Přeskočit na obsah

· Aktuality · Ing. Filip Lang, DBA

Kritické zranitelnosti v jádře PHP (php2shell): opravy dnes v 16:00 SELČ. Připravte se už teď.

Abstraktní ilustrace: mřížka serverů s několika zvýrazněnými oranžově a hodiny ukazující 16:00 s odpočtem a značkou PHP

Další důvod, proč si před spaním neotvírat profesní sítě. Může se vám pak špatně spát. 🙂

Včera večer začaly unikat informace o dvou kritických zero-day zranitelnostech přímo v PHP (označované jako CVE-2026-109618 a CVE-2026-109619, komunita jim už říká php2shell). PHP Security Team zareagoval urychleným oznámením a oběma chybám přiřadil skóre CVSS v4.0 9.2.

Podle dostupných zpráv jde o vzdálené spuštění kódu (RCE) bez nutnosti předchozí autentizace. Útočníkovi s vysokou pravděpodobností postačí možnost odeslat specificky formátovaný HTTP požadavek na webový server.

Na klidné spaní to úplně nebylo.

Opravy oficiálně vycházejí dnes (středa 21. 10.) v 16:00 našeho času (14:00 UTC). U nás od ranní porady měníme plány, mapujeme servery a chystáme pohotovost na dnešní odpoledne a večer.

Čas 16:00 je pro IT týmy nejhorší možný: většina lidí končí pracovní dobu a další směna začíná za 16 hodin. S tím, jak dnes útočníci rutinně využívají AI k bleskovému diffování patchů, reverse engineeringu a psaní funkčních exploitů, se dá čekat, že automatizovaný „lov“ na neopatchované servery začne během pár hodin po uvolnění zdrojáků. Čekat do zítřejšího rána je obrovský risk.

Co doporučuji udělat ještě PŘED 16. hodinou

  1. Inventura PHP napříč celou infrastrukturou. Nehledejte jen hlavní linuxové produkční webservery. Prověřte kontejnery, testovací/dev prostředí, lokální instalace na Windows (XAMPP, WAMP, IIS), řídicí panely a hlavně dodavatelské appliance nebo interní systémy, kde PHP běží na pozadí, aniž byste o něm věděli.
  2. Filtrujte podle vystavení do internetu. Co je přístupné z veřejné sítě, má absolutní prioritu č. 1. Připravte si postupy pro aplikaci balíčků hned, jak je distribuce a repozitáře uvolní.
  3. Tvrdý plán pro staré a EOL verze. Oficiální záplaty vyjdou primárně pro podporované větve (PHP 8.2+). Pokud někde provozujete staré nepodporované verze (PHP 5.x, 7.x, 8.0/8.1), oficiální patch od php.net zřejmě vůbec nedostanete. Pro tyto stroje připravte okamžitou mitigaci: shození za VPN, omezení na IP whitelist, striktní WAF pravidla nebo dočasné odstavení. Nechat je přes noc viset do internetu je hazard.
  4. Sledujte podezřelé procesy. RCE v PHP obvykle znamená, že worker process (php-fpm, apache2, httpd, php-cgi) neočekávaně spustí shell (sh, bash, cmd.exe, powershell) nebo stahovací utilitu (curl, certutil). Nastavte si na to v EDR / SIEMu dočasné alerty.

Teď čekáme na 16:00. Abychom viděli technické detaily, přesný vektor a zjistili, v kolik hodin dnes půjdeme spát. ☕ Držte se!

Zdroje a technické detaily