PHP patrí medzi najpoužívanejšie technológie na internete. Poháňa množstvo webových stránok, e-shopov, redakčných systémov aj firemných aplikácií. Práve preto môžu mať kritické bezpečnostné chyby v tomto prostredí rozsiahly dosah.
Národný bezpečnostný úrad (NBÚ) upozorňuje na dve závažné zraniteľnosti PHP označené ako CVE-2026-109618 a CVE-2026-109619. Obe dosiahli hodnotenie CVSS v4.0 9,2 z 10, čo ich radí medzi kritické bezpečnostné riziká.
Pre prevádzkovateľov webov a serverov je teraz dôležité pripraviť sa na aktualizáciu a zabezpečiť, aby sa bezpečnostná oprava dostala do produkčného prostredia čo najskôr.
Čo tieto zraniteľnosti znamenajú?
Podľa dostupných bezpečnostných informácií môžu chyby umožniť vzdialenému útočníkovi spustiť na zraniteľnom serveri vlastný kód. Takýto scenár predstavuje vážne riziko pre webové stránky, aplikácie aj infraštruktúru, na ktorej sú prevádzkované.
Riziko sa netýka iba WordPressu. PHP sa používa aj v ďalších redakčných systémoch, e-shopových platformách, podnikových aplikáciách a niektorých administrátorských rozhraniach zariadení.
Bezpečnostný problém sa môže týkať aj systémov, pri ktorých si prevádzkovateľ nemusí uvedomovať, že v pozadí využívajú PHP. Presný rozsah zasiahnutých verzií a opravené vydania je potrebné overiť podľa oficiálneho oznámenia vývojového tímu PHP.
Čo by mali správcovia serverov urobiť?
Kým nie sú dostupné a nasadené príslušné opravy, odporúčame venovať pozornosť najmä nasledujúcim krokom:
- Skontrolovať používanú verziu PHP. Zmapovať webové stránky, aplikácie, kontajnery a ďalšie služby, ktoré PHP využívajú.
- Pripraviť bezpečnostnú aktualizáciu. Overiť spôsob aktualizácie PHP na serveri a pripraviť nasadenie opravy hneď po jej oficiálnom vydaní.
- Zvážiť dočasné ochranné opatrenia. Podľa odporúčaní NBÚ možno na vhodných systémoch vypnúť funkciu
session.upload_progressnastavenímsession.upload_progress.enabled=0. Na službách, ktoré nepotrebujú nahrávanie súborov, možno zvážiť aj dočasné obmedzenie požiadaviek typumultipart/form-data. - Skontrolovať logy a prevádzku. Venovať pozornosť neobvyklým požiadavkám, chybám procesov a podozrivej aktivite.
- Nezabudnúť na nepodporované verzie. Pri starších verziách PHP nemusí byť oficiálna oprava dostupná. V takom prípade treba riešiť migráciu, podporovanú bezpečnostnú opravu alebo obmedzenie dostupnosti zraniteľnej služby.
Zásahy do konfigurácie je potrebné vykonávať s ohľadom na konkrétnu aplikáciu. Dočasné opatrenia nenahrádzajú bezpečnostnú aktualizáciu.
Nestačí aktualizovať WordPress alebo pluginy
Dôležité je rozlišovať medzi aktualizáciou samotnej webovej aplikácie a aktualizáciou PHP, ktoré ju spúšťa.
Aktualizácia WordPressu, jeho šablón či pluginov automaticky neopraví zraniteľnosť v PHP runtime. Ak sa oprava týka PHP, je potrebné aktualizovať príslušné prostredie a podľa spôsobu prevádzky reštartovať alebo obnoviť súvisiace procesy, napríklad PHP-FPM, prípadne aktualizovať používané kontajnery.
Po aktualizácii je vhodné overiť funkčnosť webových stránok, dostupnosť služieb a správnu verziu PHP.
Ako k bezpečnosti pristupuje NANOCOM?
V NANOCOM považujeme priebežné sledovanie bezpečnostných rizík za neoddeliteľnú súčasť správy webov a serverovej infraštruktúry.
Na kritické zraniteľnosti PHP sme reagovali a bezpečnostné záplaty sú už nasadené na nami spravovanej infraštruktúre. Bezpečnostný stav našich systémov priebežne monitorujeme a dbáme na včasné nasadzovanie dostupných aktualizácií.
Bezpečnosť však nie je jednorazová úloha. Je to nepretržitý proces, ktorý zahŕňa monitoring, pravidelné aktualizácie a kontrolu správneho fungovania služieb.
Potrebujete preveriť zabezpečenie svojho webu alebo servera?
NANOCOM poskytuje služby v oblasti webov, hostingu, serverovej infraštruktúry a IT správy. Pomôžeme vám identifikovať bezpečnostné riziká a nastaviť vhodný postup aktualizácií a údržby.
Zdroje: