Kritické zraniteľnosti PHP zverejnené v októbri 2026 mohli umožniť vzdialené spustenie kódu bez prihlásenia, preto bolo potrebné aktualizovať samotné serverové prostredie. Aktualizovaný WordPress či silné heslo takúto chybu neopravujú. Bezpečnosť firemného webu potrebuje viac vrstiev: opravený server, udržiavanú aplikáciu, chránené účty a pravidelný dohľad.
Pre majiteľa firmy nie je najdôležitejšie poznať vnútorné fungovanie programovacieho jazyka. Potrebuje vedieť, či jeho web používa dotknuté prostredie, kto vykonal opravu a či po nej fungujú objednávky alebo formuláre. Práve rozdelenie zodpovednosti medzi poskytovateľa hostingu, tvorcu webu a klienta rozhoduje o tom, či sa bezpečnostné oznámenie premení na konkrétnu reakciu.
Aké zraniteľnosti boli nájdené v PHP?
PHP je programovací jazyk používaný na serverovej strane mnohých webov. Jeho kód sa vykonáva v serverovom prostredí. Oficiálny projekt 21. októbra oznámil chyby označené CVE-2026-109618 a CVE-2026-109619. Identifikátor CVE slúži na jednoznačné pomenovanie zraniteľnosti. Opravy vyšli vo verziách PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12.
Technické oznámenia opisujú problémy so správou pamäte a vnútorným stavom pri spracovaní požiadaviek. Prvý súvisel so správaním pri nedostatku pamäte, druhý so stavom pretrvávajúcim po uvoľnení pamäte. Projekt uvádza nahlasovateľov aj vývojárov opráv; nejde o chyby, ktoré by musel do svojho webu osobitne vložiť jeho autor.
Uvedené verzie označujú opravy z 21. októbra; pri nasadení zohľadnite aj následné upozornenia PHP a aktuálne balíky svojho dodávateľa.
Projekt PHP upozornil na riziko pre inštalácie obsluhujúce webové požiadavky. Najvyššie riziko uviedol pri konfigurácii Apache mod_php. Overený útok pri tejto konfigurácii prebehol ešte pred vykonaním aplikačného kódu. To vysvetľuje, prečo kontrola samotných pluginov nemohla nahradiť opravu prostredia.
Čo by úspešné zneužitie znamenalo pre firmu?
Vzdialené spustenie kódu znamená, že útočník môže za splnených podmienok vykonávať vlastné operácie s oprávneniami napadnutého procesu. Dôsledky závisia od oprávnení, oddelenia služieb a dostupných údajov. Nemožno preto tvrdiť, že každý web na PHP bol automaticky napadnutý alebo že každý server umožňoval rovnaký zásah.
Pre podnikanie by prípadný incident mohol znamenať zmenu obsahu, narušenie dostupnosti alebo ohrozenie údajov, ku ktorým má aplikácia prístup. Výpadok kontaktného formulára môže zastaviť dopyty; problém v e-shope zas objednávky. Ide o možné obchodné následky úspešného útoku, nie o tvrdenie, že sa tieto situácie stali klientom Path-UP.
Samotná fungujúca titulná stránka neposkytuje dostatočnú odpoveď na otázku, či je web v poriadku. Rovnako nestačí upozornenie „všetko je aktualizované“, ak nevieme, ktorej vrstvy sa týka. Od správcu žiadajte konkrétne potvrdenie opravy a overenie dôležitých funkcií vášho webu.
Ako pri ochrane klientov postupuje Path-UP
Všetky weby vytvorené spoločnosťou Path-UP s. r. o. sú podľa vyjadrenia spoločnosti spravované a sledované prostredníctvom špecializovaného monitoringu. Tento monitoring poskytuje Path-UP každému svojmu klientovi bezplatne. Priebežný dohľad je súčasťou starostlivosti o web aj po jeho nasadení, keď sa technológie a bezpečnostné hrozby ďalej menia.
V súvislosti s októbrovými zraniteľnosťami PHP spoločnosť Path-UP uvádza, že všetky hostingové prostredia, v ktorých bežia weby jej klientov, boli aktualizované ihneď po zverejnení bezpečnostných záplat. Spoločnosť zároveň potvrdzuje, že preventívne bezpečnostné opatrenia prijala ešte pred vydaním týchto záplat. Konkrétne ochranné nastavenia klientskych systémov verejne nezverejňujeme.
Pri prevencii treba zachovať presnosť: samotný projekt PHP označuje aktualizáciu za úplné riešenie a dočasné opatrenia iba za zníženie niektorých rizík. Predbežná reakcia preto neznamená, že neopravený systém bol úplne chránený. Dôležitá je nadväznosť prevencie, nasadenia opravy a kontroly prevádzky.
Bezpečnostná história klientskych webov
Spoločnosť Path-UP s. r. o. k dátumu vydania tohto článku uvádza, že weby, ktoré vytvorila pre svojich klientov, neboli počas celej svojej existencie od nasadenia ani raz úspešne napadnuté ani znefunkčnené v dôsledku hackerského útoku. Toto vyjadrenie sa týka doterajšej histórie klientskych webov; neznamená, že na ne nikto neskúšal útočiť, ani nezaručuje rovnaký výsledok navždy.
