Kritická zranitelnost PHP: Proč aktualizace webu nesnese odklad

Které verze PHP jsou zasažené?

Opravy pro podporované větve PHP byly vydány v těchto verzích:

Větev PHP	Opravená verze
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Pokud váš web používá starší verzi z některé z těchto větví, je potřeba zajistit aktualizaci na odpovídající opravenou verzi.

Zvláštní pozornost vyžadují také PHP 8.1 a starší větve, které již nejsou standardně podporované vývojovým týmem PHP. U některých distribucí a poskytovatelů dlouhodobé podpory mohou být dostupné zpětně přenesené bezpečnostní opravy. Je proto nutné ověřit konkrétní stav u dodavatele prostředí.

Co doporučuji udělat?

V podobných situacích je důležité postupovat systematicky. Samotná informace o zranitelnosti ještě neříká, zda je konkrétní web ohrožený, ale rozhodně je důvodem k ověření jeho stavu.

1. Ověřte verzi PHP Zjistěte, jakou verzi skutečně používá produkční aplikace — v administraci hostingu, panelu nebo přes podporu. Hosting může nabízet více verzí; zkontrolujte každý web a subdoménu zvlášť.
2. Aktualizujte na opravenou verzi Prioritou je opravené vydání nebo bezpečnostní balíček od dodavatele. Připravte zálohu, ověřte kompatibilitu a po nasazení zkontrolujte, že běží opravené PHP (včetně restartu PHP-FPM / Apache, pokud je to relevantní).
3. Prověřte aplikaci a závislosti U WordPressu systém, pluginy i šablonu. U vlastních aplikací knihovny, konfiguraci a oprávnění. Sledujte logy a klíčové funkce po aktualizaci.

1. Ověřte verzi PHP

Prvním krokem je zjistit, jakou verzi PHP používá váš web.

Pokud máte přístup do administrace hostingu, bývá tato informace dostupná v nastavení webu nebo v sekci správy PHP. U některých poskytovatelů lze verzi ověřit také prostřednictvím administračního panelu nebo technické podpory.

Důležité je ověřit verzi skutečně používanou produkční aplikací. Hosting může umožňovat více verzí PHP a jednotlivé weby nebo subdomény mohou používat rozdílné konfigurace.

Pokud provozujete více webů na jednom hostingu, zkontrolujte každý z nich samostatně.

2. Aktualizujte PHP na opravenou verzi

Pokud používáte zasaženou verzi, prioritou je aktualizace na opravené vydání nebo odpovídající bezpečnostně opravený balíček od dodavatele.

Na spravovaném hostingu může být aktualizace otázkou změny nastavení PHP. Jinde je nutné kontaktovat poskytovatele nebo provést změnu na úrovni serveru.

Před aktualizací je vhodné ověřit kompatibilitu aplikace, připravit zálohu a po nasazení zkontrolovat, že web správně funguje.

Nestačí pouze změnit číslo verze v administračním rozhraní. Je potřeba ověřit, že produkční prostředí skutečně používá opravené PHP a že po aktualizaci byly restartovány příslušné služby a procesy, například PHP-FPM nebo Apache, pokud je to pro dané prostředí relevantní.

3. Prověřte aplikaci a její závislosti

Aktualizace PHP řeší konkrétní chyby v běhovém prostředí. Neměla by ale nahradit běžnou kontrolu zabezpečení webu.

U WordPressu doporučuji ověřit aktuálnost samotného systému, pluginů i šablony. U vlastních aplikací je vhodné projít také používané knihovny, konfiguraci serveru a přístupová oprávnění.

Po aktualizaci zkontrolujte alespoň:

• Zda se web správně načítá a fungují důležité stránky.
• Zda fungují formuláře, přihlášení a další klíčové funkce.
• Zda se v logách neobjevují nové chyby.
• Zda produkční prostředí skutečně používá opravenou verzi PHP.

Pokud existuje podezření, že mohl být server napaden ještě před aktualizací, samotná instalace opravy nemusí stačit. V takovém případě je potřeba prověřit logy, změny souborů, přístupy a případné známky kompromitace.

Co když nemáte přístup k serveru?

Tohle je poměrně běžná situace. Majitel webu nemusí mít administrátorský přístup k serveru, nemá SSH a často ani neví, jakou verzi PHP jeho aplikace používá.

Neznamená to ale, že by měl situaci ignorovat.

Kontaktujte poskytovatele hostingu a požádejte ho o potvrzení, zda vaše prostředí používá opravenou verzi PHP nebo balíček obsahující příslušné bezpečnostní opravy.

Pokud web spravuje externí vývojář, agentura nebo jiný dodavatel, požádejte také o kontrolu produkčního prostředí a potvrzení provedených změn.

Takové rozhodnutí je potřeba posoudit s ohledem na konkrétní provoz a dopady na dostupnost služby.

Proč se bezpečnost webu neřeší jen při jeho tvorbě?

Při vývoji webu se často soustředíme především na design, výkon, obsah a funkce. To jsou samozřejmě důležité části projektu, ale dokončením vývoje péče o web nekončí.

Web je závislý na celé řadě vrstev: od samotného serveru a PHP přes databázi až po framework, redakční systém a jednotlivé knihovny. Bezpečnostní problém se může objevit v kterékoli z nich.

A právě proto nestačí mít web, který byl bezpečný v okamžiku svého spuštění. Je potřeba průběžně sledovat bezpečnostní upozornění, udržovat závislosti aktuální a reagovat na chyby, které mohou mít přímý dopad na provoz.

U svých klientských projektů proto podobná upozornění beru jako důvod k ověření konkrétního stavu, nikoli jen jako další zprávu v technologickém feedu.

Nejdříve zjistit, kterých projektů se problém týká. Pak aktualizovat. Nakonec ověřit, že aplikace po zásahu správně funguje. Teprve tím je proces dokončen.

Závěr

Kritické zranitelnosti PHP jsou připomínkou, že bezpečnost webu není jednorázová záležitost. V tomto případě existují opravené verze, takže hlavním úkolem je ověřit konkrétní prostředí a zajistit, aby potřebná aktualizace proběhla co nejdříve.

Pokud provozujete web na WordPressu nebo vlastní PHP aplikaci, doporučuji tuto kontrolu neodkládat. Nejdůležitější je ověřit verzi PHP, nasadit odpovídající opravu a následně zkontrolovat stav celého webu.

Nejste si jistí, jakou verzi PHP váš web používá nebo zda je správně zabezpečený? Napište mi. Pomohu vám ověřit aktuální stav, zkontrolovat dostupné aktualizace a navrhnout další postup podle konkrétního prostředí. Případně můžete rovnou vyplnit nezávazný brief.

Zdroj: CERT-EU — Critical Vulnerabilities in PHP (Security Advisory 2026-018). Oficiální opravená vydání PHP: php.net/downloads.