Národný bezpečnostný úrad upozornil na dve kritické zraniteľnosti v programovacom jazyku PHP. Ten beží na pozadí veľkého množstva webových stránok, internetových obchodov a redakčných systémov vrátane WordPressu. Chyby môžu za určitých okolností umožniť útočníkovi spustiť na serveri vlastný kód bez toho, aby sa musel prihlásiť.
Nejde preto o bežnú aktualizáciu, ktorú možno odložiť na neskôr. Obe zraniteľnosti získali skóre CVSS 9,2 z 10 a PHP Security Team ich označil za kritické. Podľa štatistiky W3Techs používa PHP približne 69,7 % webov, pri ktorých možno určiť serverový programovací jazyk. Potenciálny dosah je teda mimoriadne široký.
Útočník môže spustiť kód bez prihlásenia
Prvá chyba nesie označenie CVE-2026-109618. Súvisí so spracovaním nedostatku pamäte vo chvíli, keď sú interné dáta požiadavky inicializované iba čiastočne. Následné čistenie môže poškodené údaje vyhodnotiť ako platné a vytvoriť priestor na vzdialené spustenie kódu.
Druhá zraniteľnosť CVE-2026-109619 umožňuje, aby interný stav požiadavky zostal dostupný aj po uvoľnení pamäte. Neskoršia požiadavka obslúžená tým istým procesom môže tieto zastarané údaje použiť skôr, než ich PHP správne vynuluje.
Oficiálne bezpečnostné oznámenie PHP uvádza, že ohrozené sú všetky inštalácie obsluhujúce webové požiadavky. Patrí sem PHP-FPM, mod_php v Apache, php-cgi, FrankenPHP aj LiteSpeed. Najvyššie riziko vidia vývojári pri mod_php, kde sa podarilo útok demonštrovať ešte pred spustením aplikačného kódu.
Aktualizovať treba PHP, nielen WordPress
Opravy obsahujú verzie PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Prevádzkovatelia vlastných serverov by mali nainštalovať balíky od svojej linuxovej distribúcie alebo dodávateľa a následne reštartovať príslušné procesy. Pri zdieľanom hostingu treba skontrolovať administráciu alebo kontaktovať podporu a overiť si, či poskytovateľ bezpečnostnú opravu nasadil.
Dôležité je, že aktualizácia samotného WordPressu, témy či pluginov túto chybu nevyrieši. Problém je priamo v PHP, teda v serverovom prostredí, na ktorom redakčný systém funguje. PHP 8.1 a staršie vetvy už navyše nedostávajú štandardné opravy od projektu. Niektorí dodávatelia s dlhodobou podporou môžu záplaty spätne preniesť, bezpečnejšou cestou je však prechod na podporovanú verziu.
Dočasné riešenia nestačia
NBÚ vo svojom upozornení odporúča pripraviť sa na bezodkladnú aktualizáciu. PHP zverejnilo aj niekoľko dočasných obmedzení, napríklad zmeny pamäťových limitov či vypnutie sledovania priebehu nahrávania súborov. Vývojári však výslovne upozorňujú, že žiadne z nich nepredstavuje úplnú ochranu.
Bežný návštevník webu nemusí meniť nastavenia telefónu ani počítača. Konať musia majitelia stránok, administrátori a hostingové spoločnosti. Napadnutý legitímny web však môže neskôr šíriť škodlivý kód alebo kradnúť údaje návštevníkov, takže rýchla reakcia chráni aj koncových používateľov. Príkladom podobného reťazca bol útok, pri ktorom napadnutá stránka šírila malvér do počítačov Mac.
Za nás by správcovia nemali čakať na bežné servisné okno. Skóre 9,2, možnosť útoku bez prihlásenia a obrovské rozšírenie PHP tvoria kombináciu, pri ktorej má okamžitá aktualizácia jasnú prioritu. Prevádzkujete vlastný web alebo sa o aktualizácie stará hosting? Napíšte nám na Facebooku alebo Instagrame.
Ak hľadáte overený iPhone so zárukou, ktorý prešiel rukami odborníkov zo SvetApple.sk, určite sa pozrite do nášho e-shopu Loopi.sk. Nájdete tu starostlivo skontrolované zariadenia za výrazne nižšie ceny než pri nových modeloch. Ušetriť môžete stovky eur, no stále získate spoľahlivý iPhone, ktorý vám bude bez problémov slúžiť ešte dlhé roky. 📱
