Minulý týždeň zasiahla internet jedna z najväčších bezpečnostných udalostí roka. PHP projekt 21. októbra vydal núdzové záplaty na dve kritické zraniteľnosti — CVE-2026-109618 a CVE-2026-109619, obe so skóre 9,2 z 10 — ktoré umožňujú vzdialené spustenie kódu bez prihlásenia. Objavilo ich AI: výskumníci z Wiz použili vlastný autonómny nástroj Wiz Atlas spolu s modelmi Gemini 4 Argon a GPT-5.6 Sol. Chyby číhali v kóbase PHP viac než desať rokov a podľa Wiz by ich človek využil len veľmi ťažko. NSA aj európske agentúry odporučili okamžitú aktualizáciu — alebo vypnutie webu. Vládne stránky vo Francúzsku, Fínsku, Holandsku, Česku aj Nemecku sa preventívne vypli.
Prečo sa to týka aj vás
PHP poháňa podľa odhadov približne 70 % webov — vrátane WordPressu, Drupalu, Joomly či Magenta. Zraniteľnosť je v samotnom runtime, nie v šablóne alebo plugine: aj plne aktualizovaný WordPress ostáva zraniteľný, ak beží na neopravenom PHP. Ohrozené sú nasadenia cez PHP-FPM, Apache mod_php, php-cgi, FrankenPHP aj LiteSpeed — pri mod_php výskumníci demonštrovali útok ešte pred spustením aplikačného kódu.
Krok 1: Zistite svoju verziu
- Na serveri:
php -valebophpinfo()na testovacej stránke (potom ju zmažte). - Pri zdieľanom hostingu: kontrolný panel (cPanel/Plesk) alebo sa opýtajte podpory.
- Nezabudnite na kontajnery, virtuálne stroje, interné aplikácie a softvér tretích strán — PHP býva skryté aj tam.
Krok 2: Aktualizujte na opravenú verziu
| Vetva | Opravená verzia | |---|---| | PHP 8.5 | 8.5.12 | | PHP 8.4 | 8.4.27 | | PHP 8.3 | 8.3.36 | | PHP 8.2 | 8.2.35 | | PHP 8.1 a staršie | bez upstream záplat — migrujte |
Ak bežíte na PHP 8.1 alebo staršom, oficiálna záplata neexistuje — vetvy sú end-of-life. Jediné bezpečné cesty sú migrácia na podporovanú verziu alebo overený backport od dodávateľa (niektoré linuxové distribúcie a hostingy ich poskytujú). PHP 8.2 končí podpora 31. decembra 2026, takže pri aktualizácii rovno cieľte vyššie.
Krok 3: Ak nemôžete hneď aktualizovať
CERT-EU a britský NCSC odporúčajú v takom prípade zablokovať externý prístup k exponovaným aplikáciám alebo ich dočasne vypnúť — presne tak postupovali vlády. Ako preklenovacie opatrenie pomôže WAF: Cloudflare, Fastly, Akamai aj Imperva nasadili detekcie útočnej komunikácie, pričom Cloudflare už prvé pokusy o zneužitie zaznamenala v deň zverejnenia.
Krok 4: Hľadajte stopy kompromitácie
Keďže sú záplaty verejné a AI nástroje dokážu chybu spätne preložiť na funkčný exploit, odborníci čakajú vlnu útokov. Skontrolujte:
- aplikačné a prístupové logy (neobvyklé POST požiadavky, chyby 500 v čase exploitu),
- neočakávané procesy, súbory a odchádzajúce spojenia,
- nové admin účty v CMS.
Čo si z toho odniesť
Okno medzi zverejnením zraniteľnosti a jej zneužitím sa s AI skrátilo na hodiny. Pre majiteľa webu to znamená tri veci: vedieť, na akej verzi PHP bežíte; mať dohodnutý postup s hostingom na núdzové záplaty; a nepoddávať sa panike — vypnutie webu na pár hodín je legitímna, odborníkmi odporúčaná možnosť, nie prehra.
