Ve středu se na čas vypnul web české vlády i služba pražského letiště. Důvodem byly dvě vážné chyby v PHP, programu, na kterém běží velká část webů. Bezpečnostní výzkumníci s pomocí AI ukázali, jak z nich získat přístup k serveru. Do připravovaného pohodového vydání oprav pak zasáhl únik informací. A zatímco správci weby preventivně odstavovali, Amazon našel stopu po pokusu o útok už ze 17. října.
Když zmizí web Úřadu vlády, člověku naskočí slovo „hackeři“. V tomhle případě ho vypnuli sami správci. Potřebovali získat čas na opravu softwaru, který běží pod stránkami a návštěvník ho běžně vůbec nevidí. Stejný důvod mělo i preventivní odstavení služby FlightConnections pražského letiště. Vypnutý web je nepříjemnost, ale sám o sobě není důkaz, že se do něj někdo dostal.
Software se jmenuje PHP. Používá ho WordPress, Drupal a řada dalších systémů, na kterých běží velká část webu. Dvě nově zveřejněné zranitelnosti dostaly společné jméno PHP2Shell. Pokud server používá zasaženou verzi a při určitém hodně specifickém nastavení serveru, může cizí člověk na dálku spustit vlastní kód, aniž by znal přihlašovací údaje. To je ten problém, kvůli kterému stálo za to na chvíli weby vypnout.
Jak je to s těma aktualizacema?
Jak to s tím updejtem funguje obyčejně? Velký rozdíl je mezi moderní bankou a obřím poslepovaným státním informačním systémem. Moderní banka může nasazovat změny několikrát denně, aniž by to uživatel poznal. Používá automatické testování, postupné nasazování a redundantní infrastrukturu.
Starší vládní systém, nebo nedejbože třeba nemocnice může aktualizace odkládat celé měsíce, protože změna jedné komponenty může rozbít jinou. Takže zatímco dobře zabezpečená banka může kritickou zranitelnost opravit během několika hodin, některé státní instituce nebo firmy ji nechají neopravenou týdny až měsíce. Ano, i tohle je rozdíl mezi soukromým a státním sektorem.
Deset let spící kostlivec a nástup AI agentů
To, co bezpečnostní experti v posledních hodinách hasili, nebyla čerstvá programátorská chyba. Dvojice chyb CVE-2026-109618 a CVE-2026-109619 je starší než deset let. Útok se opírá o to, jak PHP zachází s pamětí, když při zpracování požadavku narazí na závažnou chybu. Program po sobě může zanechat poškozená data a další požadavek je pak použije, jako by byla v pořádku.
To zní jako programátorská hatmatilka, dokud si člověk nepředstaví, co v paměti serveru může být: hesla, přístupové tokeny nebo klíče k dalším službám. Wiz předvedla funkční útoky na instalacích WordPressu, Drupalu a Joomly. Chyba přitom není v těchto redakčních systémech, ale v samotném PHP. Proto bacha, aktualizace WordPressu ji nevyřeší.
Hláška „AI našla chybu, kterou lidé deset let přehlíželi“ tak má hezký dramatický bumerang. PHP Foundation ho kazí vlastním přiznáním: na jeden z problémů v paměti narazila už při auditu v roce 2024. Oprava ale mohla rozbít starší aplikace nebo zhoršit výkon. Takže to vyghoustili. Nadace dnes říká, že měli nedostatek lidí, kteří jádru PHP opravdu rozumějí. Ups.
Takže letos se do toho pustily pokročilé modely AI. Nástroje OpenAI, Calif i Wiz najednou vymyslely, jak by s tou bezpečnostní dírou šel provést skutečný útok.
Nechtěný video únik na sockách: Proč museli všichni spěchat
Původní plán PHP Foundation a bezpečnostních týmů počítal s pohodovým postupem. Vývojáři měli v tichosti připravit záplaty pro všechny hlavní verze (PHP 8.2 až 8.5) a vydat je společně s podrobnou zprávou až na konci října, aby správci velkých infrastruktur měli čas se nachystat.
Plán se však v úterý 20. října zhroutil jako domeček z karet. Firma Calif omylem zveřejnila video, na kterém její ukázkový útok fungoval. Smazala ho, ale kopie už se šířily dál. Jeden z distributorů předčasně vypustil balíky s opravou, takže bylo možné zkoumat změny v programu ještě před společným vydáním.
V té chvíli začal zoufalý závod s časem. Jakmile byl funkční kód venku, PHP Foundation musela přípravy utnout (přesto, že pro část správců oprava ještě nebyla připravená) a ve středu 21. října nouzově vypustit záplaty do světa. Koordinované vydání se proměnilo v globální poplach a chaos.
Amazon: Útočníci se už připravovali s předstihem
Zatímco sociální sítě žijí v domnění, že hrozba vznikla až středečním únikem. Amazon teď potvrdil, že zachytil první pokusy o zneužití ve své síti návnadových serverů (jo, je to jako hon na zvířata) pokus o zneužití 17. října – teda plné čtyři dny před veřejným varováním. Další vlna sondování proběhla ve středu ráno, ještě před vydáním oficiálních záplat.
