Dve kritické bezpečnostné chyby v PHP môžu útočníkom umožniť ovládnuť zraniteľný webový server bez potreby prihlásenia. Bezpečnostné aktualizácie sú už dostupné. Firmy by si mali čo najskôr overiť, akú verziu PHP používajú ich weby a aplikácie.
Vývojári PHP vydali 21. októbra 2026 mimoriadne bezpečnostné aktualizácie, ktoré opravujú dve kritické zraniteľnosti. Obe dostali hodnotenie 9,2 z 10 podľa systému CVSS a za určitých podmienok môžu viesť k vzdialenému spusteniu škodlivého kódu bez overenia totožnosti útočníka.
Zraniteľnosti sú evidované ako CVE-2026-109618 a CVE-2026-109619. Nachádzajú sa priamo v prostredí PHP, ktoré spracúva požiadavky prichádzajúce na webový server. Nejde teda o chybu jedného konkrétneho webu, pluginu alebo redakčného systému.
Čo je PHP?
PHP je programovací jazyk, ktorý sa používa najmä na tvorbu a prevádzku webových stránok a online aplikácií. Niektoré odhady hovoria o tom, že PHP využíva až 70 % všetkých webových stránok. Beží na webovom serveri, kde spracúva požiadavky používateľov, pracuje s databázami a pripravuje obsah, ktorý sa následne zobrazí v prehliadači. Využívajú ho aj rozšírené platformy ako WordPress, Drupal, Joomla či Magento.
Keďže PHP tvorí technologický základ mnohých webových aplikácií a platforiem, riziko môže existovať aj v prípadoch, keď firma PHP priamo nespravuje alebo o jeho používaní nevie, napríklad pri webe prevádzkovanom externým dodávateľom alebo poskytovateľom hostingu.
Zraniteľnosti pomohla odhaliť umelá inteligencia
Na odhalení a analýze zraniteľností sa významne podieľali pokročilé modely umelej inteligencie. Išlo o bezpečnostný výskum vedený ľuďmi, pri ktorom umelá inteligencia pomáhala analyzovať zdrojový kód, skúmať zlyhania, vytvoriť funkčný spôsob zneužitia a overovať pripravené bezpečnostné opravy.
Bezpečnostná spoločnosť Wiz pri výskume použila vlastného AI agenta Wiz Atlas, model Gemini 4 Argon od Google a model GPT-5.6 Sol od OpenAI. Nezávisle od nej identifikovala jednu zo zraniteľností aj bezpečnostná firma Calif, ktorá model GPT-5.6 Sol využila v rámci iniciatívy Patch the Planet.
Prípad ukazuje, ako môže AI pomáhať obrancom objavovať aj mimoriadne komplikované chyby v široko používanom softvéri. Zároveň však upozorňuje na druhú stranu tejto technológie. Rovnaké schopnosti môžu útočníkom uľahčiť analýzu zverejnených zraniteľností, prispôsobovanie útokov rôznym konfiguráciám alebo automatizované vyhľadávanie zraniteľných systémov.
Útok môže prísť priamo z internetu
Prvá zraniteľnosť, CVE-2026-109618, súvisí s poškodením pamäte pri spracovaní situácie, keď PHP dosiahne nastavený pamäťový limit. Špeciálne vytvorená požiadavka môže narušiť spracovanie interných dát a následne viesť k spusteniu kódu útočníka.
Druhá chyba, CVE-2026-109619, súvisí s internými údajmi, ktoré môžu v procese zostať aj po uvoľnení pamäte. Neskoršia požiadavka môže tento neplatný stav opätovne použiť ešte pred jeho riadnym obnovením. Aj táto chyba môže viesť k vzdialenému spusteniu kódu.
Úspešné zneužitie by mohlo útočníkovi umožniť napríklad:
- spustiť škodlivé príkazy na serveri,
- získať prístup k citlivým údajom,
- pozmeniť obsah firemného webu,
- narušiť dostupnosť webovej služby,
- alebo využiť napadnutý server na ďalšie útoky.
Pokusy o zneužitie už boli zaznamenané
Technické informácie o oboch zraniteľnostiach sú verejne dostupné a začali sa objavovať aj prvé ukážky možného zneužitia. CERT-EU upozornil, že to zvyšuje pravdepodobnosť, že sa útočníci pokúšajú chyby aktívne využívať.
Spoločnosť Cloudflare uviedla, že vo svojej sieti zaznamenala útočnú prevádzku zameranú na tieto zraniteľnosti. Pozorovala aj meniace sa podoby škodlivých požiadaviek, ktorými sa útočníci pokúšali obísť zavedenú ochranu. Tento údaj potvrdzuje pokusy o zneužitie, nie však automaticky úspešné napadnutie všetkých zasiahnutých systémov.
Ktoré verzie PHP treba aktualizovať?
Bezpečnostné opravy sú súčasťou týchto verzií:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Ohrozené sú staršie vydania v príslušných vetvách, teda PHP 8.5 pred verziou 8.5.12, PHP 8.4 pred verziou 8.4.27, PHP 8.3 pred verziou 8.3.36 a PHP 8.2 pred verziou 8.2.35.
