Kvůli chybám v PHP2Shell banky a aerolinky dočasně vypínají služby

Banky, letecké společnosti a vládní agentury ve čtvrtek 22. října odstavily své webové stránky a služby, zatímco instalovaly záplaty na PHP2Shell. Tak se označují dvě kritické chyby v PHP, programovacím jazyce, na kterém běží velká část webu. Generální ředitel společnosti Cloudflare Matthew Prince uvedl, že firma zaznamenala tisíce pokusů o zneužití během 10 hodin předtím, než byly chyby zveřejněny. Podle BBC News se toto číslo během dvou hodin zvýšilo na stovky tisíc a nyní dosahuje milionů. Zatím není známo, že by jakýkoli útok uspěl.cnbc.com

Chyby jsou sledovány pod označením CVE-2026-109618 a CVE-2026-109619 a obě mají hodnocení závažnosti 9,2 z 10. Umožňují útočníkům spustit kód na serveru bez přihlášení a ovlivňují verze PHP až do verze 5.4. Opravy jsou obsaženy ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35.cnbc.com

Únik vynutil brzké opravy

Opravy měly vyjít 22. října. Podrobnosti však unikly online 20. října, takže PHP je vydala o den dříve. Podle PHP Foundation výzkumníci z Calif také omylem zveřejnili video ukazující, jak lze chyby zneužít. Video bylo smazáno, ale rozšířilo se na hackerských fórech.securityweek.com+1

Amazon Amazon.com, Inc. ↘ 0.95% uvedl, že jeho síť senzorů MadPot zachytila pokusy o zneužití ještě před zveřejněním chyb. Společnost uvedla, že stále není jasné, jak se o nich útočníci dozvěděli. Národní bezpečnostní agentura USA doporučila organizacím odpojit systémy, pokud je nemohou okamžitě aktualizovat. Podobná varování vydaly agentury v Singapuru, Velké Británii, Austrálii, Kanadě a EU.cnbc.com+1

Odstávky se rozšířily do Japonska

Ve čtvrtek agentura Bloomberg informovala, že Mizuho ↘ 1.44% pozastavila bankovní a cenné papíry. Shizuoka Bank rovněž pozastavila své webové stránky a aplikaci a All Nippon Airways ANA Holdings Inc. deaktivovaly palubní vstupenky v Apple Wallet. Ve Francii Orange ↘ 1.66% pozastavil některé webové stránky během instalace záplat. V Británii byly ve středu mimo provoz Office for Budget Responsibility a NHS Scotland a ve čtvrtek byly nedostupné některé stránky programů BBC.thenextweb.com+1

Role AI při hledání chyb

Calif našla chyby pomocí GPT-5.6 Sol od OpenAI v rámci programu Patch the Planet. Jednotka Wiz společnosti Google použila Gemini 4 Argon a GPT-5.6 Sol k jejich nezávislému nalezení. Podíl Anthropic byl menší. PHP Foundation uvedla, že PHP skenovala pomocí Claude Mythos od Anthropic již dříve v tomto roce a poděkovala Anthropic za přístup k jejím nástrojům. Nadace však připisuje zásluhy za nahlášení chyb společnostem Calif, OpenAI a Wiz.cnbc.com+1

Ryan Austin, výzkumník z Calif, který pomohl chyby najít, to označil za nejzávažnější zranitelnost, jakou kdy našel. Dodal, že zatím to nevypadá, že by se zneužívání rozmohlo nebo bylo rozšířené.bbc.co.uk