Mitigace PHP zranitelností CVE-2026-109618 a CVE-2026-109619

DŮLEŽITÉ UPOZORNĚNÍ:

Zranitelnost se nenachází v samotném kódu aplikace IceWarp, ale v jádře PHP, který IceWarp využívá pro běh webových služeb. Níže uvedený postup slouží jako okamžitá mitigace rizika zakázáním zranitelné funkce PHP před vydáním a aplikací kompletního patch-balíčku.

Postup řešení:

Krok 1: Úprava hlavního konfiguračního souboru php.ini

1. Proveďte zálohu souboru php.ini v adresáři /icewarp/php/

2. Otevřete soubor php.ini v textovém editoru.

3. Vyhledejte proměnné zmíněné v tabulce.

4. Pokud je jakýkoliv řádek zakomentovaný (obsahuje na začátku středník ;), středník odstraňte.

5. Nastavte proměnné na zmíněnou hodnotu:

session.upload_progress.enabled = 0
memory_limit=-1
post_max_size=32M
upload_max_filesize=32M

!!! Tyto změny limitují maximální velikost nahrávaných souborů na 32MB !!!

Krok 2: Vytvoření uživatelského souboru php.user.ini

1. Ve stejném adresáři (/icewarp/php/) vytvořte nový textový soubor s názvem php.user.ini.

2. Vložte do něj následující řádky a soubor uložte:

session.upload_progress.enabled=0
memory_limit=-1
post_max_size=32M
upload_max_filesize=32M

Krok 3: Restart Control modulu

Pro načtení nové konfigurace PHP je nutné restartovat Control modul IceWarpu.

Pro Linux:

Spusťte v terminálu:

icewarp/icewarpd.sh --restart control

Pro Windows:

Spusťte v příkazovém řádku (CMD jako Správce) nebo PowerShellu:

net stop "IceWarpControl" & net start "IceWarpControl"

Ověření funkčnosti

1. Ověřte, že Control modul po restartu úspěšně běží.

2. Ujistěte se, že soubor php.user.ini má nastavená správná čtecí práva pro systémový účet, pod kterým běží IceWarp.