Stručne: Bezpečnostné zraniteľnosti v PHP sa hlásia dôverne, prednostne cez súkromný formulár Advisory v repozitári GitHub php/php-src, alternatívne na security@php.net. Vývojári PHP nález zaradia ako vysokú, strednú alebo nízku závažnosť; závažné chyby sa opravujú v samostatnom bezpečnostnom repozitári a zverejňujú sa až s vydaním spolu s GitHub Security Advisory a väčšinou aj s číslom CVE. Pri PHP2Shell tento proces bežal vo zrýchlenom tempe: vopred oznámenie 20. 10. 2026, záplaty 21. 10. 2026, doplňujúca poznámka 23. 10. 2026.
Kto sa v PHP stará o bezpečnosť?
PHP je open source projekt. Bezpečnostné zásady vo wiki ho opisujú ako projekt dobrovoľníkov bez rozpočtu na odmeny. Pre každú verziu existujú release manažéri, ktorí zodpovedajú za vydania. K tomu pribúda PHP Foundation, ktorá podľa vlastného opisu financuje tím vývojárov na čiastočný aj plný úväzok, ktorý pracuje na údržbe, bezpečnosti a nových funkciách PHP.
Pre firmy to znamená: neexistuje výrobca so zmluvou, linkou podpory alebo zaručenými reakčnými časmi. Kto potrebuje záväzné prísľuby, dostane ich od svojej distribúcie Linuxu, svojho poskytovateľa hostingu alebo poskytovateľa dlhodobej podpory, nie od samotného projektu PHP. Tento dodávateľský reťazec by ste mali poznať.
Ako sa zraniteľnosť hlási
Postup je opísaný v bezpečnostných zásadách na GitHube:
- Hlásenie: cez súkromný formulár pre Security Advisories v repozitári
php/php-src. Kto ho nemôže použiť alebo chce prediskutovať tému, ktorá nie je hlásením chyby, píše na security@php.net. - Stručný opis: Žiada sa krátky príklad, ktorý chybu ukazuje, nie dlhá správa o možných dôsledkoch. Tím tak môže rýchlejšie posúdiť.
- Dôvernosť: Hlásenie zostáva do zverejnenia súkromné.
- Uvedenie mena: Oznamovatelia sú podľa systému Credit od MITRE uvedení ako prispievatelia.
Staršia stránka wiki uvádza navyše klasický sledovač chýb s typom „Security“. Rozhodujúca je dnes cesta cez GitHub.
Čo projekt PHP považuje za bezpečnostnú zraniteľnosť
Nie každý pád je bezpečnostná zraniteľnosť. Wiki uvádza štyri kritériá: chyba umožňuje neoprávnené akcie, prekračuje bezpečnostné hranice, otvára prístup k cudzím údajom alebo vážne narúša dostupnosť či výkon. Zaraďuje sa do troch stupňov:
| Stupeň | Význam podľa zásad | Číslo CVE |
|---|---|---|
| Vysoký | Tretie strany môžu ohroziť väčšinu inštalácií, spustiť kód alebo čítať súbory | spravidla áno |
| Stredný | podobný dopad, ale len za zriedkavejších podmienok, napríklad pri zriedkavom rozšírení alebo konfigurácii | väčšinou áno |
| Nízky | teoreticky možný, prakticky veľmi ťažko zneužiteľný | väčšinou nie |
Rovnako poučný je zoznam toho, čo výslovne nie je bezpečnostnou zraniteľnosťou: zlomyseľný kód, ktorý sa spúšťa zámerne, obchádzanie open_basedir a disable_functions, zlomyseľné vstupy do unserialize(), použitie FFI a bežné ukončenie pre nedostatok pamäte, pri ktorom zabere memory_limit a skončí iba aktuálna požiadavka. Pre prevádzkovateľov to znamená: disable_functions je zmysluplné sprísnenie, ale nie ochranný múr.
Od opravy po zverejnenie
Opravy pre vysoké a stredné zraniteľnosti sa podľa wiki zapracúvajú do samostatného bezpečnostného repozitára ešte pred vytvorením vydania. Chyby zaradené ako nízke prebiehajú ako bežné opravy chýb. Zraniteľnosť sa zverejňuje podľa princípu zodpovedného zverejnenia: najprv oprava, potom podrobnosti. Vydania vychádzajú podľa wiki väčšinou vo štvrtok, často v rámci pravidelných mesačných vydaní.
