Bezpečnostní aktualizace PHP: nejdříve oprava, potom kontrola tajemství a přístupů

Dne 21. října 2026 vydalo PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 s opravami CVE-2026-109618 a CVE-2026-109619, kritických zranitelností umožňujících vzdálené spuštění kódu bez ověření. Oficiální oznámení označuje za rizikové instalace zpracovávající webové požadavky, včetně PHP-FPM a Apache mod_php. Úplnou opravou je aktualizace; dočasná omezení nejsou rovnocenná.

Zranitelná instalace není důkazem napadení. Berte opravu, vyšetřování a obnovu přihlašovacích údajů jako související úkoly a rozhodujte podle prostředí a důkazů.

Ověřte, co skutečně obsluhuje požadavky

Sepište veřejné weby, interní služby, kontejnery a hostingové účty s PHP. Potvrďte verzi a opravu prostředí zpracovávajícího webové požadavky; verze příkazové řádky může patřit jiné instalaci.

U spravovaného hostingu žádejte potvrzení nasazeného balíčku, dotčené služby a restartu či nasazení. Distribuce mohou opravy přenášet do starších verzí, proto získejte potvrzení dodavatele místo hodnocení samotného původního čísla. Rozsah s operátorem ověřte podle doporučení týmu PHP. Nezveřejňujte diagnostickou stránku s konfigurací serveru.

Omezte expozici a obnovte důvěryhodné prostředí

Aktualizaci rychle koordinujte s hostingem nebo provozním týmem. Vyžaduje-li to hodnocení incidentu, omezte dostupnost nebo systémy izolujte a zachovejte relevantní důkazy. Neodkládejte naléhavé omezení incidentu kvůli dokončení sběru logů.

Prověřte období vystavení, webové a systémové logy, neočekávané soubory či procesy a auditní události příslušných poskytovatelů. Chybějící varování nebo běžně vypadající logy nedokazují, že hostitel nebyl zasažen.

Při potvrzeném nebo důvodně předpokládaném napadení postupujte podle procesu incidentů a znovu sestavte či obnovte systém z důvěryhodného zdroje. Oprava neodstraní prostředky trvalého přístupu útočníka. Náhradní tajemství nevytvářejte, nepřijímejte ani neinstalujte na nedůvěryhodném hostiteli či zařízení.

Před rotací vyhodnoťte přihlašovací údaje

Sepište, k čemu mohl proces přistupovat: konfigurace aplikace, proměnné prostředí, tokeny nasazení, databázové údaje a API klíče. Určete oprávnění, rozsah a možné odhalení. Samotné oznámení neprokazuje únik všech údajů organizace.

U potenciálně odhalených údajů koordinujte výměnu a odvolání u vydávajícího poskytovatele z důvěryhodného správcovského zařízení. Náhrady instalujte do důvěryhodného nově sestaveného prostředí a ověřte legitimní integrace. Pořadí určete podle aktivního zneužití, možností poskytovatele a závislostí. Neslibujte nepřerušený provoz ani nenechávejte odhalený klíč aktivní neomezeně pro pohodlí.

Podle potřeby prověřte relace a obnovovací přístupy a zdokumentujte odpovědného za každou změnu. Nevkládejte samotná tajemství do tiketu nebo logu incidentu. OWASP

Po práci ukončete nouzové přístupy

Zasahujícím přidělte jednotlivé účty s úzkými oprávněními a dohodnutým koncem. Po obnově zkontrolujte dočasné role, relace, přístupy k nasazení a předávací odkazy. Odeberte již nepotřebné zbylé přístupy a ověřte výsledek v příslušné službě, ne pouze podle připomínky v kalendáři.

Rozlišujte tři různé kontroly

Dočasně předávejte až po obnově důvěry

Pokud postup dovoluje, vytvořte poznámku s heslem z důvěryhodného systému jen s nezbytným minimem pro ověřeného příjemce. Heslo pošlete zvlášť a vypršení či limity používejte, pokud je podporuje tarif. Nevkládejte obnovovací fráze peněženek ani soukromé klíče.

LOCK.PUB je omezený předávací nástroj: neopravuje PHP, neléčí infikovaná zařízení, neodvolává klíče poskytovatele a nevrací kopie. Nenahrazuje správce tajemství, kontrolu identity ani reakci na incident.

Časté otázky

Končí instalací aktualizace PHP vyšetřování?

Ne. Opravuje zranitelnost; důkazy a expozice určují další vyšetřování, obnovu a kroky u přihlašovacích údajů.

Vypne vypršení poznámky její API klíč?

Ne. Klíč odvolejte či vyměňte u poskytovatele. Zkopírovaný údaj je oddělený od odkazu, který ho předal.

Související: sdílení API klíčů s jasnými omezeními.