Dopady mohou být obrovské, PHP pohání velkou část webů

Jde o dvojici zranitelností vedených jako CVE-2026-109618 a CVE-2026-109619. Obě byly ohodnoceny stupněm závažnosti 9,2 z 10 podle metodiky CVSS v4.0, což je kategorie „kritické“. Bezpečnostní výzkumníci je popisují jako chyby umožňující vzdálené spuštění kódu, a to potenciálně bez nutnosti přihlášení.

Vzdálené spuštění kódu bez autentizace patří k nejnebezpečnějším typům zranitelností. Útočník by v takovém případě mohl převzít kontrolu nad serverem, aniž by potřeboval jakékoli přihlašovací údaje. Protože PHP pohání velkou část webových stránek a redakčních systémů jako Wordpress, Drupal, Joomla a další, dopad by mohl být rozsáhlý.

Informace o zranitelnostech se dostaly na veřejnost ještě před plánovaným koordinovaným zveřejněním. Na internetu se už objevilo video s nástrojem PHP2Shell, ve kterém je ukázka, jak vzdálené spuštění kódu funguje na serverech s Wordpressem, Drupalem či Joomlou. 

Právě tento záznam měl přispět k tomu, že vývojáři PHP urychlili vydání oprav.

Útočníci začnou chybu zneužívat do 15 minut

Technické detaily chyby v jazyce PHP zatím nejsou detailně popsané. Spekuluje se, že jádrem problémů je chyba ve zpracování požadavků na nahrávání souborů. Podle dosud známých informací se zranitelnost může týkat všech verzí PHP od verze 5. Vzdálené spuštění kódu by mohlo vést ke krádeži dat či poškození webových stránek.

Z kyberbezpečnostní komunity zatím přichází varování před rizikem hromadného zneužití chyby. To ale ještě neznamená, že by už nyní docházelo k masivním útokům na weby po celém světě. Bezpečnostní firma Sansec odhaduje, že útoky by mohly začít už do patnácti minut po vydání oprav.

Ani Australské centrum pro kybernetickou bezpečnost (ACSC) zatím nepozoruje žádné probíhající útoky. „ACSC si v současné době není vědoma aktivního zneužívání souvisejícího s těmito zranitelnostmi,“ cituje agentura Reuters prohlášení australského centra.

Zato Technický ředitel společnosti Cloudflare Dane Knecht na sociální síti X napsal, že útočníci se už snaží této chyby zneužít. „Vidíme, že se objevují první útoky, a aktualizujeme opatření k jejich zmírnění, jakmile se objeví nové vektory. Toto je zatím provizorní opatření. Oprava přijde, jakmile PHP vydá aktualizaci,“ uvedl Knecht.

Priorita číslo jedna? Aktualizovat na nejnovější verzi PHP

Tým CERT-EU, působící při institucích Evropské unie, doporučuje organizacím, firmám i uživatelům, aby identifikovali všechny weby a systémy postavené na PHP a nasadili opravy okamžitě po jejich vydání. Vývojáři PHP se chystají opravný balík zveřejnit ve středu 21. 10. v 16 hodin. 

Pokud nelze zranitelný web s připojením na internet opravit rychle, agentura radí izolovat jej od veřejných sítí, tedy fakticky jej dočasně odpojit.

Podobná doporučení vydaly i národní kybernetické úřady ve Velké Británii a v Austrálii, které radí se předem připravit na rychlé nasazení oprav předem.

Zdroj: Reuters