---
title: "Zranitelnost PHP CVE-2026-109618: týká se i vašeho webu?"
description: "PHP dnes opravuje dvě kritické zranitelnosti s CVSS 9,2. Ohrožený může být každý web na PHP včetně WordPressu a e-shopů. Co udělat ještě dnes."
canonical: "https://interfase.sk/cz/novinky/zranitelnost-php-cve-2026-109618-tyka-se-i-vaseho-webu"
lang: "cz"
last_updated: "2026-10-21"
---

# Zranitelnost PHP CVE-2026-109618: týká se i vašeho webu?

> PHP dnes opravuje dvě kritické zranitelnosti s CVSS 9,2. Ohrožený může být každý web na PHP včetně WordPressu a e-shopů. Co udělat ještě dnes.

Publikováno: 2026-10-21

- PHP 21. října 2026 v 16:00 opravuje dvě kritické zranitelnosti CVE-2026-109618 a CVE-2026-109619 s hodnocením CVSS 9,2.
- Chyba je v samotném PHP, proto je ohrožený i aktuální WordPress, Joomla, Drupal, e-shop či aplikace na míru.
- Informace unikly před vydáním opravy a video útoku je už veřejné, s aktualizací není třeba čekat.
- Celý postup a průběžně doplňované opravené verze najdete v článku na Cybair.

Tým PHP 20. října 2026 oznámil dvě kritické zranitelnosti v samotném jazyce PHP – CVE-2026-109618 a CVE-2026-109619. Obě mají hodnocení CVSS 9,2 z 10 a mohou útočníkovi umožnit spustit na serveru vlastní kód bez přihlášení. Opravené verze PHP vycházejí 21. října 2026 v 16:00 středoevropského času.

Celý postup, časovou osu a opravené verze, které po vydání průběžně doplňujeme, jsme sepsali na webu naší bezpečnostní divize Cybair (slovensky): [Kritické zraniteľnosti PHP CVE-2026-109618 a CVE-2026-109619: čo robiť hneď](https://cybair.sk/sk/novinky/kriticka-zranitelnost-php-cve-2026-109618).

## Týká se to i vašeho webu?

Pokud běží na PHP, téměř jistě ano. Chyba není v redakčním systému ani v pluginech, ale v PHP, které je spouští. Ohrožený tak může být i zcela aktuální WordPress, WooCommerce, Joomla, Drupal, e-shop na PrestaShopu či Magentu nebo aplikace na míru v Laravelu, Symfony či Nette. Rozhoduje verze PHP na serveru, ne verze webu.

Nejsnáze se zapomíná na méně viditelné nástroje. phpMyAdmin, Nextcloud, Moodle nebo staré testovací instalace jsou z internetu dostupné stejně jako hlavní web.

## Proč to neodkládat

Informace o chybách unikly dřív, než existovala oprava, a bezpečnostní výzkumník už zveřejnil video útoku, který postupně zničí obsah několika běžných aplikací na PHP. Po vydání opravy se riziko ještě zvýší: změny ve zdrojovém kódu PHP jsou veřejné a weby, které zůstanou na staré verzi, se stanou cílem automatizovaných skenů.

## Co udělat ještě dnes

1. Sepište všechny weby, e-shopy a aplikace na PHP včetně testovacích.
2. U každé zjistěte, na jaké verzi PHP běží.
3. Domluvte s hostingem nebo správcem serveru termín aktualizace a ověřte, že máte funkční zálohu.
4. Po vydání nasaďte opravenou verzi. PHP 8.1 a starší opravu nedostanou – je třeba přejít na podporovanou větev.

Kde v administraci WordPressu, Joomly či Drupalu najdete verzi PHP, co dělat, když aktualizace hned nejde, a zda vás ochrání firewall webových aplikací, rozebírá [návod ke zranitelnosti PHP CVE-2026-109618 na Cybair](https://cybair.sk/sk/novinky/kriticka-zranitelnost-php-cve-2026-109618).

## Potřebujete pomoct?

Bezpečnostní tým Cybair prověří verze PHP na všech vašich webech a aplikacích, nasadí opravu přímo ve vašem prostředí a opakovaným testem ověří, že zranitelnost je pryč. Ozvat se můžete přes [formulář v článku na Cybair](https://cybair.sk/sk/novinky/kriticka-zranitelnost-php-cve-2026-109618#form).


---

Webová verze: https://interfase.sk/cz/novinky/zranitelnost-php-cve-2026-109618-tyka-se-i-vaseho-webu
llms.txt: https://interfase.sk/llms.txt