PHP tím vydal 21. októbra 2026 o 14:00 UTC mimoriadne bezpečnostné vydania 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravujú dve kritické zraniteľnosti — CVE-2026-109618 a CVE-2026-109619, súhrnne označované ako php2shell — ktoré umožňujú neautentizované vzdialené spustenie kódu. Obe majú skóre CVSS v4.0 9,2 a SK-CERT uvádza, že sú zneužiteľné vo všetkých verziách PHP od 5.0, ktoré opravu ešte neobsahujú.
GLPI beží na PHP. To samo osebe stačí na to, aby sa vec týkala každej inštalácie.
Chyba nie je v GLPI, server je aj tak zraniteľný
Projekt GLPI zverejnil v ten istý deň stanovisko: jadro GLPI tieto chyby neobsahuje. Server, na ktorom GLPI beží, však zostáva zraniteľný, kým sa nezaplátá samotné PHP — bez ohľadu na verziu GLPI. Aktualizácia GLPI problém nerieši.
Postup pre vlastný hosting:
- Zistite verziu PHP, ktorú používa webový server — v GLPI cez Nastavenia → Všeobecné → Systém. Príkaz
php -vukáže len CLI, ktoré býva iné ako PHP-FPM. - Aktualizujte balík PHP. Distribúcie opravu často portujú späť bez zmeny čísla verzie, takže sa riaďte advisory svojej distribúcie, nie len číslom vydania.
- Reštartujte Apache, Nginx alebo pool PHP-FPM. Bez reštartu beží starý binárny súbor ďalej.
Oficiálne Docker obrazy GLPI boli prestavané s opraveným PHP pre vetvy main, 12, 11 aj 10. Samotný reštart kontajnera ponechá starý obraz — treba docker compose pull a potom docker compose up -d; dáta vo volumoch zostávajú. Zákazníci GLPI Network Cloud podľa projektu robiť nič nemusia, platforma bola zaplátaná v čase zverejnenia.
Najhoršie sú na tom staršie inštalácie
Opravené sú vetvy 8.2 až 8.5. PHP 8.1 a staršie už projekt neaktualizuje; k dispozícii sú len minimálne zdrojové backporty pre 7.4, 8.0 a 8.1 a opravy od distribútorov a dodávateľov LTS.
Minimálne požiadavky GLPI sú pritom PHP 7.4 pre vetvu 10.0.x, 8.2 pre 11.0.x a 8.3 pre GLPI 12. Inštalácia GLPI 10 na PHP 7.4, 8.0 alebo 8.1 však nie je odkázaná len na distribútora: GLPI 10.0.28 beží na PHP až po 8.5, takže prechod na opravenú vetvu 8.2 až 8.5 nevyžaduje odchod z GLPI 10. A kto zaplátal na 8.2.35, má bezpečnostnú podporu tejto vetvy do 31. decembra 2026 — teda dva mesiace, nie dva roky.
Druhé upozornenie z 23. októbra
Dva dni po oprave pridal PHP tím informačné upozornenie k funkcii session upload progress, vedené ako CVE-2026-115560. Odporúčanie znie nastaviť session.upload_progress.enabled=0 až do nasledujúceho bežného opravného vydania; rieši sa v štandardnom cykle, nie mimoriadnym vydaním. Problém nastáva len pri nezvyčajnej kombinácii: aplikácia má session.serialize_handler nastavený na php_binary alebo php_serialize, za behu ho cez ini_set() prepne na php ešte pred session_start() a zároveň má zapnutý upload progress. Kto toto nastavenie nasadil už 21. októbra ako mitigáciu, nemusí robiť nič — len ho nechať tak.
Ak sa nedá patchovať hneď
SK-CERT odporúča inventarizovať všetky nasadenia PHP vrátane produktov tretích strán, kontajnerov a appliance zariadení a nezaplátané služby dostupné z internetu odstaviť alebo izolovať. Pravidlá na WAF náhradou za opravu nie sú. Aj php.net píše, že čiastočné opatrenia — memory_limit=-1 cez php_admin_value, nižší post_max_size, vypnutý upload progress, na PHP 8.5 navyše fatal_error_backtraces=0 — expozíciu znižujú, ale inštaláciu bezpečnou nerobia.
Pokusy o zneužitie zachytili honeypot siete už v deň zverejnenia. Amazon hlási pokus zo 17. októbra, štyri dni pred ním, takže pri spätnej kontrole logov sa oplatí ísť ďalej než k 21. októbru. Slovenské ministerstvo vnútra 21. októbra preventívne odstavilo web minv.sk a po niekoľkých hodinách ho obnovilo.