O připravovaných bezpečnostních opravách PHP víme a jsme připraveni je po vydání nasadit. Ještě před vydáním aktualizací jsme vypnuli funkci session upload progress, která se v souvislosti s těmito zranitelnostmi zmiňuje. Od našich klientů není v tuto chvíli potřeba žádná akce.
Co vývojáři PHP oznámili
Bezpečnostní tým PHP zveřejnil 20. října 2026 upozornění na připravovanou aktualizaci, která řeší dvě kritické zranitelnosti v PHP. Obě zranitelnosti mají hodnocení závažnosti 9,2 z 10 podle CVSS v4.0. Vydání oprav je naplánováno na 21. října 2026 v 16:00 českého času, tedy ve 14:00 UTC. Vývojáři si zároveň vyhradili možnost vydat opravy dříve, pokud budou zveřejněny podrobnosti nebo se objeví důkazy o aktivním zneužívání.
Úplné technické informace, seznam dotčených verzí a označení opravených vydání mají být zveřejněny společně s aktualizací.
Jsme připraveni nasadit dostupné opravy
Aktuálně situaci sledujeme a připravujeme aktualizace na našich hostingových serverech. Jakmile budou opravy dostupné, zajistíme aktualizaci všech námi provozovaných verzí PHP, pro které budou vydány.
U starších verzí PHP budeme další postup řešit po zveřejnění technických podrobností. Na jejich základě vyhodnotíme dopad zranitelností a možnosti opravy. Konkrétní řešení pro tyto verze proto upřesníme až podle dostupných informací.
Vypnuli jsme funkci session upload progress
Ještě před vydáním aktualizací jsme vypnuli funkci session upload progress, tedy funkci PHP pro sledování průběhu nahrávání souborů prostřednictvím sessions. Technicky jde o nastavení session.upload_progress.enabled. Tato funkce umožňuje aplikaci průběžně zjišťovat stav nahrávání souboru.
K vypnutí jsme přistoupili v reakci na informace, které se v souvislosti s oznámenými zranitelnostmi objevily. Samotnou změnu tohoto nastavení nepovažujeme za náhradu bezpečnostních oprav. Jejich nasazení zůstává naším hlavním dalším krokem.
Co to znamená pro naše klienty
V souvislosti s tímto oznámením nemusíte na našem webhostingu nic nastavovat ani zadávat požadavek na aktualizaci. Přípravu a nasazení oprav PHP zajistíme na naší straně jakmile bude aktualizace uvolněna.
Situaci průběžně sledujeme. Po zveřejnění podrobností vyhodnotíme také další postup pro starší verze PHP. Podrobnosti k připravovanému vydání najdete v oficiálním oznámení bezpečnostního týmu PHP.