Kritické zranitelnosti PHP: Jak jsme zabezpečili vaše weby

Ve středu 21. října 2026 vyšly bezpečnostní aktualizace, které opravují dvě kritické zranitelnosti PHP. Náš technický tým ale začal s přípravou bezpečnostních opatření ještě před jejich vydáním. Cíl byl jasný: co nejrychleji zabezpečit servery a ochránit vaše weby. Co se vlastně stalo, jak jsme postupovali a co to znamená pro váš web? 

Dvě kritické zranitelnosti PHP. O co šlo?

20. října upozornili vývojáři PHP na dvě závažné bezpečnostní zranitelnosti, které měla opravit připravovaná aktualizace. Obě získaly hodnocení závažnosti 9,2 z 10 podle CVSS v4.0, což je řadí mezi kritické bezpečnostní hrozby. 

O den později, 21. října, byly vydány bezpečnostní opravy. 

Zranitelnosti označené jako CVE-2026-109618 a CVE-2026-109619 mohly útočníkům umožnit spustit škodlivý kód na serveru, a to i bez přihlášení. 

• První zranitelnost souvisela s tím, jak PHP zpracovává chyby při nedostatku paměti. 

• Druhá zranitelnost se týkala interního stavu PHP, který mohl přetrvat i po uvolnění příslušné paměti. 

Proč je to důležité? PHP pohání velkou část webů, včetně těch postavených na WordPressu. Podobné zranitelnosti tak mohou představovat riziko i pro váš web. Proto bylo důležité reagovat co nejrychleji. 

Jak jsme postupovali? 

Na vydání bezpečnostních oprav jsme nečekali. Jakmile jsme se o zranitelnostech dozvěděli, náš technický tým začal situaci sledovat, vyhodnocovat možná rizika a připravovat potřebná opatření. 

Ještě před vydáním oficiálních aktualizací jsme nasadili dostupná bezpečnostní opatření, která pomáhala snížit riziko případného útoku. 

Po zveřejnění oprav jsme se pustili do jejich nasazování. Zároveň jsme aktualizovali pravidla firewallu, která pomáhají chránit naši infrastrukturu. Na všechny námi podporované verze PHP od 5.6 výše jsme nasadili příslušné bezpečnostní záplaty. 

Zvláštní pozornost jsme věnovali také starší verzi PHP 5.3. Podle dostupných informací by se jí tyto konkrétní zranitelnosti neměly týkat. Přesto jsme pro ni nasadili maximum dostupných bezpečnostních opatření. 

Výsledek? Potřebné bezpečnostní opravy jsme úspěšně nasadili. U standardních spravovaných serverů proběhly aktualizace automaticky, bez přerušení dostupnosti vašich služeb. 

Za bezpečným webem stojí i práce, kterou nevidíte 

Když se objeví kritická bezpečnostní hrozba, nestačí jen kliknout na tlačítko „Aktualizovat“. Je potřeba rychle vyhodnotit rizika, připravit řešení, otestovat ho a bezpečně nasadit. A to tak, aby váš web dál fungoval, jak má. 

Právě v takových chvílích se ukazuje, jak důležité jsou zkušenosti a spolupráce lidí, kteří se starají o naše technické zázemí. Velké díky patří celému našemu technickému týmu a všem kolegům, kteří situaci sledovali, připravovali bezpečnostní opatření a pracovali na nasazení oprav. 

Většinu jejich práce běžně ani nezaznamenáte. A přesně tak to má být. 

Musíte něco udělat? 

Pokud využíváte náš sdílený hosting nebo managed server, o potřebné bezpečnostní opravy jsme se už postarali. Ve většině případů tak nemusíte nic řešit. 

Pokud ale váš web používá PHP 8.1 nebo starší, doporučujeme přejít na novější verzi PHP (8.2, 8.3, 8.4 nebo 8.5). Změnu můžete provést přímo v administraci služby. Díky tomu budete mít i nadále zajištěnou plnou bezpečnostní podporu. 

Pokud si svůj server spravujete sami, za aktualizace operačního systému a softwaru odpovídáte vy. Doporučujeme proto co nejdříve zkontrolovat používanou verzi PHP a nainstalovat potřebné bezpečnostní opravy. 

My budeme situaci dál sledovat a průběžně vyhodnocovat případná bezpečnostní rizika. Bezpečnost není jednorázová záležitost. Na zabezpečení a spolehlivém provozu našich služeb pracujeme každý den, i když to většinou ani nezaznamenáte.