PHP má kritické diery, útoky na weby už začali. Opravy sú vonku, čakanie je risk

PHP má kritické diery a útoky na weby už začali. Opravy sú vonku, čakanie je riziko

Vývojári PHP 21. októbra vydali mimoriadne bezpečnostné aktualizácie, ktoré odstraňujú dve kritické zraniteľnosti. Opravené sú verzie 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Bezpečnostný tím vyzýva na ich okamžité nasadenie.

Chyby označované ako CVE-2026-109618 a CVE-2026-109619, známe aj pod názvom PHP2Shell, dostali hodnotenie závažnosti 9,2 z desiatich. Za určitých podmienok umožňujú vzdialené spustenie kódu bez prihlásenia. Útočník tak môže vykonávať vlastné operácie s oprávneniami procesu, ktorý obsluhuje web. Dôsledkom môže byť krádež dostupných údajov, zmena obsahu stránky alebo vytvorenie zadných vrátok.

Nejde už iba o teoretické riziko. Technický riaditeľ Cloudflare Dane Knecht oznámil prvé reálne útoky a nasadenie dočasných ochranných pravidiel. Bezpečnostná spoločnosť Patchstack zase uviedla, že jej prípady aktívneho zneužívania hlásili hostingoví partneri. Podľa Reuters niektoré verejné inštitúcie v Holandsku a vo Fínsku preventívne odstavili weby. Nedostupná stránka preto nemusí znamenať úspešné napadnutie.

Zverejnené technické podrobnosti ukazujú na problémy so správou pamäte. Prvá chyba súvisí so spracovaním situácie, keď PHP nedokáže prideliť potrebnú pamäť. Druhá umožňuje, aby pri obsluhe ďalšej požiadavky zostali dostupné neplatné odkazy na už uvoľnenú pamäť. Obe môžu viesť k spusteniu cudzieho kódu.

Vývojári upozorňujú na riziko pri všetkých inštaláciách PHP obsluhujúcich webové požiadavky. Za najrizikovejšie označujú nasadenie v serveri Apache cez modul mod_php, pri ktorom bol preukázaný útok ešte pred spustením samotnej aplikácie. To však neznamená, že ostatné spôsoby prevádzky sú bezpečné. Konkrétna zneužiteľnosť závisí od konfigurácie, rozšírení a správania aplikácie.

Dosah problému zväčšuje rozšírenosť PHP. Používajú ho WordPress, Drupal, Joomla aj Magento. Ohrozené tak môžu byť blogy, e-shopy, firemné stránky aj verejné služby. Aktualizovať redakčný systém alebo jeho doplnky nestačí, opravu potrebuje samotné PHP na serveri.

Komplikovanejšiu situáciu majú prevádzkovatelia starých verzií. PHP 8.1 a staršie už nemajú bežnú podporu projektu. Niektoré linuxové distribúcie a dodávatelia predĺženej podpory však môžu poskytnúť opravy aj pre staršie balíky. Správca preto musí overiť stav u svojho dodávateľa, prípadne prejsť na podporovanú vetvu.

Firewall môže časť útokov zablokovať, chybu zo servera však neodstráni. CERT-EU odporúča pri nemožnosti rýchlej nápravy zvážiť dočasné oddelenie dotknutých aplikácií od verejného internetu.

Majiteľ webu potrebuje vedieť, kto aktualizáciu zabezpečí a či už bola nasadená. Pri zdieľanom hostingu to spravidla rieši poskytovateľ, pri vlastnom serveri administrátor. Súčasťou zásahu má byť aj kontrola podozrivej aktivity – zaplátanie chyby samo osebe neodstráni následky prípadného skoršieho napadnutia.