Stručne: Na RHEL, AlmaLinux a Rocky Linux skontrolujete záplatu PHP proti PHP2Shell tromi cestami: bezpečnostnými hláseniami distribúcie (dnf updateinfo), changelogom balíka (rpm -q --changelog) a časom spustenia procesov PHP. Red Hat uvádza RHEL 7 až 10 ako dotknuté a pri získaní údajov hlásil, že niektoré aktualizácie sú k dispozícii a ďalšie v príprave. Po aktualizácii platí: reštartovať úplne, nielen znova načítať.
Čo Red Hat k PHP2Shell zverejnil
Red Hat vydal k PHP2Shell bezpečnostný bulletin RHSB-2026-013. Získali sme ho 25. októbra 2026. Najdôležitejšie body pre adminov:
- Dotknuté sú RHEL 10, 9, 8 a 7, ako aj produkty a kontajnery na nich postavené na základe obrazov RHEL alebo UBI.
- RHEL 7 je podľa Red Hat dotknutý len CVE-2026-109619; kód pre CVE-2026-109618 tam nie je obsiahnutý.
- Nedotknuté sú systémy bez PHP alebo s PHP, ktoré nespracúva nedôveryhodné požiadavky HTTP.
- Aktualizácie: Niektoré boli pri získaní údajov k dispozícii, ďalšie v príprave. Konkrétne čísla errata bulletin neuviedol, ale odkázal na stránky errata.
Red Hat hodnotí CVE-2026-109618 vlastnou metódou ako „Important“ a poukazuje na to, že štandardné inštalácie od RHEL 8 používajú PHP-FPM namiesto mod_php. Je to zaradenie, nie uvoľnenie. Projekt PHP hodnotí obe zraniteľnosti CVSS v4.0 9,2 a BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča okamžitú aktualizáciu.
AlmaLinux a Rocky Linux: rovnaký zdroj, vlastný takt
AlmaLinux a Rocky Linux zostavujú svoje balíky zo zdrojov Red Hat. Opravy preto spravidla prichádzajú obsahovo rovnaké, ale vo vlastnom čase a pod vlastnými bezpečnostnými hláseniami. Odkaz na erratum Red Hat neznamená, že balík je pri vašom klone k dispozícii v ten istý deň.
Rozhodujúci je preto stav na vašom systéme. Skontrolujte ho nástrojmi správy balíkov a nie podľa správ alebo fór.
Dbajte aj na to, či server používa zrkadlové servery alebo interné zdroje balíkov. V mnohých podnikoch servery nezískavajú aktualizácie priamo od výrobcu, ale cez interné zrkadlo alebo nástroj na správu. Ak toto zrkadlo nie je aktuálne, dnf nenájde nové balíky, hoci boli dávno zverejnené.
Kontrola záplaty PHP na RHEL a klonoch
Nasledujúce príkazy sú čisto čítacie. Názvy balíkov platia pre balíky PHP distribúcie; balíky z externých zdrojov, ako Remi, sa niekedy volajú inak.
# Ktoré streamy PHP systém pozná, ktorý je aktívny? (RHEL 8 a 9)
dnf module list php
# Nainštalované balíky PHP s verziou a pôvodom
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE} %{VENDOR}\n' | sort
# Existujú pre tento systém bezpečnostné hlásenia k CVE?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619
# Je oprava v changelogu nainštalovaného balíka?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"
dnf updateinfo zobrazuje len hlásenia o aktualizáciách, ktoré ešte nie sú nainštalované; pomocou --installed uvidíte aj už nasadené. Prázdny výsledok môže teda znamenať dvoje: aktualizácia je už nasadená alebo ešte nebola zverejnená. Porovnanie s changelogom to objasní. Ako výsledok zaznamenať ako doklad, popisuje príspevok Doložiť čísla CVE v changelogu balíka.
Podobne ako pri iných podnikových distribúciách si balík spravidla ponecháva pôvodnú verziu PHP; mení sa len údaj o vydaní. Staršie číslo pri php -v preto nie je náznakom chýbajúcej opravy. Všeobecné pokyny ku kontrole verzie nájdete pod Správna kontrola verzie PHP a stavu záplat.
Rozpoznať správny režim prevádzky
Red Hat uvádza štandardné režimy prevádzky: od RHEL 8 beží PHP cez PHP-FPM, na RHEL 7 ako mod_php v službe Apache httpd. Mnohé servery sa od toho odchyľujú, napríklad kvôli panelom, externým zdrojom alebo starým konfiguráciám.
| Systém | Štandard podľa Red Hat | Reštart po aktualizácii |
|---|---|---|
| RHEL 8, 9, 10 a klony | PHP-FPM | systemctl restart php-fpm |
| RHEL 7 | mod_php v httpd | systemctl restart httpd |
| Kontajnery na báze RHEL alebo UBI | podľa obrazu | Obraz zostaviť nanovo, kontajner nahradiť |
Pre kontajnery Red Hat odporúča po aktualizovaných základných obrazoch zostaviť vlastné obrazy nanovo a bežiace kontajnery alebo pody nahradiť. Aktualizácia v bežiacom kontajneri nie je spoľahlivá cesta.
