Kritické diery v PHP ohrozujú milióny webov, NBÚ vydal naliehavé varovanie
Programovací jazyk PHP patrí k najrozšírenejším technológiám na prevádzku webových stránok a aplikácií. Celosvetovo ho používa viac ako šesť miliónov stránok, na Slovensku viac ako stotisíc. Odhalené kritické zraniteľnosti preto predstavujú riziko pre verejný aj súkromný sektor.
Národný bezpečnostný úrad (NBÚ) vydal v stredu pred poludním kritické bezpečnostné upozornenie. Uviedol v ňom dve zraniteľnosti s označením CVE-2026-109618 a CVE-2026-109619 so skóre až 9,2 z 10. Prevádzkovateľov webov vyzval, aby konali bezodkladne, nečakali na opravy celý týždeň a dotknuté systémy odstavili ešte pred zverejnením informácií o zraniteľnostiach. Až druhým krokom majú byť aktualizácie a po zabezpečení systémov ich opätovné sprístupnenie.
„Neaktualizované systémy môžu byť vystavené útokom, pričom útočníci využívajú aj nástroje umelej inteligencie na automatizáciu vyhľadávania zraniteľných systémov a ich hromadné zneužívanie. Samotné nasadenie bezpečnostnej aktualizácie nestačí, ak už útočník zraniteľnosť zneužil,“ uviedla hovorkyňa NBÚ Kristína Petro Garaiová.
Štátne weby preventívne odstavili
V dôsledku rizika odstavili v stredu dočasne svoje systémy viaceré štátne weby. Medzi nimi stránku Úradu vlády Slovenskej republiky, Centrálny register zmlúv aj Centrálny register projektov. Preventívne vyplo svoje webové sídlo aj ministerstvo vnútra a Železničná spoločnosť Slovensko.
Zástupca riaditeľa Národného centra kybernetickej bezpečnosti NBÚ Milan Pikula pre ta3 uviedol, že k preventívnemu odstaveniu viedla závažnosť situácie. „To, že tá zraniteľnosť bola koordinovane naplánovaná na odhalenie včera vo večerných hodinách, o 16. hodine nášho času, bol veľmi silný predpoklad, že útočníci to začnú zneužívať prakticky minúty po oznámení. To sa nakoniec aj potvrdilo,“ vysvetlil.
Expert: Útočník získa kontrolu nad serverom
Zakladateľ a riaditeľ spoločnosti Cyllium Andrej Mišura, ktorý pôsobí ako expert a manažér na kybernetickú bezpečnosť, priblížil, že ide o vzdialené spustenie kódu bez overenia totožnosti, odborne označované ako RCE. „To je najhorší typ zraniteľnosti, aký môže webový server mať. Útočník nepotrebuje heslo, účet ani pomoc zvnútra. Stačí mu poslať na server špeciálne pripravenú požiadavku,“ uviedol.
Kto chybu zneužije, podľa neho získa kontrolu nad serverom s právami webovej aplikácie. „Vie čítať databázu, kradnúť prihlasovacie údaje a kľúče, meniť obsah stránky, podstrčiť návštevníkom škodlivý kód a zo servera sa pokúsiť dostať ďalej do vnútornej siete organizácie,“ dodal.
Riziko sa podľa Mišuru týka prakticky každej stránky postavenej na PHP. „Nezáleží na tom, či ide o WordPress, e-shop alebo aplikáciu napísanú na mieru: chyba je v samotnom interpreti PHP, nie v konkrétnom systéme nad ním.“ Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre verzie 7.3 a staršie oprava nevyjde vôbec.
Najhorší scenár pre e-shop
Pri zraniteľnom e-shope môže útočník podľa Mišuru získať prístup k databáze zákazníkov vrátane mien, adries, telefónnych čísel, e-mailov a histórie objednávok. „Veľmi častým scenárom pri e-shopoch je podvrhnutie platobného formulára. Zákazník si nič nevšimne, nakúpi ako vždy, ale údaje z jeho platobnej karty získa útočník.“ Pre majiteľa to znamená povinnosť hlásiť únik osobných údajov podľa GDPR a možné pokuty.
NBÚ odporúča prevádzkovateľom, ktorí sa o probléme dozvedeli neskôr, bezodkladne odstaviť zraniteľné stránky a preveriť, či nedošlo k zneužitiu. „Ak sa potvrdí alebo zistí bezpečnostný incident, je potrebné ho nahlásiť Národnému centru kybernetickej bezpečnosti. Následne je nevyhnutné nainštalovať príslušné bezpečnostné aktualizácie, skontrolovať integritu a bezpečnosť systému a až po odstránení rizík obnoviť prevádzku,“ uviedla hovorkyňa NBÚ.
