Nasazen fix na všech našich serverech
Dne 21. 10. 2026 vydal bezpečnostní tým PHP opravy dvou kritických zranitelností (CVE-2026-109618 a CVE-2026-109619). Obě mají nejvyšší stupeň závažnosti (CVSS 9.2). Útočník je mohl zneužít ke spuštění vlastního kódu na serveru bez jakéhokoli přihlášení, a to dřív, než se vůbec spustila samotná webová aplikace. Chyby se týkají prakticky všech verzí PHP vydaných od roku 2004, a tedy naprosté většiny webů na světě.
Vzhledem k závažnosti jsme záplaty nasadili okamžitě po jejich zveřejnění. Oficiální opravy vyšly pro podporované verze PHP 8.2 až 8.5. Vývojáři PHP výjimečně připravili opravy i pro verze 7.4, 8.0 a 8.1, které už jinak aktualizace nedostávají. Starší verze 5.6 až 7.3 oficiální opravu nedostaly. Pro ně však opravené balíčky připravili nezávislí správci serverového software, kteří starší verze PHP dlouhodobě udržují. Díky tomu jsme zabezpečili všechny verze PHP, které na našich serverech provozujeme, od 5.6 až po 8.5.
Tato hrozba je pro weby u nás zažehnána a z vaší strany není potřeba nic dělat.
Proč na aktualizacích záleží
Tento případ ale ukazuje, jak důležité je udržovat aktuální nejen samotné weby (WordPress, pluginy, šablony, e-shopy), ale i prostředí, na kterém běží, tedy hlavně verzi PHP. Verze starší než 8.2 už od vývojářů PHP žádné opravy nedostávají. Tentokrát se našla náhradní řešení, příště to tak být nemusí. Neaktualizovaný web je nejčastější cestou k úniku dat zákazníků, napadení webu nebo průniku na server.
Proto budeme aktualizace u klientů nově více vyžadovat. V nejbližších dnech se ozveme majitelům projektů, které běží na zastaralých verzích nebo je potřeba prioritně aktualizovat, a s každým individuálně probereme možnosti řešení.
V případě dotazů nás neváhejte kontaktovat.
Tým MEDIA ENERGY
