Zveřejněno: 21. 10. 2026, 12:00 | Poslední aktualizace: 21. 10. 2026, 12:09 | Další aktualizace nejpozději: 21. 10. 2026, 17:00
Co se stalo
Dne 20. 10. 2026 oznámil bezpečnostní tým projektu PHP vydání kritických bezpečnostních aktualizací, naplánované na 21. 10. 2026 v 16:00 SELČ. Podle oficiálního oznámení jde o dvě kritické zranitelnosti interpretu PHP se závažností CVSS 9.2; podle zveřejněných analýz bezpečnostních firem (CVE-2026-109618 a CVE-2026-109619) mohou umožnit vzdálené spuštění kódu na serveru. Zranitelnosti se týkají samotného PHP, tedy celosvětově používané technologie, na které běží velká část webových aplikací včetně platformy Flowbox. Nejde o chybu v aplikaci Flowbox.
Co to znamená pro provoz Flowbox
Flowbox ke zranitelnosti přistupuje jako k bezpečnostnímu incidentu s nejvyšší prioritou a postupuje podle svého procesu řízení bezpečnostních zranitelností.
Instalace v cloudu Flowbox s webovým rozhraním dostupným z veřejné sítě: webové rozhraní a API jsme jako preventivní opatření dočasně odstavili dne 21. 10. 2026 v 12:00. Sběr dat z měřidel a zařízení pokračují bez přerušení. Rozhraní obnovíme ihned po nasazení a ověření bezpečnostní aktualizace. Dotčené zákazníky jsme informovali přímo.
Instalace provozované v interní síti zákazníka: zranitelnost zde není zneužitelná z internetu, proto tyto instalace neodstavujeme. Dotčené zákazníky jsme informovali samostatně. U instalací, jejichž servery spravuje Flowbox, bezpečnostní aktualizaci PHP nasadíme sami, jakmile bude pro použitou serverovou distribuci dostupná. U instalací ve správě zákazníka doporučujeme aktualizaci provést co nejdříve; Flowbox k ní poskytne součinnost.
Další postup
Bezpečnostní aktualizace PHP nasadíme na všech serverech ve správě Flowbox neprodleně po jejich vydání pro použité serverové distribuce. Termín dostupnosti opravných balíčků distribucí nemůžeme přímo ovlivnit. Tuto stránku aktualizujeme nejpozději dnes v 17:00 i v případě, že se stav nezmění; o obnovení provozu jednotlivých instalací informujeme dotčené zákazníky přímo.
Historie aktualizací
- 21. 10. 2026, 12:00: preventivní odstavení webového rozhraní cloudových instalací dostupných z veřejné sítě.
- 21.10.2026, 12:09: zveřejnění tohoto upozornění.
Zdroje
Oficiální oznámení projektu PHP: https://www.php.net/archive/2026.php#2026-10-20-1
Kontakt
Technická podpora Flowbox: support@flowbox.com. Bezpečnostní zjištění je možné hlásit na security@flowbox.com.