PHP varuje před třetí chybou, zatímco svět horečně záplatuje

Vlády, poskytovatelé cloudu a provozovatelé webových stránek po celém světě tento týden horečně záplatovali dvě kritické chyby v PHP, programovacím jazyce, na kterém běží velká část webu, poté, co je objevili výzkumníci s pomocí umělé inteligence. Nadace PHP Foundation vydala nouzové opravy ve středu 21. října a uvedla, že "všem uživatelům PHP důrazně doporučujeme okamžitou aktualizaci," zatímco OpenAI prohlásila, že její model GPT-5.6 Sol pomohl chyby odhalit.bbc.com

Chyby, sledované pod označením CVE-2026-109618 a CVE-2026-109619 a souhrnně nazývané "PHP2Shell," mohou útočníkům umožnit spuštění kódu na serveru bez přihlášení. Obě mají na stupnici CVSS hodnocení 9.2. Opravy byly zahrnuty do verzí PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Chyby se týkají téměř všech verzí od verze 5.4, přičemž PHP 8.1 a starší verze již oficiální opravu nedostanou. Společnost Wiz odhaduje, že na PHP běží asi 70 % webových stránek, W3Techs uvádí dokonce 75 %.cbc.ca+2

Stránky vypínají provoz kvůli nárůstu útoků

Americká Národní bezpečnostní agentura (NSA) doporučila organizacím, které nemohou okamžitě záplatovat, aby své systémy odpojily od sítě. Britské Národní centrum pro kybernetickou bezpečnost vydalo podobné doporučení a japonská premiérka Sanae Takaichi vyzvala majitele stránek, aby "jednali ještě dnes večer," uvedla BBC. Wikimedia, finská vláda a nizozemské kybernetické úřady odpojily své systémy, stejně jako několik kanadských provinčních vlád.bbc.com+1

Generální ředitel Cloudflare ↗ 7.29% Matthew Prince uvedl, že pokusy o zneužití v jejich síti vzrostly z tisíců před oznámením na "nyní miliony." Společnost Amazon Amazon.com, Inc. ↘ 0.95% uvedla, že byla terčem útoku několik dní před zveřejněním, ale její stránky fungovaly normálně. Zveřejnění bylo plánováno na 22. října, ale podrobnosti unikly online 20. října, takže opravy vyšly o den dříve. V pátek 23. října PHP varovalo před třetí, méně rizikovou chybou, CVE-2026-115560, která bude opravena v rámci běžné aktualizace.securityweek.com+2

Role AI při objevování

OpenAI uvedla, že bezpečnostní firma Calif našla jednu chybu pomocí GPT-5.6 Sol v rámci programu "Patch the Planet." Společnost Wiz našla a nahlásila obě chyby samostatně. Podle serveru TechCrunch použila Wiz několik nástrojů AI, včetně svého agenta Atlas, Gemini 4 Argon a GPT-5.6 Sol. Prezident OpenAI Greg Brockman uvedl, že chyba byla v PHP 14 let a omezená verze nalezená v roce 2024 nebyla považována za vážnou. OpenAI ji označila za "jednu z nejzávažnějších zranitelností v nedávné paměti." Společnost také vydala nástroj pro kontrolu verzí PHP a přislíbila 1 miliardu dolarů na dotovaný přístup ke svému programu Daybreak pro obránce.openai.com+4

Strukturální otázky

Nadace PHP Foundation označila zpoždění při řešení problému z roku 2024 za "strukturální selhání" způsobené omezenými zdroji. Pro stanici CBC uvedla, že nemá důkazy o úspěšném zneužití. Indický úřad CERT však uvedl, že četné zprávy naznačují rozsáhlé zneužívání v reálném provozu.csk.gov.in+1

"Základní chyby nebyly nové; co se změnilo, byla naše schopnost je najít," řekl BBC výzkumník Salil Kanhere z UNSW Sydney.bbc.com