Autor: Root.cz s využitím Duck.ai

Dvě kritické zranitelnosti PHP, označené CVE-2026–109618 a CVE-2026–109619 a souhrnně nazývané PHP2Shell, už útočníci úspěšně zneužili ke vzdálenému spuštění kódu. Potvrzený útok mířil na server Apache s modulem mod_php a PHP 8.4.26.

Důkaz zachytily honeypoty bezpečnostního výzkumníka Adela Karimiho. Analýza zaznamenaného provozu podle něj ukazuje, že útočníci získali výpis dat z paměti a využili jej při následném spuštění příkazu. Zjištění potvrdil také druhý odborník, Marcus Hutchins.

Vývojáři PHP vydali opravy 21. října. Před jejich zveřejněním se objevily informace o zranitelnostech i nefunkční ukázkové exploity. Bezpečnostní firmy zaznamenávaly pokusy o útok, ale dosud bez potvrzeného úspěchu. Správcům se přesto doporučuje aktualizovat PHP na opravené verze.

Článek zároveň upozorňuje na další zranitelnost umožňující vzdálené spuštění kódu (CVE-2026–115560), pro kterou zatím není oprava. Jako dočasné opatření vývojáři PHP doporučili vypnout vlastnost session.upload_progress.enabled nastavením na 0. Riziko se týká systémů se specifickou kombinací konfigurace a aplikačního kódu.

Petr Krčmář pracuje jako šéfredaktor serveru Root.cz. Studoval počítače a média, takže je rozpolcen mezi dva obory. Snaží se dělat obojí, jak nejlépe umí.