Ministerstvo vnútra preventívne odstavilo svoj web pre kritické zraniteľnosti v PHP
Vlády v Európe aj ďalších častiach sveta v stredu z preventívnych dôvodov odstavovali svoje webové stránky pre novo odhalené kritické bezpečnostné zraniteľnosti programovacieho jazyka PHP. K opatreniu pristúpilo aj slovenské ministerstvo vnútra. Národný bezpečnostný úrad (NBÚ) označil situáciu za vážnu a vyzval prevádzkovateľov webových stránok na okamžitú prípravu bezpečnostných opatrení. Vývojári PHP medzitým oznámili vydanie aktualizácie, ktorá chyby opravuje.
Ministerstvo vnútra (MV) SR v stredu dočasne odstavilo svoje webové sídlo v súvislosti s preventívnymi bezpečnostnými opatreniami proti kritickým zraniteľnostiam technológie PHP. Odstávka má trvať približne hodinu.
„Počas samotnej odstávky bude webové sídlo nedostupné. Technický tím vykoná potrebné bezpečnostné úpravy a pred obnovením prevádzky overí jeho funkčnosť,“ uviedlo ministerstvo.
Cieľom opatrenia je podľa rezortu posilniť ochranu webového sídla a zabezpečiť jeho spoľahlivú prevádzku. Ministerstvo zároveň zdôraznilo, že samotné odhalenie bezpečnostnej slabiny ešte neznamená, že došlo ku kybernetickému útoku alebo úniku údajov.
NBÚ varuje pred vážnym rizikom
Na kritické bezpečnostné zraniteľnosti programovacieho jazyka PHP upozornil v stredu aj Národný bezpečnostný úrad. Situáciu označil za vážnu a vyžadujúcu okamžitú prípravu. Na sociálnej sieti informoval, že mimoriadne bezpečnostné opravy zatiaľ nie sú dostupné a ich vydanie sa očakáva v stredu o 16.00 h slovenského času.
Úrad spresnil, že ide o dve zraniteľnosti označené ako CVE-2026-109618 a CVE-2026-109619. Prevádzkovateľov systémov vyzval, aby bezodkladne identifikovali všetky systémy využívajúce PHP, ktoré sú dostupné z internetu alebo iných nedôveryhodných sietí.
„Identifikujte všetky PHP systémy dostupné z internetu alebo iných nedôveryhodných sietí. Pripravte izoláciu alebo odstavenie systémov, ktoré nebude možné rýchlo aktualizovať. Zvážte dočasné mitigácie, napríklad vypnutie session.upload_progress a obmedzenie multipart/form-data tam, kde je to prevádzkovo možné. Zabezpečte externý zber a uchovávanie logov. Pripravte a otestujte postup aktualizácie, reštartu a redeployu ešte pred vydaním opráv. Nezabudnite na kontajnery, appliances, embedded administračné rozhrania a produkty tretích strán používajúce PHP,“ uviedol NBÚ.
Podľa analytikov už verejne dostupný výskum opisuje funkčné zneužitie minimálne jednej z odhalených zraniteľností. Rozsiahle aktívne zneužívanie v reálnej prevádzke však zatiaľ potvrdené nebolo.
„Toto nie je situácia typu opravíme neskôr – tento týždeň,“ upozornil úrad a vyzval prevádzkovateľov, aby sa na nasadenie opráv pripravili ešte v priebehu stredy.
Webové stránky odstavovali aj ďalšie európske krajiny
Podobné preventívne opatrenia prijímali aj vlády v ďalších častiach Európy a sveta. Podľa agentúry Reuters pristúpili k dočasnému odstaveniu internetových stránok napríklad vládne úrady v Nemecku, Francúzsku, Holandsku a Fínsku.
Francúzske ministerstvo vnútra v stredu oznámilo, že počas čakania na bezpečnostnú aktualizáciu preventívne odstavilo webové stránky úradov štátnej správy vo francúzskych departementoch.
Fínsky štátny poskytovateľ informačných technológií Valtori zase informoval o preventívnom odstavení verejných internetových služieb tamojšej vlády.
Vývojári programovacieho jazyka PHP informovali o dvoch kritických bezpečnostných slabinách už v utorok. Následne sa objavili správy, podľa ktorých sa hackeri pokúšajú tieto chyby zneužiť na útoky proti webovým stránkam.
V stredu popoludní vývojári oznámili, že vydali bezpečnostnú aktualizáciu, ktorá odhalené zraniteľnosti opravuje. Používateľom zároveň dôrazne odporučili jej okamžitú inštaláciu.
PHP využívajú stovky miliónov webových stránok
Rozsah potenciálneho rizika súvisí aj s mimoriadne širokým využívaním programovacieho jazyka PHP. Ako upozorňuje agentúra DPA, funguje na ňom veľká časť internetu – od jednoduchých blogov cez rozsiahle spravodajské portály až po veľké internetové obchody.
„PHP je všade,“ uviedla spoločnosť Huntress, ktorá pôsobí v oblasti kybernetickej bezpečnosti.
Tento programovací jazyk využíva okrem iného aj populárny nástroj na tvorbu webových stránok WordPress. Podľa odhadov odborníkov, na ktoré sa odvoláva agentúra DPA, WordPress na celom svete poháňa približne 400 až 500 miliónov webových stránok.
