Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Bezpečnostní upozornění · 21. 10. 2026

Kritické chyby v PHP a Node.js. Týkají se i vás?

21. října vydaly PHP i Node.js bezpečnostní opravy. Chyby v PHP, kterým se říká PHP2Shell, dovolí převzít web bez přihlášení. Zadejte svou verzi a za vteřinu víte, jestli je potřeba něco dělat.

Co chcete zkontrolovat

Test běží jen ve vašem prohlížeči. Verzi nikam neposíláme.

Verzi neznáte?

Ověřte doménu ve svém účtu, první doména je zdarma. Při kontrole webu se podíváme, jestli web běží na PHP nebo Node.js a jestli prozrazuje verzi. Když ji prozradí, rovnou řekneme, jestli je zranitelná. Když ji skrývá, což je dobře, řekneme vám, koho se zeptat.

Ověřit doménu a zkontrolovat web

Nic nezkoušíme prolomit ani zneužít. Čteme jen to, co web ukáže každému prohlížeči.

PHP

PHP2Shell: kritické chyby v PHP, kterými jde převzít web

PHP pohání většinu webů, včetně WordPressu a e-shopů. Dvě chyby z 21. 10. 2026 dovolí útočníkovi spustit na serveru vlastní kód bez přihlášení. Týkají se všech instalací PHP, které obsluhují web. Podle PHP neexistuje úplné obejití, jediné řešení je aktualizace.

Opravené verze

Řada 8.2
8.2.35 a novější
Řada 8.3
8.3.36 a novější
Řada 8.4
8.4.27 a novější
Řada 8.5
8.5.12 a novější

PHP 8.1 a starší už od projektu PHP opravy nedostávají. Některé linuxové distribuce a placené podpory opravu doplňují samy, zeptejte se proto svého hostingu. Jinak je potřeba přejít na podporovanou verzi.

Jak zjistit verzi

  • V administraci hostingu u webu nebo domény bývá položka „Verze PHP“.
  • Ve WordPressu: Nástroje → Stav webu → Informace → Server.
  • Na serveru příkaz php -v.

O jaké chyby jde

  • CVE-2026-109618 kritická (CVSS 4.0: 9,2). Spuštění cizího kódu přes poškození paměti.
  • CVE-2026-109619 kritická (CVSS 4.0: 9,2). Spuštění cizího kódu přes zastaralý globální stav.

Na co si dát pozor

  • Hostingy a linuxové distribuce někdy opravu doplní, aniž by změnily číslo verze. Když máte verzi s dovětkem, třeba 8.1.2-1ubuntu2.19, rozhoduje potvrzení od hostingu.
  • 23. 10. PHP ohlásilo další chybu CVE-2026-115560, na kterou zatím oprava není. Týká se jen neobvykle nastavených aplikací. PHP do příští opravy doporučuje nastavit session.upload_progress.enabled=0.

Zdroj: oficiální oznámení PHP.

Node.js

Node.js: deset opravených chyb, nejvážnější v dekompresi Brotli

Node.js pohání moderní weby a aplikace, například ty postavené na Next.js nebo Expressu. Bezpečnostní vydání z 21. 10. 2026 opravuje deset chyb. Nejvážnější je v dekompresi Brotli a může vést až ke spuštění cizího kódu. Další chyby oslabují ověřování certifikátů.

Opravené verze

Řada 22
22.23.4 a novější
Řada 24
24.22.1 a novější
Řada 26
26.12.1 a novější

Node.js 20 a starší a také liché řady jako 23 a 25 už opravy nedostávají a podle Node.js jsou dotčené vždy. Je potřeba přejít na podporovanou řadu 22, 24 nebo 26.

Jak zjistit verzi

  • Na serveru nebo v počítači vývojáře příkaz node -v.
  • V nastavení hostingu nebo platformy (Vercel, Netlify, Render) u projektu bývá „Node.js version“.
  • V souboru package.json u položky engines nebo v souboru .nvmrc.

O jaké chyby jde

  • CVE-2026-111497 vysoká podle Node.js (CVSS 4.0 od Googlu: 9,2). Zápis mimo paměť při dekompresi Brotli, může vést ke spuštění cizího kódu.
  • CVE-2026-106069 vysoká. Obejití ověření certifikátu u adres zapsaných s nulami na začátku.
  • CVE-2026-105483 vysoká. Obejití ověření certifikátu u adres zapsaných širokými číslicemi.
  • CVE-2026-105482 vysoká. Funkce pro DNS tiše zkrátí jméno s nulovým znakem.

Na co si dát pozor

  • Verzi Node.js web navenek obvykle neprozradí, proto ji zvenčí nezjistíme. Zjistí ji váš vývojář nebo správce.
  • Jedna z chyb (CVE-2026-106074) se po aktualizaci neopraví u aplikací zabalených do snímku nebo jednoho spustitelného souboru. Ty je potřeba znovu sestavit.

Zdroj: oficiální oznámení Node.js.

Co udělat, když jste zranitelní

  1. Napište hostingu nebo správci webu ještě dnes. Pošlete mu odkaz na tuhle stránku a výsledek testu.

  2. Požádejte o aktualizaci alespoň na opravenou verzi, nebo o písemné potvrzení, že oprava už je nasazená.

  3. Pokud běží verze, která už opravy nedostává, je potřeba přejít na podporovanou. Do té doby zvažte omezení webu.

  4. Po aktualizaci si verzi otestujte znovu. S účtem u nás to za vás zkontrolujeme při každé kontrole webu.

Shrnutí vychází z oficiálních oznámení PHP a Node.js k 28. 10. 2026. Nejde o právní ani odbornou radu pro konkrétní server. Když si nejste jistí, rozhoduje potvrzení od vašeho hostingu nebo správce. Pokud se už něco stalo, pomůže průvodce „Něco se mi stalo“