PHP 8.1 a staršie vetvy už nedostávajú štandardné aktualizácie. Vývojári však zverejnili minimálne zdrojové opravy aj pre PHP 7.4, 8.0 a 8.1. Niektoré linuxové distribúcie alebo poskytovatelia dlhodobej podpory môžu zároveň ponúknuť vlastné opravené balíky aj pre staršie verzie.
Firmy používajúce takéto verzie by si preto mali dostupnosť aktualizácie overiť priamo u svojho dodávateľa a zároveň naplánovať prechod na podporovanú verziu.
Samotná aktualizácia WordPressu, Drupalu, Joomly, Magenta alebo inej webovej aplikácie nemusí tento problém vyriešiť. Potrebné je aktualizovať PHP na serveri, prípadne nainštalovať opravený balík od poskytovateľa operačného systému alebo hostingu.
Expert ESET: Problémom je spoločný základ digitálneho sveta
Podľa Harma Teunisa, experta spoločnosti ESET, riziko spočíva najmä v tom, že množstvo rôznych webových služieb používa rovnaké základné technológie.
„Náš digitálny svet je postavený z mnohých rovnakých materiálov a kľúčových súčiastok. Je to výhoda, pretože sa spoliehame na technológie, ktoré sa roky osvedčujú. Ak sa však chyba objaví v jednej z týchto súčastí, následky môžu byť vážne. Je to podobné ako pri zvolávaní áut do servisu. Rôzne značky a modely môžu používať rovnaký diel. Ak sa ukáže, že je nebezpečný, všetci dotknutí majitelia ho musia dať vymeniť.“
Nebezpečenstvo podľa neho zvyšuje skutočnosť, že útočníci môžu zraniteľné systémy vyhľadávať a napádať automatizovane priamo cez internet.
„Predstavme si zámok na aute, pri ktorom niekto zverejní spôsob, ako ho otvoriť. Zločinci potom môžu prechádzať ulicami a hľadať zraniteľné vozidlá. V online prostredí sa takéto hľadanie dá automatizovať v obrovskom rozsahu. Aj preto treba problém riešiť čo najskôr.“
Firmy by preto mali vedieť, aké technológie používajú, kde sa nachádzajú a kto zodpovedá za ich aktualizovanie. Zraniteľnosť v rozšírenom technologickom základe môže podľa Teunisa pripomínať „digitálny azbest“, teda rizikový prvok zabudovaný do množstva systémov bez toho, aby bolo na prvý pohľad zrejmé, kde všade sa nachádza.
„Panika nepomáha. Môže iba vytvoriť priestor pre podvodníkov, ktorí situáciu zneužijú prostredníctvom falošných varovaní či údajných opráv. Tému treba brať vážne, vedieť, aké systémy firma používa, a zabezpečiť ich aktualizáciu, opravu alebo výmenu.“
Čo by mali firmy urobiť
1. Zistite, kde používate PHP
Skontrolujte verejne dostupné weby, e-shopy, zákaznícke portály, interné aplikácie, servery, kontajnery aj externé hostingové služby. Nestačí poznať iba verziu redakčného systému. Rozhodujúca je verzia PHP, na ktorej systém beží.
2. Aktualizujte na opravenú verziu
Použite PHP 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, prípadne opravený balík od výrobcu operačného systému alebo poskytovateľa podpory. PHP aj CERT-EU odporúčajú aktualizovať bezodkladne.
3. Obráťte sa na poskytovateľa hostingu
Ak web spravuje externá agentúra alebo hostingová spoločnosť, vyžiadajte si potvrdenie, akú verziu PHP systém používa a či už bola bezpečnostná oprava nasadená.
4. Po aktualizácii reštartujte príslušné procesy
Pri aktualizácii je potrebné postupovať podľa pokynov dodávateľa a zabezpečiť, aby webové servery a PHP procesy skutočne začali používať opravenú verziu.
5. Skontrolujte známky možného napadnutia
Aktualizácia zabráni ďalšiemu zneužívaniu zraniteľnosti, ale neodstráni škodlivý kód, ktorý sa mohol do systému dostať pred jej nasadením. Správcovia by preto mali preveriť serverové a aplikačné záznamy, nezvyčajné zmeny súborov, nové používateľské účty, neštandardné procesy a podozrivú sieťovú komunikáciu.
6. Nespoliehajte sa iba na firewall
Pravidlá webového aplikačného firewallu môžu znížiť riziko niektorých spôsobov útoku, ale neposkytujú úplnú ochranu. Vývojári PHP upozorňujú, že úplným riešením je aktualizácia.
7. Ak aktualizácia nie je možná, obmedzte dostupnosť systému
Ak firma nedokáže zraniteľný systém okamžite opraviť, CERT-EU odporúča zvážiť jeho izolovanie od verejných sietí, kým nebude oprava nasadená a overená.
