Národný bezpečnostný úrad upozorňuje na bezpečnostné riziká PHP, opravy zatiaľ nie sú dostupné

Podľa úradu je situácia vážna a vyžaduje okamžitú prípravu. Vyzval prevádzkovateľov na vykonanie konkrétnych krokov. „Identifikujte všetky PHP systémy dostupné z internetu alebo iných nedôveryhodných sietí. Pripravte izoláciu alebo odstavenie systémov, ktoré nebude možné rýchlo aktualizovať. Zvážte dočasné mitigácie, napríklad vypnutie session.upload_progress a obmedzenie multipart/form-data tam, kde je to prevádzkovo možné. Zabezpečte externý zber a uchovávanie logov. Pripravte a otestujte postup aktualizácie, reštartu a redeployu ešte pred vydaním opráv. Nezabudnite na kontajnery, appliances, embedded administračné rozhrania a produkty tretích strán používajúce PHP,“ uviedol.

NBÚ priblížil, že ide o zraniteľnosti CVE-2026-109618 a CVE-2026-109619.

Verejne dostupný výskum už podľa analytikov opisuje funkčné zneužitie minimálne jednej zo zraniteľností. Rozsiahle aktívne zneužívanie vo voľnej prevádzke zatiaľ potvrdené nebolo. „Toto nie je situácia typu opravíme neskôr – tento týždeň,“ poukázal úrad. Vyzval na prípravu opráv ešte v tento deň.