy mají být podle vydavatele dostupné 21. října 2026 v 16:00 pařížského času, přičemž starší verze PHP 5.x, 6.x, 7.x, 8.0.x a 8.1.x již nejsou podporovány.

    originál: Multiples vulnérabilités dans PHP (21 octobre 2026)

41. 20. 10. 2026 22:56 · BleepingComputer US

    PHP varuje před dvěma kritickými chybami, chystá nouzové záplaty

    Bezpečnostní tým PHP podle zprávy varuje správce, aby se připravili na zítřejší nouzové bezpečnostní aktualizace řešící dvě kritické zranitelnosti. Důvodem je předčasný únik informací o těchto chybách ještě před jejich plánovaným zveřejněním.

    originál: PHP warns admins of two critical flaws, emergency patches coming tomorrow

42. 20. 10. 2026 22:33 · CERT-EU EU

    Kritické zranitelnosti v PHP

    PHP Foundation oznámila nadcházející bezpečnostní vydání řešící dvě kritické zranitelnosti v PHP, které by podle úniků informací mohly vést ke vzdálenému spuštění kódu. Technické podrobnosti zatím nebyly zveřejněny a CERT-EU doporučuje organizacím připravit se na okamžité nasazení záplat.

    originál: 2026-018: Critical Vulnerabilities in PHP