Kritická chyba v PHP: PHP2Shell umožňuje vzdálené spuštění kódu

21.10. 2026 v 16:00 vydal PHP tým nouzové opravy pro dvě kritické zranitelnosti souhrnně známé jako PHP2Shell, CVE-2026-109618 a CVE-2026-109619. Zranitelnost je v samotném interpretru PHP, ne v konkrétní aplikaci nebo webserveru. Obě umožňují neautentizované vzdálené spuštění kódu a mají CVSS v4.0 skóre 9.2 (Critical).

• CVE-2026-109618 — RCE přes poškození paměti (out-of-memory) během úklidu requestu
• CVE-2026-109619 — RCE přes zastaralý globální stav, který znovu použije další request na stejném workeru

Jak se bránit?

Upgradujte na opravenou verzi podle vaší větve:

• 8.5 → 8.5.12
• 8.4 → 8.4.27
• 8.3 → 8.3.36
• 8.2 → 8.2.35

Jakou verzi aktuálně používáte zjistíte příkazem:

php -v

Dočasný hotfix!

Pokud nemůžete ihned aktualizovat PHP můžete dočasně použít hotfix níže.

# file php.ini

php_admin_value[memory_limit] = -1
php_admin_value[session.upload_progress.enabled] = 0

Další zdroje:

https://portal.nukib.gov.cz/informacni-servis/aktualne/6ad8e555150279a8f60e1df8