Dvě kritické bezpečnostní zranitelnosti v programovacím jazyce PHP vyvolaly v říjnu 2026 rozsáhlá bezpečnostní opatření. Některé instituce preventivně odstavily své webové stránky, aby mohly provést potřebné aktualizace. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zároveň vyzval provozovatele zranitelných systémů k okamžitému nasazení oprav.

Případ ale upozorňuje na mnohem širší problém než na samotnou chybu v programovacím jazyce. Bezpečnostní zranitelnosti jsou běžnou součástí vývoje softwaru. Zásadně se však mění rychlost, s jakou je dnes možné je odhalovat a následně zneužívat. Významnou roli v tom hraje umělá inteligence.

Na aktuální situaci se podívali také lektoři GOPAS Roman Bouchner a William Ischanoe. Jejich pohled ukazuje, proč už organizace nemohou přistupovat k aktualizacím a ochraně svých systémů stejně jako dříve.

Co se stalo a proč jsou zranitelnosti PHP tak závažné?

PHP je programovací jazyk používaný především pro tvorbu a provoz webových aplikací. Stojí na něm velké množství firemních prezentací, e-shopů i redakčních systémů. Zranitelnost přímo v jeho jádru proto může mít podstatně širší dopad než chyba v jedné konkrétní webové aplikaci.

V říjnu 2026 byly zveřejněny dvě kritické zranitelnosti označované jako PHP2Shell. Za určitých podmínek umožňují útočníkovi vzdáleně spustit vlastní kód na zranitelném serveru, a to bez předchozího přihlášení. Následky mohou zahrnovat neoprávněný přístup k datům, kompromitaci dalších aplikací nebo ohrožení systémů, které jsou se serverem propojené.

Závažnost situace spočívá také v rozsahu zasaženého prostředí. PHP využívá významná část webů na internetu a ne všechny provozované instalace lze jednoduše aktualizovat. Zejména u starších systémů může být přechod na podporovanou verzi technicky náročný a vyžadovat důkladné testování.

„To, že se v softwaru objevují bezpečnostní chyby, je normální. Co je ale dnes, v době AI, zásadně jiné, je především rychlost, s jakou lze tyto chyby zneužít,“ upozorňuje Roman Bouchner, lektor GOPAS.

AI pomáhá chyby hledat. Stejně tak může pomáhat útočníkům

Umělá inteligence přináší do kybernetické bezpečnosti nové možnosti. Bezpečnostním specialistům pomáhá analyzovat rozsáhlé části zdrojového kódu, hledat neobvyklé vzory a identifikovat slabá místa, která by při běžné kontrole mohla zůstat skrytá.

Stejná schopnost ale může posloužit také útočníkům. AI jim může usnadnit analýzu zveřejněných bezpečnostních oprav, pochopení principu zranitelnosti a přípravu nástrojů k jejímu zneužití. Část práce, která dříve vyžadovala značné odborné znalosti a čas, se tak může výrazně urychlit.

William Ischanoe, lektor GOPAS, upozorňuje, že AI se při hledání bezpečnostních problémů využívá stále častěji. Podstatné přitom není pouze to, že dokáže odhalovat chyby, ale také to, jak rychle se mohou informace o těchto chybách proměnit v praktický nástroj pro útok.

Dostupnější nástroje navíc snižují vstupní bariéru pro méně zkušené útočníky. K provedení některých útoků už nemusí být potřeba tak hluboké technické znalosti jako dříve. To rozšiřuje okruh potenciálních útočníků a zvyšuje tlak na organizace, které musí své systémy chránit.

AI tak není sama o sobě ani zárukou bezpečnosti, ani automatickou hrozbou. Rozhodující je, kdo ji používá, s jakým cílem a jak rychle dokáže druhá strana reagovat.

dodatečně vlepená citace: „AI dokáže rychleji odhalit díry v programech i tam, kde to člověk nevidí desítky let. Stejnou AI používáme i pro zabezpečení, protože dokáže najít určité vzory útočníků. To nejdůležitější pro pochopení závažnosti je ale to, jak se AI zneužívá k útokům.“ dodává William Ischanoe, lektor GOPAS.

Největší problém může nastat až po zveřejnění opravy

Vydání bezpečnostní aktualizace je zásadním krokem k ochraně systému. Současně však může útočníkům poskytnout důležité informace. Porovnáním opravené a původní verze softwaru mohou odhalit, jaký problém výrobce řešil a jakým způsobem by jej bylo možné zneužít.

Organizace, které aktualizace instalují až v rámci pravidelných servisních oken nebo po zdlouhavém schvalování, se tak mohou dostat do nevýhodné situace. Oprava je již dostupná, ale jejich systémy zůstávají zranitelné.

„Dříve měli náskok především ti, kteří měli přístup k takzvaným zero-day zranitelnostem, tedy k možnostem zneužití ještě před vydáním opravy. Dnes je velkým problémem také zneužívání zranitelností bezprostředně po zveřejnění aktualizace,“ vysvětluje William Ischanoe.

