Kritická bezpečnostní aktualizace PHP: weby na starých verzích přepneme na PHP 8.2

Tým PHP dnes, 21. října 2026, vydal mimořádnou bezpečnostní aktualizaci. Opravuje dvě kritické chyby přímo v jádru PHP, kvůli kterým může útočník na serveru spustit vlastní kód. Na situaci jsme připraveni a opravu nasadíme na všechny naše servery hned v 16:00. Weby na starých, už nepodporovaných verzích PHP ale oprava neochrání, a proto je přepneme na PHP 8.2.

Aktualizace 21. října 2026: V 16:31 jsme na všech našich serverech dokončili aktualizaci PHP na opravené verze. Weby, které běžely na PHP 8.1 nebo starším, teď běží na PHP 8.2. Pokud váš web po přepnutí nefunguje správně, obraťte se na svého webmastera.

Co se stalo

Bezpečnostní tým PHP 20. října oznámil, že chystá opravu dvou kritických zranitelností s označením CVE-2026-109618 a CVE-2026-109619. Obě mají hodnocení závažnosti 9,2 z 10. Informace o nich unikly na veřejnost dřív, než byla oprava hotová.

Opravené verze vyšly 21. října v 16:00 našeho času. Na situaci upozornil také evropský tým pro kybernetickou bezpečnost CERT-EU a doporučuje opravu nasadit okamžitě.

Jaké hrozí nebezpečí

Chyby jsou v samotném PHP, tedy v jazyce, na kterém běží WordPress i většina ostatních webů. Útočník je může zneužít na dálku a bez přihlášení. Pokud se mu to podaří, může na serveru spustit libovolný kód a převzít kontrolu nad webem. Ohrožené jsou podle týmu PHP všechny běžné způsoby provozu PHP na webovém serveru, včetně PHP-FPM, Apache s mod_php a LiteSpeed.

• Zabezpečení webu tu nepomůže. Podle týmu PHP může útok proběhnout dřív, než se vůbec spustí WordPress. Neochrání před ním aktuální pluginy, silná hesla ani bezpečnostní plugin.
• Útoky se čekají velmi rychle. Spolu s opravou jsou teď veřejné i technické podrobnosti a útočníci z nich dokážou zjistit, kde přesně chyba je. Bezpečnostní firmy proto počítají s hromadnými útoky krátce po vydání opravy.
• Následky mohou být vážné. Útočník může na web vložit škodlivý kód nebo spam, přesměrovat návštěvníky nebo ukrást data zákazníků. Napadený web navíc hrozí vyřazení z vyhledávačů.

Jedna z chyb souvisí se situací, kdy PHP při zpracování požadavku dojde paměť (CVE-2026-109618). Druhá umožňuje, aby další požadavek zpracovaný stejným procesem použil data, která už měla být uvolněná (CVE-2026-109619). Podle týmu PHP je jediným spolehlivým řešením aktualizace.

Jsme připraveni

Situaci sledujeme od chvíle, kdy informace unikly. Aktualizaci všech našich serverů zahájíme v 16:00, kdy vyjdou opravené verze PHP, bez čekání na plánovanou údržbu.

Weby na PHP 8.2 až 8.5 mohou zůstat v klidu

Tým PHP vydal opravu pro všechny aktuálně podporované verze:

• PHP 8.5: opraveno ve verzi 8.5.12
• PHP 8.4: opraveno ve verzi 8.4.27
• PHP 8.3: opraveno ve verzi 8.3.36
• PHP 8.2: opraveno ve verzi 8.2.35

Pokud váš web běží na některé z nich, dostane opravu automaticky s naší aktualizací serverů. Nemusíte nic dělat.

Weby na PHP 8.1 a starším přepneme na PHP 8.2

PHP 8.1 a starší verze už tým PHP nepodporuje a opravené vydání pro ně nevyšlo. Vzhledem k závažnosti zveřejnil pro PHP 7.4, 8.0 a 8.1 jen minimální opravy zdrojového kódu pro ty, kdo si PHP sestavují sami. Chyby se přitom podle bezpečnostních firem týkají všech verzí od PHP 5.4. Web na staré verzi by tak zůstal zranitelný i po aktualizaci serverů.

Vzhledem k závažnosti situace proto všem klientům, jejichž weby běží na PHP 8.1 nebo starším, nastavíme PHP 8.2. Změnu provedeme sami spolu s nasazením opravy od 16:00.

Co to může znamenat pro váš web: Starší weby, šablony a pluginy nemusí být s PHP 8.2 kompatibilní. Po přepnutí se proto může stát, že web přestane fungovat a skončí kritickou chybou. Pak bude potřeba zásah webmastera, který web pro novou verzi PHP upraví.

Mrzí nás, že vám tím můžeme způsobit komplikace. V zájmu bezpečnosti vašeho webu i jeho návštěvníků ale nemáme jinou možnost než k tomuto kroku přistoupit.

Co můžete udělat vy

1. Zjistěte, na jaké verzi PHP váš web běží. Ve WordPressu ji najdete v Nástroje → Stav webu → Informace → Server.
2. Pokud jde o PHP 8.1 nebo starší, aktualizujte WordPress, šablonu i pluginy ještě před přepnutím. Aktuální verze bývají s PHP 8.2 kompatibilní a riziko chyby se tím výrazně sníží.
3. Odstraňte nepoužívané pluginy a šablony. Staré a neudržované doplňky bývají nejčastější příčinou chyb po změně verze PHP.
4. Pokud web po přepnutí nefunguje, obraťte se na svého webmastera. WordPress při kritické chybě obvykle pošle na e-mail administrátora zprávu, který plugin nebo šablona chybu způsobil, a odkaz pro přihlášení v režimu obnovení.

Závěr

Provozovat web na nepodporované verzi PHP je dlouhodobé riziko a tato chyba to jen potvrzuje. Na staré verze už opravy nevycházejí, takže každá další zranitelnost v nich zůstane otevřená. Doporučujeme proto držet web vždy na verzi PHP, kterou tým PHP podporuje. Podpora PHP 8.2 končí 31. prosince 2026, proto je dobré web postupně připravit i na PHP 8.3 nebo novější.

Pokud si nejste jistí, na jaké verzi PHP váš web běží, nebo potřebujete poradit, napište naší podpoře.

Článek jsme aktualizovali 21. října 2026 po vydání opravených verzí PHP a znovu v 16:31 po jejich nasazení na naše servery.

Zdroje

• PHP: bezpečnostní upozornění a opravené verze (anglicky)
• CERT-EU: bezpečnostní upozornění 2026-018 (anglicky)
• Sansec: analýza zranitelností (anglicky)
• PHP: přehled podporovaných verzí (anglicky)