# RHEL, AlmaLinux a Rocky Linux: kontrola záplaty PHP

> Kontrola záplaty PHP na RHEL, AlmaLinux a Rocky: co Red Hat k PHP2Shell uvádí, jak zjistit errata, changelog a moduly a jak správně restartovat.

Zdroj: https://phpsos.de/cs/blog/rhel-almalinux-rocky-php/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Na RHEL, AlmaLinux a Rocky Linux zkontrolujete záplatu PHP proti PHP2Shell třemi cestami: bezpečnostními oznámeními distribuce (`dnf updateinfo`), changelogem balíčku (`rpm -q --changelog`) a časem spuštění procesů PHP. Red Hat uvádí RHEL 7 až 10 jako postižené a při vyhledání oznámil, že některé aktualizace jsou k dispozici a další rozpracovány. Po aktualizaci platí: restartovat úplně, ne jen znovu načíst.

## Co Red Hat k PHP2Shell zveřejnil

Red Hat k PHP2Shell vydal bezpečnostní bulletin RHSB-2026-013. Vyhledali jsme ho 25. října 2026. Nejdůležitější body pro správce:

- **Postiženy** jsou RHEL 10, 9, 8 a 7 i produkty a kontejnery na nich postavené na základě image RHEL nebo UBI.
- **RHEL 7** je podle Red Hat postiženo jen CVE-2026-109619; kód pro CVE-2026-109618 tam prý není obsažen.
- **Nepostiženy** jsou systémy bez PHP nebo s PHP, které nezpracovává nedůvěryhodné požadavky HTTP.
- **Aktualizace:** Některé byly při vyhledání k dispozici, další rozpracovány. Konkrétní čísla errata bulletin neuváděl, ale odkazoval na stránky errata.

Red Hat hodnotí CVE-2026-109618 vlastní metodou jako „Important“ a poukazuje na to, že standardní instalace od RHEL 8 používají PHP-FPM místo mod_php. Jde o zařazení, ne o uklidnění. Projekt PHP hodnotí obě zranitelnosti CVSS v4.0 9.2 a BSI (německý Spolkový úřad pro informační bezpečnost) doporučuje okamžitou aktualizaci.

## AlmaLinux a Rocky Linux: stejný zdroj, vlastní tempo

AlmaLinux a Rocky Linux sestavují své balíčky ze zdrojů Red Hat. Opravy proto zpravidla přicházejí obsahově stejné, ale s vlastním časem a pod vlastními bezpečnostními oznámeními. Odkaz na errata Red Hat neznamená, že balíček bude u vašeho derivátu dostupný téhož dne.

Rozhodující je proto stav na vašem systému. Ověřujte ho nástroji správy balíčků, ne podle zpráv nebo fór.

Dávejte také pozor na to, zda server používá zrcadla nebo interní zdroje balíčků. V mnoha firmách servery nezískávají aktualizace přímo od výrobce, ale přes interní zrcadlo nebo nástroj pro správu. Pokud toto zrcadlo není aktuální, `dnf` nové balíčky nenajde, přestože byly dávno zveřejněny.

## Jak zkontrolovat záplatu PHP na RHEL a derivátech

Následující příkazy jen čtou. Názvy balíčků platí pro balíčky PHP distribuce; balíčky z cizích zdrojů, jako je Remi, se někdy jmenují jinak.

```bash
# Které streamy PHP systém zná a který je aktivní? (RHEL 8 a 9)
dnf module list php

# Nainstalované balíčky PHP s verzí a původem
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE}  %{VENDOR}\n' | sort

# Existují bezpečnostní oznámení k CVE pro tento systém?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619

# Je oprava v changelogu nainstalovaného balíčku?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"
```

`dnf updateinfo` ukazuje jen oznámení k aktualizacím, které ještě nejsou nainstalovány; s `--installed` uvidíte i ty již nasazené. Prázdný výsledek tedy může znamenat dvojí: Aktualizace už je nasazena, nebo ještě nebyla zveřejněna. Porovnání changelogu to vyjasní. Jak výsledek zaznamenat jako doklad, popisuje článek [Doložení čísel CVE v changelogu balíčku](https://phpsos.de/cs/blog/cve-im-changelog-nachweisen/).

Jako u jiných podnikových distribucí si balíček většinou ponechává původní verzi PHP; mění se jen údaj o vydání (release). Starší číslo u `php -v` proto není náznakem chybějící opravy. Obecné pokyny ke kontrole verze stojí na stránce [Správná kontrola verze PHP a stavu záplat](https://phpsos.de/cs/php2shell/php-version-pruefen/).

## Rozpoznat správný provozní režim

Red Hat uvádí standardní provozní režimy: Od RHEL 8 běží PHP přes PHP-FPM, na RHEL 7 jako mod_php ve službě Apache `httpd`. Mnoho serverů se od toho odchyluje, například kvůli panelům, cizím zdrojům nebo starým konfiguracím.

| Systém | Standard podle Red Hat | Restart po aktualizaci |
|---|---|---|
| RHEL 8, 9, 10 a deriváty | PHP-FPM | `systemctl restart php-fpm` |
| RHEL 7 | mod_php v httpd | `systemctl restart httpd` |
| Kontejnery na základě RHEL nebo UBI | podle image | image znovu sestavit, kontejner nahradit |

U kontejnerů Red Hat doporučuje po aktualizovaných základních image znovu sestavit vlastní image a nahradit běžící kontejnery nebo pody. Aktualizace v běžícím kontejneru není spolehlivá cesta.