To potvrzuje, že útočné skupiny měly k informacím přístup dříve než běžní správci webů.
Společnost Cloudflare obratem oznámila, že zaznamenala „miliony útočných požadavků“ a nasadila plošná pravidla na své firewally. Tady bych ta čísla bral s rezervou. Mezi bezpečnostními analytiky se ozývají hlasy, že Cloudflare (jehož akcie v posledních měsících zažívaly propad) situaci využil i k masivnímu marketingu své nepostradatelnosti (a taky jeho akcie šly po oznámení pěkně nahoru). Milion požadavků totiž může zahrnovat automatické skeny i opakované pokusy proti stejným cílům. Není to milion napadených webů.
Takže klíčový fakt (ke dnešnímu dni): zatím nemáme potvrzené žádné úspěšné napadení infrastruktury velkých institucí.
Co se vypínalo v Česku a proč se mluví i o darknetu
Web Úřadu vlády se po preventivní odstávce znovu načítá. Pražské letiště dočasně odstavilo službu FlightConnections. Provozovatelé českých serverů mezitím nasazovali opravy: CZECHIA.COM uvedla, že aktualizovala svůj sdílený hosting a spravované servery, Český hosting popsal postup pro jednotlivé verze PHP.
Chuťovka z darknetu: bezpečnostní firma SOCRadar zachytila oznámení o odstávce darknetového fóra Dread kvůli PHP2Shell. Proč vypínali provozovatelé „cibule“? Výpadky a horečnatou údržbu hlásila i špinavě známá fóra na darknetu (například BreachForums). Normální lidi si totiž myslí, že stránky s doménou .onion fungují na nějakém zcela odlišném principu. Teda úplně normální lidi si myslí, že cibule je jen něco k jídlu samozřejmě.
Realita je prostá: Tor (The Onion Router) slouží pouze jako anonymizační síť pro skrytí IP adresy a šifrování trasy. Samotný web, který za ní běží, ale potřebuje stejný webový server a databázi jako jakýkoliv e-shop s ponožkami. A protože populární diskusní fóra velmi často běží na PHP systémech (např. XenForo nebo phpBB), hackerům na darknetu hrozilo přesně totéž odhalení a převzetí kontroly jako komukoliv jinému.
Co dál? V Česku NÚKIB doporučuje okamžitě aktualizovat. Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. U starších verzí je třeba zjistit, zda pro ně dodavatel nabízí opravu, nebo přejít na podporovanou řadu.
Otázky a odpovědi
Znamená vypnutí webu, že byl napaden hackery?
Ne. Většinou čistá prevence. Pokud správce spravuje kritický web a ví, že venku koluje funkční návod k útoku, nejbezpečnější cestou je server na chvíli odpojit od sítě, nainstalovat záplatu a systém po otestování znovu spustit.
Je opravdu ohroženo 70 procent internetu?
No je to trochu nafouklý. Citované číslo vychází z analytiky projektu W3Techs. Podle ní PHP využívá zhruba 69 % webů (hodně díky obřímu rozšíření redakčního systému WordPress).
Neznamená to ale, že 70 % všech webů na světě je zranitelných. Mnoho moderních webů běží na oddělených architekturách, řada verzí PHP vyžadovala specifické podmínky pro spuštění chyby a velké hostingové společnosti dokázaly chybu zablokovat na úrovni síťových firewallů dřív, než požadavek na server vůbec dorazil.
Jak mohl kód starý 10 let unikat pozornosti a proč pomohla až AI?
Jádro PHP tvoří miliony řádků kódu v jazyce C, z nichž některé části vznikaly před 15 i 20 lety! Zranitelnost se projevovala pouze při dost divné kombinaci chyb při nedostatku paměti. Pro člověka bylo extrémně obtížné představit si kombinaci vstupů, která k této chybě povede. AI modely ale mají poněkud větší fantazii :-). Dokážou analyzovat logické stromy v miliardách variant. To jim umožnilo nasimulovat pád systému, který do té doby nikoho nenapadl.
Stačí aktualizovat WordPress?
Nestačí. Chyby jsou v PHP na serveru. Majitel webu by si měl u hostingu nebo správce ověřit, jaká verze PHP web skutečně provozuje a zda byla opravena. NÚKIB
Mám si měnit heslo na e-shopu a bát se platby?
Pokud nakupujete na zavedených e-shopech, riziko je minimální. Profesionální správa a platební brány běží na zcela oddělených bankovních systémech. Ohroženy mohou být v následujících dnech pouze menší, zahnívající weby na starých verzích PHP, jejichž majitelé nereagují na výzvy k aktualizaci.
Pro běžného uživatele platí standardní pravidlo: není třeba měnit hesla plošně, ale mít zapnuté dvoufázové ověření (2FA) všude, kde je to možné.
