PHP – vzdálené spuštění libovolného kódu prostřednictvím poškození paměti při jejím vyčerpání (Remote Code Execution)

Starší větve PHP již nejsou oficiálně podporovány a mohou být rovněž zranitelné.

Bezpečnostní tým projektu PHP zveřejnil kritickou zranitelnost umožňující vzdálené spuštění libovolného kódu na serveru bez předchozí autentizace.

Zranitelnost souvisí s nesprávným zpracováním nedostatku paměti (Out of Memory).

Útočník může prostřednictvím speciálně připravených HTTP požadavků vyvolat situaci, kdy PHP předčasně ukončí zpracování požadavku a následně pracuje s neplatným stavem paměti.

Úspěšné zneužití může umožnit spuštění libovolného kódu s oprávněními procesu webového serveru.

Vývojáři PHP potvrdili možnost vzdáleného spuštění kódu prostřednictvím HTTP požadavků v prostředí Apache mod_php.

U PHP-FPM je zranitelnost rovněž relevantní, ale konkrétní způsob zneužití závisí na konfiguraci serveru a aplikace.

Dopad na WordPress a WooCommerce

Zranitelnost se nenachází přímo ve WordPressu ani WooCommerce, ale v samotném PHP, na kterém tyto systémy běží.

Proto může ovlivnit i plně aktualizované WordPress instalace.

WordPress.org i vývojový tým WooCommerce vydaly 21. října 2026 mimořádná bezpečnostní upozornění a doporučily okamžitou aktualizaci PHP.

Samotná aktualizace WordPressu, WooCommerce nebo pluginů problém neodstraní.

Doporučené kroky

1. Doporučujeme bezodkladně aktualizovat PHP na opravenou verzi odpovídající používané větvi.
2. U webů provozovaných na PHP 8.5.11 doporučujeme přednostně přejít na PHP 8.5.12.
3. U sdílených hostingů doporučujeme ověřit u poskytovatele, zda již byla bezpečnostní oprava nasazena.
4. U VPS a dedikovaných serverů doporučujeme aktualizovat PHP a restartovat příslušné PHP procesy.
5. Je vhodné prověřit serverové logy a neobvyklé chyby související s vyčerpáním paměti.
6. Doporučujeme nespoléhat výhradně na WAF. Vývojáři PHP upozorňují, že úplnou ochranu poskytuje až bezpečnostní aktualizace.
7. U serverů, kde aktualizace není okamžitě možná, doporučujeme zvážit dočasné omezení veřejného přístupu.

Zdroj: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w