## Po aktualizaci: restart a kontrola

Red Hat zdůrazňuje, že reload nestačí. Stávající workery si mohou ponechat dotčený stav. Restartujte proto každou službu, která PHP načítá, a ověřte výsledek:

```bash
# Zobrazit služby se zastaralými knihovnami (dnf-utils, resp. dnf-plugins-core)
needs-restarting -s

# Porovnat čas spuštění procesů PHP s časem aktualizace
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"
```

K tomu Red Hat uvádí praktickou poznámku: `php -i` ukazuje nastavení příkazové řádky, ne webového serveru. Kdo chce ověřit, zda přechodné hodnoty jako `session.upload_progress.enabled=0` platí ve webovém kontextu, použije krátkodobě chráněnou stránku phpinfo a poté ji smaže. Na co dalšího dávat při restartu pozor, stojí na stránce [Restart PHP-FPM a všech workerů](https://phpsos.de/cs/php2shell/php-fpm-neustart/).

## Přechodná opatření: pokyny Red Hat

Kde aktualizace ještě chybí, odkazuje Red Hat na stejná přechodná opatření jako php.net a doplňuje několik praktických poznámek pro systémy RHEL. Aktualizaci nenahrazují.

- **Řádek skutečně doplnit:** Podle Red Hat je řádek pro `session.upload_progress.enabled` v dodané konfiguraci zakomentován, funkce je tedy ve výchozím stavu aktivní. Hodnotu `0` je třeba nastavit výslovně.
- **Nastavit tak, aby nešla přepsat:** pomocí `php_admin_value` v poolu PHP-FPM, u mod_php v konfiguraci Apache. Ne přes `ini_set()` nebo `.user.ini`.
- **Hledat protivníky:** Red Hat doporučuje zkontrolovat soubory `.htaccess`, VirtualHosty a soubory `.user.ini`, zda dotčená nastavení znovu nezapínají.
- **Meze nastavit i před PHP:** Vedle `post_max_size` v PHP Red Hat radí zvážit meze velikosti požadavku i ve webovém serveru nebo proxy.

Na systémech s PHP-FPM leží pooly zpravidla pod `/etc/php-fpm.d/`. Po každé změně platí totéž co po aktualizaci: všechny workery úplně restartovat.

> **Tip:**
> Pokud na stejném serveru běží navíc PHP z repozitáře Remi, platí pro ně vlastní balíčky a služby. Přečtěte si k tomu článek [Repozitář Remi](https://phpsos.de/cs/blog/remi-repository-php/).

## Jak konkrétně pomáhá PHP SOS?

- Na RHEL, AlmaLinux a Rocky Linux kontrolujeme všechny balíčky PHP, streamy a cizí zdroje a porovnáváme je s bezpečnostními oznámeními.
- Nasazujeme aktualizace, úplně restartujeme všechny workery a kontrolujeme časy spuštění procesů.
- Pro prostředí s kontejnery image znovu sestavujeme a běžící instance kontrolovaně nahrazujeme.
- Stav každého serveru zaznamenáváme v dokladu [služby záplatování PHP](https://phpsos.de/cs/leistungen/php-patch-service/).


## Časté dotazy

**Týká se PHP2Shell RHEL 7?**  
Podle Red Hat je RHEL 7 postiženo jen CVE-2026-109619, zranitelný kód pro CVE-2026-109618 tam prý není. Na RHEL 7 je standardním provozním režimem mod_php, který tým PHP hodnotí jako obzvlášť rizikový.

**Proč Red Hat hodnotí zranitelnost níže než php.net?**  
Red Hat používá vlastní hodnocení podle CVSS v3.1 a CVE-2026-109618 zařazuje jako Important, protože zneužití vyžaduje přesné načasování. php.net hodnotí podle CVSS v4.0 9.2. Obě strany považují spuštění kódu bez přihlášení za možné, aktualizace je každopádně nutná.

**Dostávají AlmaLinux a Rocky Linux opravy automaticky?**  
Obě sestavují své balíčky ze zdrojů Red Hat a zveřejňují vlastní bezpečnostní oznámení. Čas se může od Red Hat lišit. Ověřte proto stav na vlastním systému a v oznámeních své distribuce.

**Stačí po aktualizaci systemctl reload php-fpm?**  
Ne. Red Hat výslovně upozorňuje, že reload nestačí, protože stávající workery si mohou ponechat dotčený stav. Restartujte všechny workery, u mod_php službu Apache httpd.

## Zdroje

- [Red Hat Security Bulletin RHSB-2026-013](https://access.redhat.com/security/vulnerabilities/RHSB-2026-013)
- [Red Hat: CVE-2026-109618](https://access.redhat.com/security/cve/CVE-2026-109618)
- [php.net: bezpečnostní oznámení](https://www.php.net/)