NSA radí vypnout weby s PHP, dokud nebudou opraveny kritické chyby

Vlády a společnosti po celém světě odpojily 21. a 22. října své webové stránky, aby opravily dvě kritické chyby v PHP, programovacím jazyce, na kterém běží zhruba 70 % webů. Americká Národní bezpečnostní agentura (NSA) organizacím, které nemohou provést aktualizaci okamžitě, doporučila, aby systémy vypnuly, dokud nebude náprava hotová. Dvě chyby, přezdívané PHP2Shell, byly nalezeny s pomocí umělé inteligence. Během několika hodin od zveřejnění se útočníci pokusili chyby zneužít v milionech případů.nsa.gov

Záplaty a varování

Zranitelnosti, evidované jako CVE-2026-109618 a CVE-2026-109619, umožňují útočníkovi vzdáleně spustit kód na webovém serveru bez nutnosti přihlášení. Zasažena je každá verze PHP od verze 5.4. PHP vydalo opravené verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35 dne 21. října. NSA uvedla, že chyby jsou "přímo v PHP, nikoliv v hostovaných aplikacích" a že kybernetičtí útočníci je "pravděpodobně zneužijí". Britské Národní centrum pro kybernetickou bezpečnost vydalo podobná doporučení.security.truenas.com+3

Výzkumníci z OpenAI v Kalifornii a společnosti Wiz, kterou vlastní Google, objevili chyby pomocí pokročilých modelů umělé inteligence. "Jeden výzkumník dokončil za týden práci, která by dříve špičkovému týmu trvala měsíce," uvedla společnost Wiz. Podrobnosti unikly dříve, než byly opravy připraveny. Generální ředitel Cloudflare Matthew Prince uvedl, že pokusy o zneužití vzrostly z tisíců před oznámením na "miliony nyní".rmb.reuters.com+1

Od Helsinek po Tokio

Německý federální poskytovatel IT, francouzské prefekturní weby a belgické ministerstvo zahraničí, ti všichni odpojili své stránky. Česká vláda vypnula svůj web ve středu večer. V Japonsku pozastavily některé online služby společnosti Nomura, Mitsubishi UFJ Financial Group, ANA a East Japan Railway a Národní daňová agentura krátce vypnula svou službu. Orange omezil přístup k některým webům. Jižní Korea zvýšila úroveň kybernetické pohotovosti v soukromém sektoru. "Nic takového jsem dlouhou, velmi dlouhou dobu neviděl," řekl ve čtvrtek generální ředitel Microsoftu Satya Nadella. Finská státní IT agentura Valtori varovala, že obnova služeb "může trvat dny nebo i týdny".reuters.com+1

Rušný den pro obránce

Další problémy se objevily také 21. října. Node.js opravil čtyři vysoce závažné chyby, z nichž jedna umožňovala vzdálené spuštění kódu. Útočník kompromitoval LiteLLM, populární open-source AI proxy, a publikoval škodlivé verze, které kradly přihlašovací údaje. Indická certifikační autorita eMudhra měla také kompromitované soukromé klíče, což by útočníkům mohlo umožnit vydávání podvodných certifikátů.tech.yahoo.com

Společnost Wiz přirovnala PHP2Shell k chybě Heartbleed z roku 2014. Uvedla, že základní chyby "existovaly desítky let", ale umělá inteligence "podstatně snížila" bariéru pro jejich přeměnu na funkční exploit.edition.cnn.com