Palo Alto potvrdila: Chyby PHP2Shell se týkají i systému PAN-OS

Vlády, banky a firmy po celém světě minulý týden odstavily své webové stránky poté, co byly odhaleny dvě kritické zranitelnosti v jazyce PHP. PHP je programovací jazyk, na kterém podle společnosti Wiz Research běží přibližně 70 % světových webů. Chyby jsou sledovány pod označením CVE-2026-109618 a CVE-2026-109619 a společně se nazývají PHP2Shell. Útočníkům umožňují spustit kód na serveru bez nutnosti přihlášení. Projekt PHP narychlo vydal opravy 21. října ve verzích 8.5.12, 8.4.27, 8.3.36 a 8.2.35, uvedla divize Amazon Web Services společnosti Amazon.com, Inc. ↗ 0.39%. Podrobnosti však unikly na internet již v úterý 20. října, den před plánovaným zveřejněním.aws.amazon.com+1

Weby po celém světě se odpojují

Americká Národní bezpečnostní agentura (NSA) doporučila organizacím, které nemohou aktualizovat ihned, aby „systém odpojily, dokud nebude hrozba zcela odstraněna,“ informovala stanice DW. Podle NBC News ze společnosti Comcast Corporation ↘ 0.45% to bylo poprvé, co americká zpravodajská služba využila sociální sítě k tomu, aby majitelům webů doporučila přechod do offline režimu. Úřad CISA vyzval organizace k okamžité instalaci oprav.nbcnews.com+2

Finsko dočasně pozastavilo veřejné webové služby své vlády a nizozemský úřad pro kybernetickou bezpečnost odstavil vlastní web, uvedla stanice BBC. Ve Francii byly odstaveny weby prefektur včetně pařížské policie. Mimo provoz se ocitla také nizozemská identifikační služba DigiD a web tamního parlamentu, informovala stanice eNCA. V Japonsku společnosti ANA, JR West a MUFG pozastavily některé služby, uvedla stanice CNN. Web centrální banky v Bangladéši zůstal nefunkční několik dní a v Nepálu vypadly tisíce vládních a bankovních stránek. Opravy pro některé produkty stále přicházejí. Společnost Palo Alto Networks ↗ 1.23% 24. října potvrdila, že zasažen je i systém PAN-OS, a oznámila vydávání opravných balíčků od 26. října.bbc.com+5

Miliony pokusů o útok

Generální ředitel společnosti Cloudflare ↘ 0.50% Matthew Prince uvedl, že firma zaznamenala tisíce pokusů o zneužití během 10 hodin před oficiálním oznámením. Tento počet vzrostl na „desítky tisíc během 45 minut po oznámení, stovky tisíc během dvou hodin a nyní jde o miliony,“ napsal server SecurityWeek. Společnost Amazon sdělila, že první pokus o zneužití zaznamenala 17. října, kdy chyby ještě podléhaly embargu, ačkoli organizace popsané pokusy označily za neúspěšné.securityweek.com

Umělá inteligence na obou stranách

Společnost Calif odhalila zranitelnosti v srpnu pomocí modelu GPT-5.6 Sol od OpenAI během auditu PHP, který společnost OpenAI financovala. Firma Wiz, kterou vlastní Google, tvrdí, že je o několik týdnů později nezávisle odhalila s využitím modelů Gemini 4 Argon a GPT-5.6 Sol, informovala agentura AFP. Vlastníkem společnosti Google je Alphabet ↗ 0.55%. Společnost Wiz označila tyto chyby za jedny z „nejzávažnějších zranitelností objevených v PHP a dost možná i v celé historii softwaru.“afp.com

Stanice NBC News napsala, že umělá inteligence pomáhá obráncům i hackerům nalézat závažné chyby „závratným tempem.“ Steve Kerrison z univerzity James Cook University podle AFP varoval, že někteří majitelé webů „o tom nemají ani tušení a nebudou mít ještě dny, týdny či měsíce.“nbcnews.com+1