Kritická chyba PHP2Shell ohrožuje velkou část webů. Co znamená pro vás?

Přidat Svět Androida mezi preferované stránky na Google

ať vám neunikne žádná Android novinka nebo sleva

Evropský tým pro kybernetickou bezpečnost CERT-EU varuje před dvojicí kritických chyb v jazyce PHP, na kterém běží velká část internetu. Vládní úřady v několika zemích kvůli nim preventivně vypnuly některé své weby. Co se vlastně stalo a týká se to i vás?

Co je PHP2Shell?

PHP je jazyk, ve kterém „běží“ velká část webových stránek – zpravodajské weby, e-shopy i blogy. Podle služby W3Techs ho používá 69,3 % webů, u kterých je technologie známá. Hodně z nich stojí na redakčním systému WordPress, a mezi ně patří i Svět Androida.

Podle upozornění CERT-EU jde o zranitelnosti CVE-2026-109618 a CVE-2026-109619 s hodnocením závažnosti 9,2 z 10. Útočníkovi umožňují spustit na serveru vlastní kód bez jakéhokoli hesla. Laicky řečeno: cizí člověk by mohl převzít kontrolu nad webem, změnit jeho obsah nebo z něj vytáhnout data.

Podrobnosti měly zůstat utajené (pod embargem) až do vydání oprav, část informací ale unikla dřív. Vývojáři PHP podle svého oznámení vydali opravené verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35 dne 21. října. Verze 8.1, 8.0 a 7.4 dostaly jen minimální nouzové úpravy, pro ještě starší verze vývojáři PHP opravu nevydali. Jiné úplné řešení než aktualizace podle vývojářů neexistuje.

Čeho si můžete všimnout vy?

Na telefonu ani počítači nic aktualizovat nemusíte, chyba je na serverech, ne ve vašich zařízeních. Přesto se vás může dotknout:

• některé weby mohou být dočasně nedostupné – CERT-EU správcům, kteří nemohou hned aktualizovat, doporučuje zvážit jejich odpojení od internetu,
• na webech může přestat fungovat nahrávání souborů, třeba fotek do inzerátu nebo příloh do formuláře.

Podle agentury Reuters, kterou cituje ČTK, už některé své weby preventivně odstavily například úřady v Nizozemsku, Francii a Finsku.

Kdyby se oblíbený web začal chovat podivně – přesměrovával vás jinam nebo nečekaně chtěl přihlašovací údaje či platbu –, nic nevyplňujte. A pokud web, který používáte, ohlásí únik dat, změňte si heslo tam i všude, kde používáte stejné. Máte vlastní web? Zeptejte se svého hostingu, jestli už PHP aktualizoval.

Jakou roli hraje umělá inteligence?

Chyby objevila bezpečnostní firma Wiz, která uvádí, že jí AI modely pomohly chybu najít i ověřit opravu. Stejné nástroje ale mohou pomoct i útočníkům.

Jak je na tom Svět Androida?

Hosting nám zajišťuje firma Lynt. Její technologický šéf Vladimír Smitka na síti X uvedl, že tým sleduje provoz a má připravené zakázání nahrávání souborů jako nejméně invazivní obranu. Exploity, tedy návody ke zneužití, které kolovaly internetem, ho podle jeho slov ke skutečné chybě nedovedly.

Zatím nikdo neví, jestli půjde o obdobu „problému roku 2000″, který se díky včasným opravám obešel bez větších škod, nebo o vlnu skutečných útoků. Firma Cloudflare podle svého technického ředitele zaznamenala první pokusy o útoky.

Narazili jste na web, který nejde načíst nebo se chová podivně?

Zdroje: CERT-EU, PHP.net, Wiz

Přidat Svět Androida mezi preferované stránky na Google

ať vám neunikne žádná Android novinka nebo sleva