dnes (21. října 2026) ve 14:00 UTC (16:00) by měly být zveřejněny informace o závažném PHP bezpečnostním problému. Asi s tím mnoho z nás nic neudělá, ale rozhodně sledujte:
Pro ty všechny lidi co mají doma nástěnné hodiny a žijí v nějakém časovém pásmu tak pro Prahu a spol je to je to v 16:00. Ve 14:00 v UTC.
Dle cloudflare už je chyba zneužívaná.
Někteří namítají že by jim mohlo pomoct než se aktualizuje:
session.upload_progress.enabled = Off
To ale nic neřeší. Řešení je aktualizovat. Hlavně ti co mají své servery. Ostatní mohou sledovat jak reaguje hosting. V horším případě můžeme sledovat jak se nám to sype pod rukama.
...Ujistěte se, že na hostingu nepoužíváte staré verze PHP, které již nejsou podporovány (PHP 8.1 a starší), protože pro ty oficiální patch vůbec nevyšel...
To je hezké, takže dneškem končí polovina webů? Alespoň u mě to tak bude... Uděláme tedy čerstvé zálohy a pak se uvidí...
I'm sorry, my responses are limited...you must ask the right questions.
Mi hosting před chvíli psal, že jak to vyjde tak hned záplatují.
Chyba umožní útočníkovi spustit na serveru vlastní kód. Do toho tu máme CRA.
Těchto příběhu bude víc a víc. Dnes už nám prochází kód AI a ulehčuje hledání zranitelností.
Ano staré weby budou mít problém. Stejně jako lidé co mají WinXP. Obecně bude problém mít něco nezáplatovaného.
Navíc pokud spravujete web někomu kdo spadá pod NIS2 je to problém.
Sám vím o webu kde to asi nepůjde...
Verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 opravují dvě kritické zranitelnosti, které mohou umožnit vzdálené spuštění kódu bez nutnosti autentizace. Pro nižší verze viz odkaz.
"Podívejte se na update je tam i návod pro případ, že někdo nemůžete okamžitě aktualizovat."
No zrovna tohle nemusí být dobrý nápad (pokud vůbec netušíte, co má nastaveno systém):
Set
Code:
memory_limit=-1
, preferably in a way applications can't override, such as
Code:
php_admin_value
in the FPM pool or Apache configuration, and check that no pool, directory or application setting puts a finite limit back. This removes the controllable PHP memory limit failure, but an underlying allocation failure can still reach the vulnerable path.
Z pohledu hostera je ten problém šílený. Kde jsou VPS a je tam verze 7.4, nebo 8.2.x a vyšší, je na to oprava. U nás (hostime.cz) to bude opraveno dnes max do 24hod (je toho opravdu hodně co se musí řešit, týká se to všech serverů na světě - do té doby u nás na VPS máme nasazeno blokování principu toho útoku, tzn weby běží, ale nemusí vše fungovat).
Na jiné verze PHP zatím oprava není. Platí, že VPS, kde je MIX těchto verzí nebudeš moct pustit dokud nebudou opraveny všechny verze PHP, protože dle popisu chyb se přes jakoukoliv neopravenou verzi PHP útočník teoreticky dostane všude. U nás jsme to naštěstí na začátku roku rozdělili a teď jsem rád, že jsem to tak rozhodnul (i když klienti samozřejmě špatně nesli, že to PHP už nejde jednoduše přepínat). Konkurence s multiphp servery se zblázní a ta cesta je zjevně neudržitelná. Budoucnost bezpečných hostingů je asi v malých VPS jen pro dané verze PHP/DB, případně kontejnerů. Uvidíme.
Co bude s weby na starých PHP netuším, zatím bude blokován princip. Pracujeme na tom.
itx.cz
- komplexní služby v IT ...
hostime.cz
- webhosting nejen s podporou Joomla
Ondřej Surý (hlavný správca najpopulárnejšieho PHP repozitára pre Debian a Ubuntu) včera večer skutočne vydal opravné balíčky pre všetky PHP verzie (vrátane starých EOL verzií ako PHP 5.6, 7.0, 7.4 atď.).
=
Zhrnutie stavu vášho servera:
• Všetky verzie PHP (5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2, 8.3, 8.4) boli úspešne aktualizované najnovšími bezpečnostnými balíčkami od Ondřeja Surého.
• Služby boli úspešne reštartované a v pamäti RAM už bežia bezpečné verzie.
• Zraniteľnosť PHP2Shell je na vašom serveri kompletne vyriešená.
Karel Neugebauer - itx.cz napsal: Pro verzi 5.6 žádná aktualizace nevyšla. Lze to řešit zakázáním určitých funkcí v dané verzi (což ale u části webů může znamenat že nebudou fungovat).
Ondřej Surý vydal i pro PHP 5.6. Znamená to ale jediné, beru to jako záplatu, která mi koupí čas na migraci.
Autor
