Naléhavé bezpečnostní upozornění: PHP, Node.js a Go

(Minghui.org) Během uplynulého týdne byly oznámeny závažné bezpečnostní zranitelnosti běhových prostředí PHP, Node.js a Go. Správci serverů využívajících tyto technologie, včetně rozšířených systémů pro správu obsahu, jako je WordPress, musí přijmout opatření na ochranu svých služeb před možným zneužitím.

Od 21. října vydávají agentury pro kybernetickou bezpečnost po celém světě i oficiální informační kanály PHP a Node.js kritická bezpečnostní upozornění na zranitelnosti, které neoprávněným útočníkům umožňují vzdálené spuštění kódu (RCE) nebo vyvolání útoku vedoucího k odepření služby (DoS).

Protože se zranitelnosti nacházejí přímo v běhovém prostředí jazyka nebo ve vestavěných knihovnách, pouhá aktualizace frontendových aplikací, například pluginů WordPressu nebo balíčků npm, server neochrání. Aktualizovat je nutné samotné běhové prostředí jazyka.

Zranitelnosti hlavních technologických platforem

1) PHP (zranitelnost „PHP2Shell“)

– Zranitelnosti umožňující vzdálené spuštění kódu: CVE-2026-109618, CVE-2026-109619 (skóre CVSS 9,2, kritické riziko).
– Shrnutí: Chyby se nacházejí v nízkoúrovňové správě paměti a zpracování globálního stavu. Při chybě způsobené vyčerpáním paměti (OOM) může dojít k poškození paměti nebo k použití zastaralého stavu při zpracování následného požadavku stejným pracovním procesem.Rozsah dopadu: Všechny webové stránky a servery využívající PHP bez příslušných oprav. Útočníci mohou útoky provádět bez jakýchkoli přihlašovacích údajů či oprávnění.

2) Node.js

Mezi zranitelnosti dekodéru Brotli a síťového zabezpečení patří CVE-2026-111497 (zápis mimo vymezenou oblast paměti v dekodéru Brotli) a několik zranitelností ověřování TLS/DNS.
– Shrnutí: Vestavěný dekodér dat komprimovaných algoritmem Brotli obsahuje chybu umožňující zápis mimo vymezenou oblast paměti. Existuje také riziko obejití ověřování přístupových údajů a názvů hostitelů.
– Rozsah dopadu: Zpracování nedůvěryhodných dat komprimovaných algoritmem Brotli, externí síťová připojení a služby Node.js pro proxy servery.

3) Jazyk Go a související frameworky

– Byly vydány bezpečnostní opravy příslušných síťových protokolů, standardních knihoven a rozšířených open-source frameworků, například pro HTTP proxy a rozhraní pro správu sítě.
– Rozsah dopadu: Služby navržené pro cloudové prostředí, které využívají konkrétní verze modulů Go nebo na nich závisejí.

Naléhavá opatření pro správce serverů

Běžné kontroly závislostí balíčků, například prohledávání souborů package.json nebo composer.json, nedokážou odhalit zranitelnosti v běhovém prostředí. Je nutné zkontrolovat verzi běhového prostředí skutečně spuštěného na serveru nebo v kontejnerech, případně v obou.

Starší verze běhových prostředí jazyků, jejichž podpora již skončila, například PHP ve verzích nižších než 8.2 nebo Node.js ve verzích nižších než 20, nebudou dostávat oficiální opravy. Aplikace provozované na těchto nepodporovaných verzích je nutné buď převést na podporovanou a opravenou verzi běhového prostředí, nebo izolovat od internetu.

Pokud mají správci serverů omezené prostředky, mohou postupovat podle následujících kroků:

1) Rychlá inventarizace systémů (kontrola verzí)

Přihlaste se na každý server nebo do každého kontejneru a ověřte, zda se zranitelnost týká používané verze běhového prostředí jazyka.

– U PHP zkontrolujte, zda je spuštěná verze starší než verze obsahující opravu uvedená níže. Poznámka: Některé linuxové distribuce přenášejí bezpečnostní opravy i do starších verzí, takže opravy mohou dostávat také verze nižší než 8.2. Ověřte si oficiální oznámení nebo záznamy změn balíčků své distribuce.

– U Node.js zkontrolujte, zda používáte některou z dotčených verzí řad 22.x, 24.x nebo 26.x.

2) Okamžitá aktualizace na opravenou verzi

Aktualizujte své prostředí na odpovídající opravenou verzi uvedenou níže a restartujte proces služby, například PHP-FPM nebo aplikaci Node.js, aby se vyčistila zbytková data v paměti:

– Opravené verze PHP:
Řada PHP 8.5: aktualizujte na verzi 8.5.12 nebo novější.
Řada PHP 8.4: aktualizujte na verzi 8.4.27 nebo novější.
Řada PHP 8.3: aktualizujte na verzi 8.3.36 nebo novější.
Řada PHP 8.2: aktualizujte na verzi 8.2.35 nebo novější.

Opravené verze Node.js:
Node.js 22.x: aktualizujte na verzi 22.23.4 nebo novější.
Node.js 24.x: aktualizujte na verzi 24.22.1 nebo novější.
Node.js 26.x: aktualizujte na verzi 26.12.1 nebo novější.

Poznámka: Podpora Node.js 20 a starších verzí již skončila. Co nejdříve musíte přejít na podporovanou verzi.

3) Nové sestavení kontejnerů a jejich obrazů

Pokud používáte Docker nebo jiné kontejnery určené pro cloudové prostředí, pouhá změna značky obrazu (tagu) nestačí. Obraz je nutné znovu sestavit, aby bylo zajištěno, že se aktualizuje podkladové běhové prostředí a služba bude znovu nasazena.

Zkontrolujte předsazený webový aplikační firewall (WAF) nebo nástroj pro vyrovnávání zátěže a ověřte, zda jsou zapnuta ochranná pravidla proti neobvyklému provozu s požadavky POST a škodlivým komprimovaným paketům.

Výše uvedené informace představují pouze základní přehled. V konkrétních případech musí techničtí pracovníci podle podmínek svého prostředí neprodleně identifikovat a odstranit rizika, aby zajistili informační bezpečnost.