S vydaním vychádza GitHub Security Advisory s vlastným identifikátorom (GHSA) a stupňom závažnosti. V repozitári vyšlo napríklad 24. 9. 2026 niekoľko advisories k stream wrapperom, FastCGI a filtrom so závažnosťou od nízkej po vysokú. Zdrojové balíky na php.net sa ponúkajú so kontrolnými súčtami SHA-256 a podpismi GPG release manažérov; tagy Gitu sú podpísané. Ktoré vetvy verzií ešte vôbec dostávajú bezpečnostné opravy, ukazuje stránka o verziách PHP a cykle vydávania.
PHP2Shell ako príklad kritického prípadu
PHP2Shell ukazuje, ako proces prebieha pod tlakom:
- 20. 10. 2026: php.net oznamuje kritické bezpečnostné vydanie na 21. 10. 2026 o 14:00 UTC a vyhradzuje si zverejnenie skôr, ak by sa podrobnosti dostali na verejnosť alebo sa objavili útoky. Podľa viacerých správ sa podrobnosti skutočne dostali na verejnosť pred uplynutím ochrannej lehoty; súvislosti osvetľuje Prečo sa zraniteľnosť PHP stala známou pred záplatou.
- 21. 10. 2026: Vychádzajú PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35, k tomu advisories GHSA-w8hw-w9fx-j79w (CVE-2026-109618) a GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), obe zaradené ako kritické. Podľa php.net dostali distribúcie Linuxu a poskytovatelia dlhodobej podpory opravy vopred. Pre 7.4, 8.0 a 8.1 existujú minimálne backporty.
- 23. 10. 2026: Informatívna poznámka k CVE-2026-115560 odporúča
session.upload_progress.enabled=0; úplné advisory nasleduje s ďalším vydaním.
Čo z toho prevádzkovatelia vyvodia
- Odoberať zdroje: php.net, GitHub advisories
php/php-srca bezpečnostné oznámenia vašej distribúcie. - Poznať dodávateľský reťazec: Kto dodáva váš balík PHP a ako rýchlo tam backporty dorazia?
- Plánovať časové okno: Kritické vydania môžu prísť mimo bežného rytmu; okno na záplatovanie musí byť možné urobiť v krátkom čase.
- Počítať s reštartom: Aktualizácia zabera, až keď sú všetky procesy PHP reštartované.
- Zabezpečiť dôkaz: Zdokumentovať verziu, stav balíka a čas.
Ako PHP SOS konkrétne pomáha?
Pomocou služby záplatovania PHP preberáme tú časť, ktorá leží na vás:
- Sledovanie oznámení: Sledujeme php.net, advisories a oznámenia distribúcií a hodnotíme, či sa týkajú vašich systémov.
- Realizácia záplaty: Aktualizácia z vhodného zdroja, reštart všetkých procesov, kontrola bežiacej verzie.
- Zabezpečenie prechodu: Tam, kde aktualizácia uviazne, realizujeme oficiálne prechodné opatrenia.
- Dokumentácia: Dostanete doklad s verziami, stavmi balíkov a časmi.
Časté otázky
Ako sa hlási bezpečnostná zraniteľnosť v PHP?
Prednostne cez súkromný formulár pre Security Advisories v repozitári GitHub php/php-src. Kto ho nemôže použiť, píše na security@php.net. Hlásenie zostáva do zverejnenia dôverné.
Platí projekt PHP odmenu za nájdené zraniteľnosti?
Nie. Podľa bezpečnostných zásad je PHP projekt dobrovoľníkov bez peňazí na bug bounty. Oznamovatelia sú však uvedení ako prispievatelia.
Je obídenie disable_functions bezpečnostná zraniteľnosť?
Podľa zásad projektu PHP nie. Obchádzanie open_basedir a disable_functions sa nepovažuje za bezpečnostný problém PHP. Nastavenia sú sprísnením, ale nie spoľahlivou bezpečnostnou hranicou.
Kde sa dozviem o nových bezpečnostných zraniteľnostiach PHP?
Na úvodnej stránke php.net s oznámeniami o vydaniach a v Security Advisories repozitára GitHub php/php-src. Kto beries PHP z distribúcie, sleduje navyše jej bezpečnostné oznámenia.
Prečo bol PHP2Shell zverejnený v stredu?
Vydania podľa wiki vychádzajú väčšinou vo štvrtok. Pre PHP2Shell php.net 20. 10. 2026 oznámil bezpečnostné vydanie na stredu 21. 10. 2026, 14:00 UTC, a vyhradil si zverejnenie skôr, ak by sa podrobnosti dostali na verejnosť.