V jednom z najpoužívanejších programovacích jazykov na internete boli odhalené dve kritické bezpečnostné zraniteľnosti. Útočníkom môžu umožniť prevziať kontrolu nad webovými servermi bez potreby prihlásenia. Situácia je o to vážnejšia, že informácie o chybách unikli ešte pred vydaním bezpečnostných aktualizácií a bezpečnostní experti už dokázali pripraviť funkčné demonštrácie útokov.
PHP patrí medzi najrozšírenejšie serverové programovacie jazyky na svete. Podľa štatistík W3Techs ho používa približne 69,4 % webových stránok, pri ktorých je známy serverový programovací jazyk. Nájdeme ho napríklad v systémoch WordPress, Drupal, Joomla či Magento, ale aj v množstve internetových obchodov, administrátorských systémov a vlastných webových aplikácií.
Teraz sa ukázalo, že PHP obsahuje dve mimoriadne závažné bezpečnostné chyby, označené ako CVE-2026-109618 a CVE-2026-109619. Obe dostali hodnotenie 9,2 z maximálnych 10 bodov podľa bezpečnostnej stupnice CVSS 4.0. Podľa dostupných informácií môžu útočníkom umožniť vzdialené spustenie ľubovoľného kódu na zraniteľnom serveri bez nutnosti overenia identity.
V praxi by úspešné zneužitie mohlo znamenať krádež údajov, úpravu obsahu webových stránok, inštaláciu škodlivého softvéru alebo dokonca úplné kompromitovanie servera. Skutočný rozsah rizika však bude závisieť od konkrétnej konfigurácie a verzie PHP.
Informácie o chybách unikli pred vydaním aktualizácií
Vývojári PHP pôvodne pripravovali koordinované zverejnenie zraniteľností, no informácie o nich sa dostali na verejnosť predčasne. Bezpečnostný tím preto oznámil mimoriadne aktualizácie na stredu 21. októbra o 14:00 UTC, teda o 16:00 slovenského času.
Situáciu komplikuje aj skutočnosť, že bezpečnostní výskumníci už dokázali jednu zo zraniteľností reprodukovať. Spoločnosť watchTowr potvrdila, že sa jej podarilo pripraviť funkčný spôsob zneužitia chyby CVE-2026-109618, technické podrobnosti však zatiaľ nezverejnila.
Na internete sa zároveň objavila videoukážka útoku označovaného ako PHP2Shell, ktorá demonštruje možnosť spúšťania kódu prostredníctvom webových požiadaviek. To naznačuje, že medzi zverejnením aktualizácií a začiatkom reálnych útokov nemusí uplynúť veľa času.
Spoločnosť Cloudflare už podľa vyjadrenia svojho technologického riaditeľa Daneho Knechta zaznamenáva prvé náznaky pokusov o zneužitie a pripravuje ochranné opatrenia na úrovni svojho firewallu. Niektoré ďalšie bezpečnostné spoločnosti však zatiaľ úspešné útoky vo veľkom rozsahu nepotvrdili.
Európske bezpečnostné centrum odporúča weby aj dočasne odpojiť
Na situáciu reagovalo aj európske centrum kybernetickej bezpečnosti CERT-EU. Organizáciám odporúča identifikovať všetky systémy používajúce PHP a pripraviť sa na okamžité nasadenie bezpečnostných opráv.
Pokiaľ aktualizácie nebude možné nasadiť dostatočne rýchlo, prevádzkovatelia by mali zvážiť dočasné odpojenie potenciálne zraniteľných aplikácií od verejného internetu. Podobné odporúčanie vydalo aj britské Národné centrum kybernetickej bezpečnosti NCSC.
Podľa predbežných informácií by mohli byť zasiahnuté aj veľmi staré verzie PHP, počnúc PHP 5. Presný zoznam zraniteľných verzií však ešte nebol oficiálne potvrdený. Problémom je najmä to, že staršie vydania PHP už nemajú štandardnú bezpečnostnú podporu, a preto pre ne nemusia byť nové opravy dostupné.
Zraniteľnosť v samotnom PHP navyše znamená, že bežná aktualizácia WordPressu alebo jeho pluginov nemusí stačiť. Potrebná bude aktualizácia serverového prostredia, ktorú má v mnohých prípadoch na starosti poskytovateľ hostingu.
Najkritickejšie hodiny ešte len prídu
Bezpečnostní experti upozorňujú, že po zverejnení opráv môžu útočníci analyzovať vykonané zmeny a spätne zistiť, ako zraniteľnosti fungujú. Takýto postup môže pomerne rýchlo viesť k vytvoreniu nových útočných nástrojov použiteľných proti neaktualizovaným serverom.
Prevádzkovatelia webov by preto mali čo najskôr preveriť svoje verzie PHP, sledovať informácie od poskytovateľov hostingu a po sprístupnení opráv ich bezodkladne nainštalovať. Dôležité je tiež monitorovanie podozrivej aktivity a kontrola, či už server nebol napadnutý.
Zatiaľ nie je potvrdené, že by dochádzalo k rozsiahlemu kompromitovaniu internetových stránok. Kombinácia mimoriadne vysokej závažnosti zraniteľností, rozšírenosti PHP a predčasného úniku informácií však predstavuje potenciálne jeden z najvážnejších bezpečnostných incidentov týkajúcich sa webových serverov v tomto roku.
Komentáre