Po aktualizácii: reštart a kontrola
Red Hat zdôrazňuje, že reload nestačí. Existujúci workeri si môžu ponechať dotknutý stav. Reštartujte preto každú službu, ktorá načítava PHP, a skontrolujte výsledok:
# Zobraziť služby so zastaranými knižnicami (dnf-utils resp. dnf-plugins-core)
needs-restarting -s
# Porovnať čas spustenia procesov PHP s časom aktualizácie
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"
K konfigurácii má Red Hat praktické upozornenie: php -i ukazuje nastavenia príkazového riadku, nie webového servera. Kto chce overiť, či prechodné hodnoty ako session.upload_progress.enabled=0 zaberajú vo webovom kontexte, použije krátkodobo chránenú stránku phpinfo a potom ju zmaže. Na čo ďalej dbať pri reštarte, nájdete pod Reštart PHP-FPM a všetkých workerov.
Prechodné opatrenia: upozornenia Red Hat
Kde aktualizácia ešte chýba, Red Hat odkazuje na rovnaké prechodné opatrenia ako php.net a dopĺňa niekoľko praktických upozornení pre systémy RHEL. Aktualizáciu nenahrádzajú.
- Riadok skutočne doplniť: Podľa Red Hat je riadok pre
session.upload_progress.enabledv dodávanej konfigurácii zakomentovaný, funkcia je teda štandardne aktívna. Hodnota0sa musí nastaviť výslovne. - Nastaviť tak, aby sa nedala prepísať: cez
php_admin_valuev poole PHP-FPM, pri mod_php v konfigurácii Apache. Nie cezini_set()ani.user.ini. - Hľadať protihráčov: Red Hat odporúča skontrolovať súbory
.htaccess, VirtualHosty a súbory.user.ini, či dotknuté nastavenia opäť nezapínajú. - Limity nastaviť aj vopred: Okrem
post_max_sizev PHP radí Red Hat zvážiť limity veľkosti požiadavky aj vo webovom serveri alebo proxy.
Na systémoch s PHP-FPM ležia pooly spravidla pod /etc/php-fpm.d/. Po každej zmene platí to isté ako po aktualizácii: všetkých workerov úplne reštartovať.
Ak na tom istom serveri beží navyše PHP z repozitára Remi, platia preň vlastné balíky a služby. Prečítajte si k tomu príspevok Repozitár Remi.
Ako konkrétne pomáha PHP SOS?
- Na RHEL, AlmaLinux a Rocky Linux kontrolujeme všetky balíky PHP, streamy a externé zdroje a porovnávame ich s bezpečnostnými hláseniami.
- Nasadzujeme aktualizácie, úplne reštartujeme všetkých workerov a kontrolujeme časy spustenia procesov.
- Pre prostredia s kontajnermi zostavujeme obrazy nanovo a bežiace inštancie kontrolovane nahrádzame.
- Stav každého servera zaznamenávame do dokladu služby záplatovania PHP.
Časté otázky
Je RHEL 7 dotknutý PHP2Shell?
Podľa Red Hat je RHEL 7 dotknutý len CVE-2026-109619, zraniteľný kód pre CVE-2026-109618 tam nie je. Na RHEL 7 je štandardným režimom prevádzky mod_php, ktorý tím PHP hodnotí ako obzvlášť rizikový.
Prečo Red Hat hodnotí zraniteľnosť nižšie než php.net?
Red Hat používa vlastné hodnotenie podľa CVSS v3.1 a zaraďuje CVE-2026-109618 ako Important, pretože zneužitie vyžaduje presné načasovanie. php.net hodnotí podľa CVSS v4.0 hodnotou 9,2. Obe považujú vykonanie kódu bez prihlásenia za možné, aktualizácia je potrebná v každom prípade.
Dostanú AlmaLinux a Rocky Linux opravy automaticky?
Obe zostavujú svoje balíky zo zdrojov Red Hat a zverejňujú vlastné bezpečnostné hlásenia. Čas sa môže od Red Hat líšiť. Skontrolujte preto stav na vlastnom systéme a v hláseniach vašej distribúcie.
Stačí systemctl reload php-fpm po aktualizácii?
Nie. Red Hat výslovne upozorňuje, že reload nestačí, pretože existujúci workeri si môžu ponechať dotknutý stav. Reštartujte všetkých workerov, pri mod_php službu Apache httpd.