Na Slovensku aj v zahraničí sa v uplynulých hodinách dialo niečo nezvyčajné. Štátne úrady začali preventívne vypínať svoje internetové stránky, zatiaľ čo ďalšie organizácie narýchlo pripravovali bezpečnostné aktualizácie. Dôvodom nie je bežný technický výpadok, ale závažná chyba v technológii, na ktorej funguje obrovská časť internetu. Bez zásahu správcov totiž môže útočníkom umožniť napáchať oveľa vážnejšie škody než len znefunkčniť web. Prvé pokusy o jej zneužitie sa navyše objavili ešte pred vydaním opravy.
Vývojári programovacieho jazyka PHP v stredu 21. októbra vydali mimoriadne bezpečnostné aktualizácie pre dve kritické zraniteľnosti. Ako informovala STVR, problém zasiahol aj slovenské štátne weby. Národné centrum kybernetickej bezpečnosti SK-CERT pridelilo obom chybám závažnosť 9,2 bodu z desiatich a vyzvalo prevádzkovateľov na okamžitú nápravu.
Útočníci môžu prevziať kontrolu nad webom
PHP používa približne 70 % internetových stránok, a to vrátane webov postavených na platforme WordPress. Chyby označené CVE-2026-109618 a CVE-2026-109619 sa nachádzajú priamo v jeho jadre. Útočník preto nemusí najskôr nájsť zraniteľnosť v konkrétnom plugine alebo redakčnom systéme. Pri úspešnom útoku môže na vzdialenom serveri spustiť vlastný kód, dostať sa k citlivým údajom alebo meniť obsah stránok. Zneužitie navyše nemusí vyžadovať používateľské konto ani heslo.
Odhalenie zraniteľností pomohli urýchliť nástroje umelej inteligencie. Podľa zistení Amazon Web Services sa pokusy o zneužitie objavili už 17. októbra, teda štyri dni pred zverejnením opráv. AWS ich zaznamenala vo svojej sieti návnadových serverov. Bezpečnostná spoločnosť Cloudflare medzičasom zachytila ďalšie pokusy o útoky a nasadila ochranné pravidlá pre svojich zákazníkov. Na riziko reagovali aj inštitúcie v zahraničí, kde sa niektoré webové služby preventívne odstavovali.
Slovenské úrady preventívne vypínali weby
Opatrenia sa nevyhli ani Slovensku. Úrad vlády SR dočasne pozastavil prevádzku viacerých stránok a elektronických služieb vrátane Centrálneho registra zmlúv a Centrálneho registra projektov. Web dočasne odstavilo aj ministerstvo vnútra, pričom bezpečnostné úpravy riešili ďalšie štátne inštitúcie. Podľa STVR preventívne opatrenia podnikli aj ďalšie rezorty, železnice a Univerzita Komenského v Bratislave.
Vývojári PHP už sprístupnili opravené verzie 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Prevádzkovatelia webov by mali čo najskôr nasadiť príslušnú aktualizáciu, pri starších nepodporovaných verziách preveriť dostupnosť bezpečnostných záplat alebo prejsť na podporovanú vetvu. Samotná aktualizácia však nemusí vyriešiť všetko. Ak útočník server napadol pred jej nasadením, oprava chyby automaticky neodstráni škodlivý kód ani následky prieniku. Správcovia preto musia skontrolovať aj záznamy servera a preveriť možné kompromitovanie.
Podobnú aktualizáciu sme na TECHBYTE nasadili aj my, a to okamžite po jej zverejnení. O tom, že ide o skutočne dôležitú opravu svedčí aj fakt, že svoje servery dočasne zneprístupnili aj rôzne zahraničné štátne služby. Administrátori by preto s aktualizáciou nemali čakať ani o sekundu navyše. Dôležité tiež je, aby svoje servery zálohované a pripravené na prípadné „vrátenie v čase,“ v prípade, ak by sa potvrdil útok tak, ako sa to stalo napríklad na Českom vysokom učení technickom (ČVUT) v Prahe.
