Kritické diery v PHP ohrozujú tisíce slovenských webov
Programovací jazyk PHP patrí medzi najrozšírenejšie technológie na prevádzku webových stránok a aplikácií. Celosvetovo ho používa viac ako šesť miliónov stránok, na Slovensku viac ako stotisíc. Najnovšie bezpečnostné varovanie Národného bezpečnostného úradu (NBÚ) preto predstavuje riziko pre verejný aj súkromný sektor.
NBÚ vydal kritické upozornenie
Národný bezpečnostný úrad vydal v stredu pred poludním pre PHP kritické bezpečnostné upozornenie. Uviedol v ňom dve konkrétne zraniteľnosti s označením CVE-2026-109618 a CVE-2026-109619 so skóre až 9,2 z 10. Prevádzkovateľov webov vyzval, aby konali bezodkladne, nečakali na opravy celý týždeň a odstavili dotknuté systémy ešte pred zverejnením informácií o zraniteľnostiach. Ako ďalší krok odporučil aktualizácie a až po zabezpečení systémov ich opätovné sprístupnenie.
„Neaktualizované systémy môžu byť vystavené útokom, pričom útočníci využívajú aj nástroje umelej inteligencie na automatizáciu vyhľadávania zraniteľných systémov a ich hromadné zneužívanie. Samotné nasadenie bezpečnostnej aktualizácie nestačí, ak už útočník zraniteľnosť zneužil,“ uviedla hovorkyňa NBÚ Kristína Petro Garaiová.
Štátne weby preventívne vypnuté
V dôsledku rizika odstavili v stredu dočasne svoje systémy viaceré štátne weby. Medzi nimi stránku Úradu vlády Slovenskej republiky, Centrálny register zmlúv aj Centrálny register projektov. Preventívne vyplo svoje webové sídlo aj ministerstvo vnútra a Železničná spoločnosť Slovensko.
Zástupca riaditeľa Národného centra kybernetickej bezpečnosti NBÚ Milan Pikula pre ta3 uviedol, že k preventívnemu odstaveniu webových stránok viedla závažnosť situácie. „To, že tá zraniteľnosť bola koordinovane naplánovaná na odhalenie včera vo večerných hodinách, o 16. hodine nášho času, bol veľmi silný predpoklad, že útočníci to začnú zneužívať prakticky minúty po oznámení. To sa nakoniec aj potvrdilo. S pomocou umelej inteligencie vzniklo niekoľko stránok na internete, kde dnes si človek vie stiahnuť útočný kód a hneď ho použiť,“ vysvetlil.
Najhorší typ zraniteľnosti
Expert na kybernetickú bezpečnosť a riaditeľ spoločnosti Cyllium Andrej Mišura priblížil, že ide o vzdialené spustenie kódu bez overenia totožnosti, odborne označované ako RCE. „To je najhorší typ zraniteľnosti, aký môže webový server mať. Útočník nepotrebuje heslo, účet ani pomoc zvnútra. Stačí mu poslať na server špeciálne pripravenú požiadavku,“ uviedol.
Kto chybu zneužije, podľa Mišuru získa kontrolu nad serverom s právami webovej aplikácie. Vie čítať databázu, kradnúť prihlasovacie údaje a kľúče, meniť obsah stránky, podstrčiť návštevníkom škodlivý kód a zo servera sa pokúsiť dostať ďalej do vnútornej siete organizácie.
Riziko sa týka prakticky každej stránky
Podľa Mišuru sa zraniteľný kód objavuje už v PHP 5.4 z roku 2012, teda viac ako desať rokov vývoja až po aktuálne PHP 8. Americká agentúra CISA uvádza, že sa chyby týkajú všetkých inštalácií PHP, ktoré obsluhujú webové požiadavky. Nezáleží na tom, či ide o WordPress, e-shop alebo aplikáciu napísanú na mieru.
Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre verzie 7.4 až 8.1 vydal tím PHP len minimálne opravy zdrojového kódu, pre PHP 7.3 a staršie oprava nevyjde vôbec. „Najväčšiu obavu mám zo starých, už nepodporovaných verzií, ktorých na Slovensku v praxi vidím veľa,“ dodal expert.
E-shopom hrozí únik údajov aj podvrhnutie platieb
Výskumníci potvrdili, že útok funguje bez prihlásenia aj proti konkrétnym verziám bežných systémov ako WordPress, Drupal, Joomla či e-shopová platforma Magento. Najhorší realistický scenár je podľa Mišuru úplné prevzatie servera. Útočník získa prístup k databáze zákazníkov vrátane mien, adries, telefónnych čísel, e-mailov a histórie objednávok.
Častým scenárom pri e-shopoch je podvrhnutie platobného formulára. Zákazník si nič nevšimne, ale údaje z jeho platobnej karty získa útočník. Môže tiež meniť objednávky, presmerovať platby na iný účet alebo server zašifrovať a žiadať výkupné. Pre majiteľa to znamená povinnosť hlásiť únik osobných údajov podľa GDPR a pri vysokom riziku aj informovať dotknutých zákazníkov.
Oprava nestačí, treba overiť aj prienik
Mišura upozornil, že ak útočník na server medzitým prenikol, samotná oprava nestačí. Mohol tam zanechať zadné vrátka, ktoré fungujú aj po aktualizácii. Preto odporúča po oprave preveriť aj to, či k prieniku nedošlo. Ak sa bezpečnostný incident potvrdí, treba ho nahlásiť Národnému centru kybernetickej bezpečnosti.
Do budúcnosti expert očakáva ďalšie podobné prípady. Výskumné tímy, ktoré chyby odhalili, pri práci využili umelú inteligenciu. Tá podľa neho nezmenila to, že chyby existovali, ale to, ako rýchlo ich dokážeme nájsť a pochopiť, ako sa dajú zneužiť. Ďalšie nálezy očakáva najmä v rozšírených open source komponentoch, na ktorých stojí internet.
