Hackeri získajú heslá aj adresy. Expert vysvetľuje, čo napadnú bez opravy PHP webu
Kritické diery v PHP ohrozujú weby, NBÚ vydal naliehavé varovanie
PHP patrí k najrozšírenejším programovacím jazykom a slúži na prevádzku webových stránok a aplikácií. Celosvetovo ho používa viac ako šesť miliónov stránok, na Slovensku viac ako stotisíc. Problém sa tak týka širokého spektra webov a predstavuje riziko pre verejný aj súkromný sektor.
Národný bezpečnostný úrad (NBÚ) vydal ešte v stredu pred poludním pre PHP kritické bezpečnostné upozornenie. Spomínal v ňom dve kritické zraniteľnosti – CVE-2026-109618 a CVE-2026-109619 so skóre až 9,2 z 10. Prevádzkovateľov webov vystríhal, aby konali bezodkladne, nečakali na opravy „celý týždeň“ a odstavili dotknuté systémy ešte pred zverejnením informácií o zraniteľnostiach. Odporučil, aby druhým krokom boli aktualizácie a až po zabezpečení systémov ich opätovné sprístupnenie.
V dôsledku rizika odstavili v stredu dočasne svoje systémy viaceré štátne weby. Medzi nimi stránku Úradu vlády Slovenskej republiky, Centrálny register zmlúv aj Centrálny register projektov. Preventívne vyplo svoje webové sídlo aj ministerstvo vnútra a Železničná spoločnosť Slovensko (ZSSK).
Zástupca riaditeľa Národného centra kybernetickej bezpečnosti NBÚ Milan Pikula pre ta3 priblížil, že k preventívnemu odstaveniu webových stránok viedla závažnosť situácie. Podľa jeho slov bola zraniteľnosť koordinovane naplánovaná na odhalenie v stredu vo večerných hodinách a existoval silný predpoklad, že útočníci ju začnú zneužívať prakticky minúty po oznámení.
Expert na kybernetickú bezpečnosť a riaditeľ spoločnosti Cyllium Andrej Mišura pre Pravdu uviedol, že ide o vzdialené spustenie kódu bez overenia totožnosti, odborne označované ako RCE. Podľa jeho slov je to najhorší typ zraniteľnosti, aký môže webový server mať. Útočník nepotrebuje heslo, účet ani pomoc zvnútra, stačí mu poslať na server špeciálne pripravenú požiadavku.
Mišura upozornil, že riziko sa týka prakticky každej stránky postavenej na PHP. Podľa výskumníkov sa zraniteľný kód objavuje už v PHP 5.4 z roku 2012, teda viac ako desať rokov vývoja až po aktuálne PHP 8. Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Najväčšiu obavu má zo starých, už nepodporovaných verzií, ktorých je na Slovensku v praxi veľa.
Podľa experta môže útočník po zneužití zraniteľnosti získať kontrolu nad serverom s právami webovej aplikácie. Vie čítať databázu, kradnúť prihlasovacie údaje a kľúče, meniť obsah stránky, podstrčiť návštevníkom škodlivý kód a zo servera sa pokúsiť dostať ďalej do vnútornej siete organizácie.
V prípade e-shopov Mišura varoval pred úplným prevzatím servera. Útočník už s právami aplikácie získa prístup k databáze zákazníkov – menám, adresám, telefónnym číslam, e-mailom, histórii objednávok a často aj heslám, ak nie sú správne chránené. Častým scenárom je aj podvrhnutie platobného formulára, pri ktorom údaje z platobnej karty získa útočník.
NBÚ odporúča prevádzkovateľom, ktorí sa o probléme dozvedeli neskôr, bezodkladne odstaviť zraniteľné webové stránky a preveriť, či nedošlo k zneužitiu zraniteľnosti. Ak sa potvrdí bezpečnostný incident, je potrebné ho nahlásiť Národnému centru kybernetickej bezpečnosti, nainštalovať bezpečnostné aktualizácie, skontrolovať integritu systému a až po odstránení rizík obnoviť prevádzku.
