Aktualizace a mitigace zranitelností PHP CVE-2026-109618, CVE-2026-109619 a CVE-2026-115560

Týká se verzí: IceWarp Server 14.3, 14.2, 14.1 a starší verze

Souhrn

V PHP byly zveřejněny bezpečnostní zranitelnosti sledované pod označením CVE-2026-109618, CVE-2026-109619 a CVE-2026-115560. Vzhledem k tomu, že IceWarp Server v sobě zahrnuje integrovaný PHP, mohou být instalace s neopravenou verzí PHP ohroženy.

IceWarp poskytuje balíčky s opravenou verzí PHP pro všechny podporované verze. Zákazníkům se doporučuje co nejdříve aplikovat patch odpovídající jejich verzi IceWarpu a operačnímu systému.

Dotčené verze a dostupné opravné balíčky (patches)

Instalace opravené verze PHP

Krok 1: Zastavení služby IceWarp Control

• Linux:

  /opt/icewarp/icewarpd.sh --stop control

• Windows (Příkazový řádek jako Správce / PowerShell):

  net stop "IceWarpControl"

Krok 2: Záloha stávající složky PHP

• Linux:

  mv /opt/icewarp/php /opt/icewarp/php-bak

• Windows: Přejmenujte složku php na php-bak (např. v C:\Program Files\IceWarp\).

Krok 3: Nasazení opravené složky PHP

Zkopírujte rozbalenou novou složku php do instalačního adresáře IceWarpu ([instalační-složka-icewarp]/php).

Krok 4: Obnovení konfiguračních souborů

Zkopírujte soubory php.ini a php.user.ini ze složky php-bak/ do nové složky php/.

Krok 5: Obnovení dočasných souborů

Linux: Zkopírujte obsah složky php-bak/tmp/ do složky php/tmp/.

Windows: Zkopírujte obsah složky php-bak/temp/ do složky php/temp/.

Krok 6: Oprava oprávnění k souborům (pouze Linux)

Na Linuxu spusťte příkaz chown na novou složku php, aby vlastnictví odpovídalo zbytku instalace IceWarpu (např. chown -R icewarp:icewarp /opt/icewarp/php).

Krok 7: Restartování služby IceWarp Control

• Linux:

  /opt/icewarp/icewarpd.sh --restart control

• Windows:

  net stop "IceWarpControl" & net start "IceWarpControl"

Trvalé řešení v budoucích verzích

Budoucí verze IceWarpu budou již opravené PHP obsahovat v základní instalaci:

• IceWarp 14.3.0.14 a novější

• IceWarp 14.2.0.17 a novější

Zákazníci, kteří přejdou na tyto nebo novější verze, nemusí instalovat opravné balíčky samostatně.

Starší verze (obsahující PHP 7.3)

Verze IceWarpu starší než 14.1 obsahují PHP verze 7.3. Vývojáři projektu PHP pro tuto větev dosud nevydali oficiální opravu, proto nelze poskytnout žádný opravený balíček.

Jako částečné (dočasné) opatření nadále doporučujeme změnit následující nastavení v souboru php.ini:

session.upload_progress.enabled = 0
memory_limit = -1
post_max_size = 32M
upload_max_filesize = 32M
session.serialize_handler = php

Důležité: Tato nastavení plně neeliminují uvedené zranitelnosti. Zákazníkům se staršími verzemi důrazně doporučujeme upgrade na novější verzi IceWarpu a následné aplikování výše uvedených patchů.

Výše uvedené změny omezí maximální velikost nahrávaných souborů na 32 MB!

Doporučený postup úpravy konfigurace

Úprava hlavního souboru php.ini:

1. Vytvořte zálohu souboru php.ini umístěného v /icewarp/php/.

2. Otevřete soubor php.ini v textovém editoru.

3. Vyhledejte výše uvedené proměnné.

4. Pokud je některá z proměnných zakomentovaná (začíná středníkem ;), středník odstraňte.

5. Nastavte proměnné na jejich konkrétní požadované hodnoty.

Vytvoření přepisovacího souboru php.user.ini:

1. Ve stejném adresáři (/icewarp/php/) vytvořte nový textový soubor s názvem php.user.ini.

2. Vložte do něj následující řádky a soubor uložte:

    

   session.upload_progress.enabled = 0
   memory_limit = -1
   post_max_size = 32M
   upload_max_filesize = 32M
   session.serialize_handler = php

   Pokud již používáte zabezpečenou verzi, můžete výše uvedené změny vrátit do původního stavu.

Zranitelnost CVE-2026-115560

V souvislosti s touto nově zveřejněnou zranitelností prosíme znovu nastavit následující konfiguraci v php.ini:

session.upload_progress.enabled=0