Ministerstvo vnútra odstavilo web, NBÚ varuje pred hrozbou
Ministerstvo vnútra dočasne odstavilo svoj web pre kritickú zraniteľnosť v PHP
Ministerstvo vnútra SR v stredu dočasne odstavilo svoje webové sídlo v súvislosti s preventívnymi bezpečnostnými opatreniami proti kritickým zraniteľnostiam technológie PHP. Odstávka má trvať približne hodinu. Rezort zároveň zdôraznil, že samotné odhalenie bezpečnostnej slabiny ešte neznamená, že došlo ku kybernetickému útoku alebo úniku údajov.
NBÚ označil situáciu za vážnu, vyzval na okamžitú prípravu opatrení
Na kritické bezpečnostné zraniteľnosti programovacieho jazyka PHP upozornil v stredu aj Národný bezpečnostný úrad (NBÚ). Situáciu označil za vážnu a vyžadujúcu okamžitú prípravu. Na sociálnej sieti informoval, že mimoriadne bezpečnostné opravy zatiaľ neboli dostupné a ich vydanie sa očakávalo v stredu o 16.00 h slovenského času.
Podľa úradu ide o dve zraniteľnosti označené ako CVE-2026-109618 a CVE-2026-109619. Prevádzkovateľov systémov vyzval, aby bezodkladne identifikovali všetky systémy využívajúce PHP, ktoré sú dostupné z internetu alebo iných nedôveryhodných sietí. Medzi odporúčané opatrenia zaradil prípravu izolácie alebo odstavenia systémov, ktoré nebude možné rýchlo aktualizovať, zváženie dočasných mitigácií, ako je vypnutie session.upload_progress a obmedzenie multipart/form-data tam, kde je to prevádzkovo možné, zabezpečenie externého zberu a uchovávania logov či prípravu a testovanie postupu aktualizácie, reštartu a redeployu ešte pred vydaním opráv. Úrad taktiež upozornil na kontajnery, appliances, embedded administračné rozhrania a produkty tretích strán používajúce PHP.
Podľa analytikov už verejne dostupný výskum opisuje funkčné zneužitie minimálne jednej z odhalených zraniteľností. Rozsiahle aktívne zneužívanie v reálnej prevádzke však zatiaľ potvrdené nebolo. „Toto nie je situácia typu opravíme neskôr – tento týždeň,“ upozornil NBÚ a vyzval prevádzkovateľov, aby sa na nasadenie opráv pripravili ešte v priebehu stredy.
Preventívne opatrenia prijali aj ďalšie európske krajiny
Podobné preventívne opatrenia prijímali aj vlády v ďalších častiach Európy a sveta. K dočasnému odstaveniu internetových stránok pristúpili napríklad vládne úrady v Nemecku, Francúzsku, Holandsku a Fínsku. Francúzske ministerstvo vnútra v stredu oznámilo, že počas čakania na bezpečnostnú aktualizáciu preventívne odstavilo webové stránky úradov štátnej správy vo francúzskych departementoch. Fínsky štátny poskytovateľ informačných technológií Valtori zase informoval o preventívnom odstavení verejných internetových služieb tamojšej vlády.
Vývojári PHP vydali bezpečnostnú aktualizáciu
Vývojári programovacieho jazyka PHP informovali o dvoch kritických bezpečnostných slabinách už v utorok. Následne sa objavili správy, podľa ktorých sa hackeri pokúšajú tieto chyby zneužiť na útoky proti webovým stránkam. V stredu popoludní vývojári oznámili, že vydali bezpečnostnú aktualizáciu, ktorá odhalené zraniteľnosti opravuje, a používateľom dôrazne odporučili jej okamžitú inštaláciu.
PHP využívajú stovky miliónov webových stránok
Rozsah potenciálneho rizika súvisí aj s mimoriadne širokým využívaním programovacieho jazyka PHP. Funguje na ňom veľká časť internetu – od jednoduchých blogov cez rozsiahle spravodajské portály až po veľké internetové obchody. „PHP je všade,“ uviedla spoločnosť Huntress, ktorá pôsobí v oblasti kybernetickej bezpečnosti. Tento programovací jazyk využíva okrem iného aj populárny nástroj na tvorbu webových stránok WordPress. Podľa odhadov odborníkov WordPress na celom svete poháňa približne 400 až 500 miliónov webových stránok.
