PHP chystá opravu dvou kritických zranitelností s CVSS 9,2

Bezpečnostní tým PHP oznámil, že ve středu 21. října 2026 vydá aktualizace opravující dvě kritické zranitelnosti. Obě mají podle oznámení skóre CVSS v4.0 9,2. Vydání je plánované na 14:00 UTC, tedy na 16:00 českého letního času.

Nejde ještě o zveřejnění oprav ani bezpečnostních detailů. PHP tým zatím neuvádí dotčené verze, identifikátory CVE, mechanismus zranitelností, podmínky zneužití ani čísla opravených vydání. Tyto informace chce publikovat společně s aktualizacemi.

Proč tým varuje předem

Krátký předstih dává správcům prostor připravit údržbu ještě před tím, než se spolu s opravou zveřejní informace použitelné k analýze zranitelností. Oficiální oznámení vyzývá všechny uživatele PHP, aby byli připraveni aktualizovat bezprostředně po vydání.

Plánovaný čas navíc není zaručeným nejzazším bodem. PHP tým si vyhradil možnost vydat opravy dříve, pokud se podrobnosti o některé z chyb dostanou na veřejnost nebo se objeví známky aktivního zneužívání. Pro provozní týmy je proto rozumné nespoléhat na to, že mají na přípravu celý následující den.

Co zatím nelze tvrdit

Hodnota 9,2 vyjadřuje vysokou technickou závažnost podle CVSS v4.0, sama ale nepopisuje konkrétní dopad na každou PHP aplikaci. Bez zveřejněného vektoru nelze určit, zda útok vyžaduje určitou konfiguraci, rozšíření, SAPI, operační systém nebo zpracování specifického vstupu.

Stejně tak zatím není potvrzené, které větve PHP opravy dostanou. Oficiální přehled podpory k 20. říjnu uvádí větve 8.2, 8.3, 8.4 a 8.5; PHP 8.2 a 8.3 jsou už pouze v režimu bezpečnostních oprav. Z toho však nelze odvodit, že jsou všechny čtyři větve oběma chybami zasažené. Rozhodující bude až seznam dotčených a opravených verzí v oznámení k vydání.

Předčasné závěry o vzdáleném spuštění kódu, obcházení autentizace nebo úniku dat by proto byly spekulací. PHP tým žádný z těchto scénářů v předběžném upozornění nepotvrdil.

Co připravit před vydáním opravy

Správci nemusí čekat na technické detaily, aby odstranili běžné překážky rychlé aktualizace. Je užitečné připravit si zejména:

• inventář produkčních verzí PHP, použitých SAPI a základních obrazů kontejnerů;
• kontakt na dodavatele distribuce, hostingu nebo spravované platformy, pokud PHP neaktualizují přímo;
• krátký regresní test kritických cest aplikace a možnost ověřit kompatibilitu rozšíření;
• postup pro sestavení nového image, nasazení, restart workerů a následnou kontrolu skutečně běžící verze;
• zálohu a návratový plán pro případ provozní chyby při nasazení.

Samotné stažení balíčku nestačí, pokud staré PHP procesy pokračují v běhu. Po aktualizaci bude potřeba ověřit verzi nejen v CLI, ale také ve webových workerech a dalších dlouho běžících procesech. U kontejnerů je vhodné zkontrolovat digest výsledného image a nenechat nasazení záviset pouze na pohyblivém tagu.

Rozhodnutí přijde s release notes

Po zveřejnění oprav bude nejdřív potřeba porovnat oficiální seznam dotčených verzí se skutečným inventářem. Teprve release notes a bezpečnostní advisory ukážou, zda existují zmírňující opatření, jaké konfigurace jsou rizikové a které nové verze problém odstraňují.

Do té doby je nejpřesnější závěr jednoduchý: PHP tým považuje obě chyby za kritické a žádá uživatele, aby se připravili na rychlou aktualizaci. Podrobnosti, které by umožnily hodnotit konkrétní expozici jednotlivých systémů, zatím veřejné nejsou.