FBI vyzývá k okamžité opravě chyb v PHP objevených pomocí AI

Vlády a firmy strávily týden opravami dvou kritických chyb v PHP, programovacím jazyce, na kterém běží až 70 % webových stránek. Výzkumníci chyby objevili pomocí umělé inteligence a po úniku podrobností na internet prudce vzrostl počet pokusů o jejich zneužití. Někteří odborníci na kybernetickou bezpečnost začali toto období označovat jako "Černý říjen", uvedla CNBC.cnbc.com

Chyby jsou evidovány pod označením CVE-2026-109618 a CVE-2026-109619 a společně jsou známé jako "PHP2Shell". Útočníkům umožňují spustit kód na serveru bez nutnosti přihlášení. PHP vydalo opravy pro verze 8.2 až 8.5 dne 21. října, informoval Newsweek. FBI ve svém pátečním varování uvedla, že "bezpečnostní aktualizace jsou k dispozici a měly by být okamžitě aplikovány".time.com+1

Varování a výpadky

NSA, FBI a CISA ve středu vyzvaly organizace, aby chyby okamžitě opravily a v případě, že to není možné, systémy odpojily, uvedl Nextgov. "Tyto zranitelnosti často poskytují přímou cestu k souborovému systému nebo databázi serveru," napsala podle The Hill agentura NSA.nextgov.com+1

Vládní weby ve Velké Británii, Finsku a Japonsku čelily během prací na opravách výpadkům nebo omezenému provozu, uvedla agentura AP. V New Yorku okres Broome County v pátek preventivně odpojil své webové stránky. Okresní správce Jason Garnar neuvedl, kdy budou opět v provozu, informovala stanice WSKG.wskg.org+1

Jak byly chyby nalezeny

Wiz je bezpečnostní firma vlastněná společností Google Alphabet Inc. ↘ 1.08%. V srpnu požádal výzkumník Wiz Sagi Tzadik AI agenta, aby upravil exploit pro WordPress pro potřeby Drupalu. Agent v tomto úkolu neuspěl, ale objevil chybu v PHP, které si nikdo nevšiml více než deset let, uvedl časopis TIME. Nezávisle na tom objevila související chybu firma Calif ve spolupráci s OpenAI. Na opravě následně spolupracovala skupina asi 15 lidí.time.com

Informace o chybách se rozšířily dva dny před plánovaným datem vydání opravy, takže správci PHP vydali záplatu o den dříve. O několik hodin později firma Calif omylem zveřejnila video se svým exploitem. Cloudflare ↗ 7.29% zaznamenal desítky tisíc pokusů o zneužití během 45 minut od veřejného oznámení a nakonec miliony, uvádí TIME. Nadace PHP Foundation uvedla, že problém byl znám nejméně od roku 2024, a zpoždění označila za "strukturální selhání", informovala agentura AP.apnews.com+1

Rady pro uživatele

Odborníci tvrdí, že většina práce leží na firmách, které provozují webové stránky, ale jednotlivci se stále mohou chránit. Dan Guido ze společnosti Trail of Bits doporučil lidem, aby si "zapnuli automatické aktualizace pro svůj telefon, počítač a domácí router". Ostatní doporučují používat vícefaktorové ověřování a pro každý web jiné heslo, uvedla Samaa TV. "Webové stránky své nemocnice sami neopravíte," podotkl Guido.samaa.tv

Bývalý ředitel CISA Chris Krebs vyzval menší firmy, aby "neustále" skenovaly zranitelnosti a co nejrychleji aplikovaly opravy. "Je to významný týden či dva pro kybernetickou bezpečnost," řekl pro CNBC.cnbc.com