Pre klienta má táto história význam v spojení s pokračujúcou starostlivosťou. Bezpečnosť sa nedá uzavrieť pri odovzdaní stránky. Path-UP preto prepája tvorbu riešenia s dohľadom a údržbou. Prevádzkové informácie o monitoringu, zásahoch a bezpečnostnej histórii v tejto časti vychádzajú z vyjadrenia spoločnosti poskytnutého 1. novembra 2026.
Bezpečný back-end je iba jedna časť ochrany
Back-end je serverová časť webu, ktorá spracúva údaje a zabezpečuje jeho funkcie. Aj po jeho aktualizácii zostávajú dôležité používateľské účty, redakčný systém, doplnky a každodenná správa. Jedna správne udržiavaná vrstva nerieši slabiny všetkých ostatných. Zodpovednosť preto musí byť pomenovaná pre každú časť.
Path-UP s. r. o. ponúka zabezpečenie webstránok, ktoré zahŕňa monitoring, aktualizácie a ďalšie ochranné opatrenia. Pri rozhovore o bezpečnosti je užitočné posudzovať celý životný cyklus webu: kto upozornenie zachytí, kto rozhodne o zásahu a kto overí výsledok. Samotný názov bezpečnostného nástroja tieto úlohy nevyrieši.
Silné heslá a multifaktorová autentifikácia
Pre každý dôležitý účet používajte dlhé a jedinečné heslo. Heslá ukladajte do správcu hesiel. Zdieľané firemné heslo posielané cez správy komplikuje kontrolu prístupov. Každý správca má mať vlastný účet s primeranými oprávneniami; pri odchode človeka z tímu treba jeho prístup vyriešiť aj na hostingu a v súvisiacich službách.
Multifaktorová autentifikácia, skrátene MFA, overuje používateľa pomocou viacerých nezávislých faktorov. OWASP zdôrazňuje, že dve heslá nie sú dva rôzne faktory. K heslu môžete podľa možností služby pridať overenie autentifikačnou aplikáciou alebo bezpečnostným kľúčom. Zároveň bezpečne uložte obnovovacie údaje a pripravte postup pri strate zariadenia.
MFA chráni prihlasovanie; nezapláta chybu PHP dostupnú bez prihlásenia. Naopak, opravené PHP nevyrieši únik opakovane používaného hesla. Tieto opatrenia sa dopĺňajú. Pri výbere riešenia preto potrebujete aj vysvetlenie, proti akému riziku konkrétna ochrana pomáha a kto sa o ňu stará.
Aktualizovať treba aj riešenia vytvorené na mieru
Priebežná údržba sa netýka len softvéru a pluginov od tretích strán. Patrí do nej aj vlastný kód, knižnice a doplnky, ktoré spoločnosť Path-UP pripravila klientom na mieru. Individuálny vývoj nie je automatickou imunitou proti chybám. Pri zmene prostredia treba preveriť aj jeho kompatibilitu a správanie.
V rámci správy klientskych webov Path-UP aktualizuje aj vlastné doplnky vyvinuté na mieru. Ich pôvod nemení potrebu dohľadu: aj vlastné riešenie musí zostať udržiavané spolu s ostatnými časťami webu.
Po zásahu má zmysel prejsť hlavné úlohy: prihlásenie, odoslanie formulára, prijatie správy či test objednávky. Určte, kto túto kontrolu potvrdí. Záloha a pripravený postup obnovy pomáhajú riešiť problémy, ale nie sú dôvodom na odklad bezpečnostnej opravy. Potrebujete plán, ktorý spája ochranu s fungujúcou prevádzkou.
Čo si môžete overiť u svojho správcu?
- Prostredie: potvrďte nasadenie opráv PHP a uplatnenie následných odporúčaní dodávateľa.
- Zodpovednosť: určte, kto rieši hosting, aplikáciu a vlastné doplnky.
- Prístupy: preverte jedinečné heslá, MFA a obnovu účtov.
- Dohľad: zistite, kto dostáva upozornenia a zabezpečí reakciu.
- Overenie: nechajte skontrolovať dôležité funkcie po aktualizácii.
Ak tieto odpovede nemáte, Path-UP poskytuje aj analýzu webstránok, ktorej súčasťou je posúdenie bezpečnosti a ochrany dát. Pripravte adresu webu a dostupné informácie o jeho správe. Verejne ani cez bežný formulár neposielajte heslá alebo iné tajné údaje.
Októbrové zraniteľnosti pripomenuli, že ochrana webu je priebežná služba. Bezplatný monitoring klientskych webov Path-UP, včasné aktualizácie a zodpovedná správa prístupov tvoria súvisiace časti tejto práce. Pre firmu je podstatné vedieť, že jej web má konkrétneho správcu a dohodnutú reakciu aj po spustení.
Chcem preveriť bezpečnosť a správu svojho webu
Použité zdroje
- PHP: oficiálne bezpečnostné oznámenie z 21. októbra 2026 a následné upozornenia
- PHP: oznámenie CVE-2026-109618
- PHP: oznámenie CVE-2026-109619
- OWASP: multifaktorová autentifikácia
- OWASP: bezpečné prihlasovanie a správa hesiel