Podle Romana Bouchnera je proto nutné reagovat co nejrychleji. Čím déle zůstává zranitelný systém vystavený internetu, tím větší prostor mohou útočníci získat.

Nejde přitom pouze o rychlost samotného stažení aktualizace. Organizace musí vědět, jaké verze softwaru skutečně používají, kde se nacházejí jejich systémy a kdo odpovídá za jejich zabezpečení. Bez těchto informací může být i naléhavá výzva k aktualizaci obtížně proveditelná.

dodatečně vlepená citace:„Dnes máme hlavní problém u zneužívání zranitelností ihned po vydání aktualizace. Vzhledem k tomu, že firmy mají omezené lidské zdroje a daný harmonogram, kdy dochází k další aplikaci záplat, se nám otevírají dveře a každý den prodlení vysoce zvyšuje pravděpodobnost, že na nás někdo zaútočí.“ říká William Ischanoe, lektor z GOPASu.

Zastaralé systémy představují riziko i pro jinak dobře zabezpečené firmy

Dalším problémem jsou starší instalace PHP, u nichž již skončila standardní podpora. Přechod na novější verzi může vyžadovat úpravy aplikací, testování kompatibility i koordinaci s dodavateli. Právě proto některé organizace modernizaci dlouhodobě odkládají.

Takový postup však vytváří bezpečnostní dluh, který se může projevit ve chvíli, kdy se objeví kritická zranitelnost.

„Na světě stále existuje obrovské množství instalací provozovaných na starších verzích PHP, u nichž může být přechod na novější verzi komplikovaný a časově náročný. Právě tyto systémy mohou představovat významné bezpečnostní riziko,“ upozorňuje Roman Bouchner.

Problém navíc nemusí být na první pohled patrný. Provozovatel webu může pravidelně aktualizovat svůj redakční systém, ale samotné PHP, na kterém aplikace běží, může zůstávat zastaralé. Aktualizace webové aplikace přitom automaticky neznamená opravu zranitelnosti v její podkladové infrastruktuře.

Důležitá je také odpovědnost jednotlivých stran. O webovou aplikaci se může starat externí agentura, zatímco server spravuje hostingová společnost a interní IT tým zajišťuje návaznost na firemní systémy. Pokud není jasně stanoveno, kdo sleduje bezpečnostní aktualizace a kdo je nasazuje, může kritická oprava zbytečně čekat.

Bezpečnost není jen otázkou technologií

Případ PHP2Shell ukazuje, že ani velká organizace není automaticky v bezpečí jen proto, že má rozsáhlé IT oddělení nebo využívá moderní bezpečnostní nástroje.

Rozhodující jsou také procesy, odpovědnosti a schopnost reagovat na nové hrozby. Aktualizace se mohou odkládat kvůli nedostatku lidí, obavám z výpadku nebo závislostem mezi jednotlivými systémy. Právě v těchto prodlevách vzniká prostor pro útočníky.

William Ischanoe upozorňuje, že organizace často vycházejí z představy, že velká firma musí mít všechny bezpečnostní procesy dokonale ošetřené. Ve skutečnosti však i zde rozhodují konkrétní lidé, jejich znalosti, nastavené postupy a schopnost řešit problémy včas.

Vedle technických opatření je proto důležité průběžně vzdělávat IT specialisty, správce infrastruktury i další zaměstnance, kteří se podílejí na provozu a zabezpečení systémů. Potřebují rozumět nejen jednotlivým technologiím, ale také tomu, jak útočníci postupují a jak se jejich možnosti mění.

Co si z případu odnést?

Aktuální zranitelnosti PHP jsou připomínkou, že kybernetická bezpečnost není jednorázový úkol, který lze vyřešit instalací antiviru nebo pravidelnou aktualizací webu. Vyžaduje soustavnou práci s celým prostředím, ve kterém aplikace fungují.

Organizace by měly především:

• udržovat přehled o používaných verzích PHP a dalšího softwaru;
• sledovat bezpečnostní upozornění a vyhodnocovat jejich dopad na vlastní systémy;
• mít jasně stanovené odpovědnosti za instalaci aktualizací a ověřování jejich účinnosti;
• minimalizovat prodlevy mezi zveřejněním kritické opravy a jejím nasazením;
• kontrolovat nejen samotné aplikace, ale také servery, hostingové prostředí a návazné systémy;
• průběžně rozvíjet odborné znalosti v oblasti kybernetické bezpečnosti a využití AI při obraně i útocích.

Bezpečnostní chyby ze softwaru nezmizí. Organizace ale mohou výrazně ovlivnit, jak dobře jsou připravené na jejich odhalení a jak rychle dokážou reagovat.

Právě v tom spočívá jeden z největších rozdílů současné kybernetické bezpečnosti: nestačí vědět, že aktualizace existuje. Je nutné pochopit její význam, vyhodnotit riziko a jednat dříve, než získají náskok útočníci.