Vládní úřady, firmy a další organizace ve středu dočasně vypínaly některé své webové stránky, aby zabránily možnému zneužití dvou kritických chyb v programovacím jazyce PHP. Ten se používá pro provoz webů a webových aplikací po celém světě. K vypnutí přistoupily například některé veřejné instituce v Evropě a Spojených státech, zatímco správci systémů připravovali instalaci bezpečnostních aktualizací.
Zranitelnosti mají označení CVE-2026-109618 a CVE-2026-109619. Podle evropské Agentury pro kybernetickou bezpečnost (ENISA) mohou útočníkům umožnit vzdáleně spustit škodlivý kód na napadeném serveru bez ověření identity. To by mohlo vést ke krádeži dat, změně obsahu webu nebo úplnému převzetí serveru. Podle agentury Reuters na riziko upozorňovali také poskytovatelé webhostingových služeb.
Jedna z chyb souvisí se zpracováním nedostatku paměti. Druhá vzniká při práci s interními daty, která mohou po skončení předchozího požadavku zůstat v paměti a být využita při zpracování dalšího požadavku. PHP ve svém bezpečnostním upozornění uvedlo, že nejvyšší riziko se týká některých způsobů nasazení, při nichž server zpracovává webové požadavky přímo prostřednictvím modulu mod_php.
Opravy vyšly po mimořádné koordinaci
Vývojáři PHP vydali 21. října opravené verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Správci starších instalací mají podle projektu ověřit, zda opravu poskytuje jejich dodavatel nebo provozovatel dlouhodobě podporované distribuce. Verze PHP 8.1 a starší už projekt standardně neaktualizuje. Bezpečnostní týmy zároveň doporučily prověřit, zda v systémech nebyly známky napadení ještě před instalací opravy.
Na objevení chyb se podílela společnost Calif, která podle OpenAI využila model GPT-5.6 Sol v rámci iniciativy Patch the Planet zaměřené na hledání zranitelností v široce používaném softwaru. Společnost Wiz obě chyby odhalila nezávisle. OpenAI uvedla, že se na koordinaci reakce podíleli také správci PHP, poskytovatelé bezpečnostních služeb a infrastrukturní firmy včetně Cloudflare.
Událost ukázala, jak rychle se může bezpečnostní problém v základním softwaru rozšířit do mnoha různých služeb. Evropská komise, ENISA, CERT-EU, Europol a evropská síť národních týmů pro řešení kybernetických incidentů vyzvaly organizace, aby nejprve identifikovaly všechny systémy používající PHP a přednostně zabezpečily ty, které jsou dostupné z internetu. Pokud okamžitá oprava není možná, úřady doporučily dotčené služby dočasně odstavit.
Kybernetické úřady upozornily také na riziko, že schopnosti umělé inteligence mohou vedle obránců využít i útočníci. OpenAI uvedla, že v tomto případě se podařilo získat čas na přípravu oprav ještě před zveřejněním technických podrobností. Po jejich zveřejnění ale musí provozovatelé nejen aktualizovat PHP, ale také zkontrolovat záznamy o provozu, přístupová oprávnění a případné známky neoprávněných zásahů.
Zdroj: Euronews
Tento článek byl vytvořen s pomocí umělé inteligence a redakčně zkontrolován.