PHP 8.x opravuje dvě zranitelnosti RCE po úniku

V kostce

• Opravy pro celou řadu PHP 8.x vyšly 21. října 2026.
• Skutečné skóre CVSS bylo 9,2, uniklé informace uváděly 10,0.
• Wiz Research objevilo první zranitelnost 19. srpna 2026.

PHP vydalo 21. října 2026 bezpečnostní aktualizace pro celou řadu PHP 8.x, které opravují dvě zranitelnosti umožňující vzdálené spuštění kódu. Aktualizace vyšly o den dříve, než se původně plánovalo, poté, co se informace o zranitelnostech začaly šířit na internetu. Podle Simona Willisona doporučuje PHP uživatelům aktualizovat své systémy.

První informace se objevily 20. října kolem 15:00 UTC na internetových fórech a sociálních sítích. Šířily se chybné údaje o hodině vydání oprav a nesprávné skóre CVSS 10,0; skutečné skóre činí 9,2. V té době podle popisu události ještě neunikly technické podrobnosti o zranitelnostech.

Projekt PHP následně posunul zveřejnění předběžného oznámení na 19:30 UTC a vydání oprav z 22. října ve 14:00 UTC na 21. října ve 14:00 UTC. Kolem 20:00 UTC bezpečnostní firma Calif omylem zveřejnila video s ukázkou proof of concept na několika cílech. Video obsahovalo také omezené dodatečné informace o zranitelnostech; po jeho smazání se začaly šířit jeho kopie.

Podle Willisona přispělo video k urychlení vývoje dalších ukázek zneužití, které se 21. října dále šířily. Z dostupného popisu nevyplývá, že by před únikem byly zveřejněny technické podrobnosti; video však některé omezené informace doplnilo. Jména konkrétních CVE ani technické podrobnosti o opravách zdroj neuvádí.

Časová osa výzkumníků z Wiz Research začíná 19. srpna 2026, kdy podle článku objevili první zranitelnost s využitím Wiz Atlas, Gemini 4 Argon a GPT-5.6 Sol. Následující den potvrdili neautentizované vzdálené spuštění kódu proti Drupalu a 21. srpna také proti WordPressu. Bezpečnostní tým PHP obdržel hlášení 24. srpna a 21. září potvrdil jeho přijetí a začal připravovat koordinovanou opravu. Opravené verze a veřejné zveřejnění následovaly 21. října.

Zdroje

1. Simon Willisonsimonwillison.net