Celosvětový bezpečnostní poplach vyvolaly zranitelnosti označované jako PHP2Shell, které byly zveřejněny pod identifikátory CVE-2026-109618 a CVE-2026-109619. Obě získaly hodnocení závažnosti 9,2 bodu z maximálních deseti. Problém se týká samotného programovacího jazyka PHP, na kterém funguje značná část internetových stránek a webových aplikací. Využívají jej například systémy WordPress, Drupal, Joomla nebo Magento. Ohrožení konkrétního webu závisí na používané verzi PHP a konfiguraci serveru. Dopady mohou zasáhnout široké spektrum provozovatelů digitálních služeb, včetně státních institucí, bank, pojišťoven a dalších podniků.
Zranitelnosti souvisejí s chybným zpracováním paměti při vyřizování požadavků na webový server. Za určitých podmínek mohou útočníkům umožnit spustit vlastní škodlivý kód a následně získat přístup k citlivým údajům. Může jít například o přístupové údaje nebo informace využívané provozovanými aplikacemi. Mimořádnou závažnost situace zvyšuje skutečnost, že útočník nemusí disponovat platným uživatelským účtem. U některých konfigurací serverů lze zranitelnost zneužít ještě před zahájením běžného zpracování požadavku samotnou aplikací.
Mohlo by vás zajímat: Petr Žaba: Nové povodňové mapy mohou změnit pohled na rizikové lokality
Bezpečnostní poplach zasáhl Evropu i Českou republiku
Vývojáři PHP oznámili 20. října přípravu mimořádných bezpečnostních aktualizací. Podrobnosti o zranitelnostech se následně dostaly na veřejnost ještě před vydáním oprav. Nové zabezpečené verze PHP byly zpřístupněny 21. října. Na hrozbu reagovaly evropské bezpečnostní instituce včetně Agentury Evropské unie pro kybernetickou bezpečnost (ENISA), Evropské komise, CERT-EU a Europolu. Společně vyzvaly organizace k okamžitému prověření používaných systémů a instalaci dostupných oprav.
Obavy z možného napadení přiměly řadu organizací k preventivnímu omezení provozu internetových služeb. V Evropě se bezpečnostní opatření dotkla například vládních webů v Německu, Francii, Nizozemsku a Finsku. V Nizozemsku byly dočasně nedostupné také důležité digitální služby státní správy DigiD a MijnOverheid, které občané využívají při komunikaci s úřady. Francouzské ministerstvo vnitra preventivně odstavilo některé internetové stránky státní správy na regionální úrovni. Podobná opatření přijímali také provozovatelé digitálních služeb mimo Evropu. Rozsah odstávek ukázal, jak výrazně může bezpečnostní problém jedné rozšířené technologie ovlivnit dostupnost služeb napříč jednotlivými státy.
Situace se ve středu 21. října promítla také do České republiky. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal upozornění, ve kterém provozovatelům webů doporučil bezodkladnou aktualizaci PHP. Úřad vlády ČR následně večer preventivně odstavil své internetové stránky. Některé webové služby dočasně přerušil také Český hydrometeorologický ústav a k bezpečnostním opatřením přistoupily další organizace veřejné správy. Preventivní odstávky přitom samy o sobě nedokládají úspěšné proniknutí útočníků do systémů dotčených institucí.
Bezpečnostní společnosti již zaznamenaly aktivitu útočníků. Společnost Patchstack obdržela od několika poskytovatelů hostingu hlášení o pokusech o zneužití zranitelností. Podobné poznatky zveřejnila společnost Cloudflare, která nasadila ochranná pravidla proti známým způsobům napadení. Dosavadní informace však zatím neumožňují spolehlivě určit celkový počet úspěšně napadených serverů. Situaci komplikuje také skutečnost, že první pokusy o útok byly zaznamenány ještě před vydáním bezpečnostních aktualizací.
Mohlo by vás zajímat: TOP 30 pojišťovacích makléřů za rok 2025 v Česku dle oPojištění.cz
Vývojáři PHP již zveřejnili opravené verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Provozovatelé starších verzí PHP, které ztratily oficiální podporu, musí řešit přechod na podporovanou verzi nebo zajistit odpovídající bezpečnostní opravu od svého dodavatele. NÚKIB upozorňuje na nutnost bezodkladné aktualizace a následné kontroly systémů. Správci by měli prověřit také případné známky napadení, například neobvyklé procesy spouštěné službami PHP. Samotná instalace opravy totiž nedokáže odstranit případné škodlivé součásti, které by útočník do systému umístil před aktualizací.
Události posledních hodin připomínají rozsah závislosti moderní ekonomiky na společné technologické infrastruktuře. Bezpečnostní nedostatek jedné široce rozšířené součásti internetových aplikací dokázal během jediného dne vyvolat preventivní odstávky veřejných služeb v několika zemích. Rozhodující nyní bude rychlost aktualizací a schopnost provozovatelů odhalit případné průniky, ke kterým mohlo dojít před vydáním oprav. Pro firmy se současně otevírá otázka, zda mají dostatečný přehled o zabezpečení aplikací provozovaných externími dodavateli.
Komentáře
Přidat komentář