Získajú heslá aj adresy. Expert vysvetľuje, čo všetko môžu hackeri napadnúť bez opravy webu v PHP
PHP patrí k najrozšírenejším programovacím jazykom a slúži na prevádzku webových stránok a aplikácií. Celosvetovo ho používa viac ako šesť miliónov stránok, na Slovensku viac ako stotisíc. Problém sa tak týka širokého spektra webov a predstavuje riziko pre verejný aj súkromný sektor.
Národný bezpečnostný úrad (NBÚ) vydal v stredu pred poludním pre PHP kritické bezpečnostné upozornenie. Spomínal v ňom dve kritické zraniteľnosti – CVE-2026-109618 a CVE-2026-109619 so skóre až 9,2 z 10. Prevádzkovateľov webov vystríhal, aby konali bezodkladne a odstavili dotknuté systémy ešte pred zverejnením informácií o zraniteľnostiach.
„Neaktualizované systémy môžu byť vystavené útokom, pričom útočníci využívajú aj nástroje umelej inteligencie na automatizáciu vyhľadávania zraniteľných systémov a ich hromadné zneužívanie. Samotné nasadenie bezpečnostnej aktualizácie nestačí, ak už útočník zraniteľnosť zneužil,“ uviedla hovorkyňa NBÚ Kristína Petro Garaiová.
V dôsledku rizika odstavili v stredu dočasne svoje systémy viaceré štátne weby. Medzi nimi stránku Úradu vlády Slovenskej republiky, Centrálny register zmlúv aj Centrálny register projektov. Preventívne vyplo svoje webové sídlo aj ministerstvo vnútra a Železničná spoločnosť Slovensko.
Zástupca riaditeľa Národného centra kybernetickej bezpečnosti NBÚ Milan Pikula pre ta3 priblížil, že k preventívnemu odstaveniu webových stránok viedla závažnosť situácie. „To, že tá zraniteľnosť bola koordinovane naplánovaná na odhalenie včera vo večerných hodinách, o 16. hodine nášho času, bol veľmi silný predpoklad, že útočníci to začnú zneužívať prakticky minúty po oznámení. To sa nakoniec aj potvrdilo,“ vysvetlil.
Expert na kybernetickú bezpečnosť a riaditeľ spoločnosti Cyllium Andrej Mišura označil zraniteľnosti za vzdialené spustenie kódu bez overenia totožnosti (RCE). „Útočník nepotrebuje heslo, účet ani pomoc zvnútra. Stačí mu poslať na server špeciálne pripravenú požiadavku,“ uviedol. Kto chybu zneužije, získa podľa neho kontrolu nad serverom s právami webovej aplikácie – vie čítať databázu, kradnúť prihlasovacie údaje a kľúče, meniť obsah stránky či podstrčiť návštevníkom škodlivý kód.
Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Najväčšiu obavu má Mišura zo starých, už nepodporovaných verzií. Pre PHP 7.3 a staršie oprava nevyjde vôbec. Upozornil, že aktualizácia WordPressu, pluginu alebo frameworku nestačí – opraviť treba samotný interpreter PHP a reštartovať všetky bežiace procesy.
V prípade e-shopov je podľa experta častým scenárom podvrhnutie platobného formulára. Zákazník si nič nevšimne, ale údaje z jeho platobnej karty získa útočník. Majiteľovi e-shopu to znamená povinnosť hlásiť únik osobných údajov podľa GDPR a možné pokuty.
„Áno, a bude sa to diať čoraz častejšie,“ odpovedal Mišura na otázku, či sa podobné prípady zopakujú. Podľa neho výskumné tímy pri odhalení chýb využili umelú inteligenciu. Rozhodovať preto podľa neho nebude, kto má najdrahšie bezpečnostné technológie, ale kto má prehľad o svojich systémoch a overený proces, ako ich rýchlo a bezpečne aktualizovať.
