Kritické chyby v PHP čelili útokom ešte pred vydaním opravy

Kritické zraniteľnosti v PHP čelili pokusom o zneužitie ešte pred vydaním opravy, preto by správcovia webov mali čo najskôr aktualizovať dotknuté systémy.

Kritické bezpečnostné chyby v PHP sa stali terčom pokusov o zneužitie ešte pred vydaním oficiálnej opravy. Podľa informácií, ktoré zverejnil The Verge s odvolaním sa na Amazon Threat Intelligence, bezpečnostné monitorovanie zaznamenalo 17. októbra útok smerujúci na návnadový systém.

PHP patrí medzi široko používané technológie pre prevádzku webov. Zraniteľnosť sa preto týka rozsiahleho ekosystému služieb vrátane stránok postavených na WordPresse. Pre správcov serverov je kľúčové nenechať aktualizáciu na neskôr.

Dve kritické zraniteľnosti

Oprava rieši chyby označené ako CVE-2026-109618 a CVE-2026-109619. Na zraniteľných zariadeniach by mohli útočníkovi otvoriť cestu k vzdialenému spusteniu škodlivého kódu, teda k vykonaniu príkazov bez priameho prístupu k systému.

Amazon Threat Intelligence následne zachytil aj ďalšie pokusy o zneužitie 21. októbra, krátko pred vydaním záplaty. Aktivita prichádzala z anonymizovanej IP adresy, pričom nie je jasné, ako sa útočník k informáciám potrebným na exploit dostal.

Odporúčame

Dôležité Technológie 22. októbra 2026

PHP2Shell ohrozuje weby naprieč internetom. Čo je potvrdené a prečo samotný firewall nestačí

Dve kritické chyby v jadre PHP umožňujú za určitých podmienok spustiť kód bez prihlásenia. Opravy sú dostupné, no prevádzkovatelia musia aktualizovať samotné PHP.

9 min 0

Software 21. mája 2026

WordPress 7.0 „Armstrong“ prináša AI jadro, nový dashboard a viac nástrojov pre vývojárov

WordPress 7.0 „Armstrong“ prináša AI integráciu v jadre, modernizovaný dashboard, nové bloky, lepšiu správu fontov a rozšírené nástroje pre vývojárov.

5 min 0

Potvrdený úspešný útok zatiaľ nie je známy

Výkonná riaditeľka PHP Foundation Elizabeth Barron pre The Verge uviedla, že organizácia zatiaľ nemá vedomosť o úspešnom vzdialenom spustení kódu. To však nemení závažnosť situácie: samotné pokusy o zneužitie pred zverejnením opravy ukazujú, že na aktualizovanie netreba čakať.

PHP Foundation uviedla, že na probléme pracovala dlhšie, no riešenie narážalo na komplikované kompromisy. Medzi ne patrili možné narušenie spätnej kompatibility, riziko nových útokov typu odmietnutie služby či nutnosť úprav množstva rozšírení tretích strán.

Čo by mali správcovia urobiť

Prevádzkovatelia webov a serverov s PHP by mali overiť, či už používajú verziu obsahujúcu bezpečnostnú opravu pre obe chyby. Prioritu by mali mať verejne dostupné systémy, keďže práve tie sú pre útočníkov najľahším cieľom.

Nadácia zároveň avizovala zmeny interných postupov, aby sa podobné zraniteľnosti s náročným riešením dostali k vedeniu skôr a opravy mohli byť pripravené v kratšom čase.