Dvě kritické bezpečnostní chyby v programovacím jazyce PHP vyvolaly před pár dny rozsáhlá bezpečnostní opatření. Některé instituce preventivně odstavily své webové stránky (například Úřad vlády ČR), aby mohly provést potřebné aktualizace. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zároveň vyzval provozovatele zranitelných systémů k okamžitému nasazení oprav.

Případ ale upozorňuje na mnohem širší problém než na samotnou chybu v programovacím jazyce. Bezpečnostní zranitelnosti jsou běžnou součástí vývoje softwaru. Zásadně se však mění rychlost, s jakou je dnes možné je odhalovat a následně zneužívat. Významnou roli v tom hraje umělá inteligence.

Na aktuální situaci se podíval také odborný konzultant a lektor GOPASu William Ischanoe a Roman Bouchner, vývojář a softwarový architekt s dvacetiletou praxí ze světa backendu i frontendu.

 Jejich pohled ukazuje, proč už organizace nemohou přistupovat k aktualizacím a ochraně svých systémů stejně jako dříve.

Co se stalo a proč jsou zranitelnosti PHP tak závažné?

Dvě zranitelnosti označované jako PHP2Shell umožňují za určitých podmínek vzdáleně spustit vlastní kód na serveru bez předchozího přihlášení. Útočník tak může získat přístup k datům a případně ohrozit i další systémy propojené s napadeným serverem.

„Jde o dvě kritické chyby v samotném jazyce PHP, na kterém běží sedm z deseti webů na světě. Útočník je může zneužít bez hesla a bez přihlášení jediným požadavkem a převzít kontrolu nad webem, nad daty, ke kterým se web dostane, a na sdíleném hostingu i nad ostatními weby na stejném serveru,“ vysvětluje William Ischanoe, lektor GOPAS.

U firem může útok zasáhnout i vnitřní síť, pokud je web propojený s dalšími systémy organizace.

Aktuální WordPress ještě neznamená bezpečný web

Pravidelná aktualizace webové aplikace automaticky nezaručuje bezpečnost celého systému. Pokud je zranitelnost přímo v PHP, aktualizace WordPressu nebo e-shopu ji sama neopraví. Problémem jsou také starší verze PHP, pro které už nemusí být dostupné bezpečnostní opravy.

„Nejčastější omyl je, že stačí mít aktuální WordPress nebo e-shop. Tahle chyba je o patro níž, v PHP, a aktualizace aplikace ji neopraví. Čtvrtina internetu navíc běží na verzích PHP, pro které oprava nikdy nevyjde,“ upozorňuje William Ischanoe.

Přechod na novější verzi může být technicky náročný, a proto jej některé organizace odkládají. Tím ale zvyšují bezpečnostní riziko.

„Na světě stále existuje obrovské množství instalací provozovaných na starších verzích PHP, u nichž může být přechod na novější verzi komplikovaný a časově náročný. Právě tyto systémy mohou představovat významné bezpečnostní riziko,“ doplňuje Roman Bouchner, lektor GOPAS.

AI pomáhá chyby hledat. Stejně tak může pomáhat útočníkům

Umělá inteligence dokáže bezpečnostním specialistům pomáhat při hledání zranitelností. Stejné možnosti ale mají i útočníci, kteří mohou AI využít k analýze oprav a rychlejší přípravě útoků.

„Zajímavostí je, že chybu pomohla objevit umělá inteligence a ta stejně rychle zrychluje i druhou stranu: první útoky se objevily čtyři dny před zveřejněním a veřejné ukázky zneužití hodiny před vydáním opravy,“ říká William Ischanoe.

AI tak může posílit obranu i útok. Rozhodující je, kdo ji využívá a jak rychle dokáže reagovat na nově odhalené hrozby.

Proč už nestačí aktualizovat v přiměřené lhůtě

Zveřejněná bezpečnostní oprava může útočníkům napovědět, jakou chybu mají hledat. Organizace, které aktualizace odkládají na pravidelná servisní okna, tak mohou zůstat zranitelné právě ve chvíli, kdy se o problému dozví celý svět.

„To, co dříve trvalo dny a vyžadovalo zkušené specialisty, lze dnes zvládnout v řádu hodin, možná i minut. Pokud se objeví podobná bezpečnostní chyba, je zásadní aktualizovat software co nejrychleji. Každá minuta může hrát roli,“ upozorňuje Roman Bouchner.

Základem je mít přehled o používaném softwaru, jasně určené odpovědnosti a funkční procesy pro nasazování bezpečnostních oprav.

Praktické znalosti pomáhají držet krok s útočníky

Samotné technologie nestačí. IT specialisté a správci systémů musí rozumět také metodám, které útočníci používají, a vědět, jak se jejich postupy mění.

„Na kurzech etického hackingu adminy a IT Security učíme v praktických ukázkách zneužívání AI právě proto, aby lépe poznali, co se tak zásadně změnilo – že doba, kdy firma mohla záplatu nasadit ‚v přiměřené lhůtě‘, skončila,“ říká William Ischanoe.

Network Security – Etický hacking v praxi - seznámíte se s metodami útoků na počítačové sítě a servery. Toto pětidenní školení je velice intenzivní a zaměřené na praxi. Nejbližší termín proběhne již od 2. listopadu. 

Zabezpečení webových aplikací v PHP - naučíte se odhalovat a předcházet běžným bezpečnostním zranitelnostem PHP aplikací. Toto školení je dvoudenní a první nejbližší termín začíná 21. prosince. 

Zranitelnosti webových aplikací 2 - Útoky proti serverům - tento kurz volně navazuje na Zranitelnosti webových aplikací 1 - Útoky proti uživatelům. Na tomto pokročilém školení se seznámíte s metodami útoků na servery a vyzkoušíte si, jak lze jejich zranitelnosti zneužít. Pětidenní navazující kurz začíná již 30. listopadu.

Programování PHP v praxi - zdokonalíte se v zabezpečení webových aplikací, prevenci běžných zranitelností a bezpečné práci s citlivými daty. Tento kurz trvá dva dny a nebližší termín proběhne v půlce února 2027. 

Co si z případu odnést?

Provozovatelé webů by měli především:

• zjistit, na jaké verzi PHP jejich web skutečně běží;

• ověřit dostupnost opravy a co nejrychleji ji nasadit;

• prověřit server z hlediska možného napadení, včetně období před zveřejněním zranitelností;

• ověřit, kdo odpovídá za aktualizace webu, serveru a související infrastruktury.

Samotná instalace opravy nemusí stačit, pokud útočník získal přístup už dříve.

Aktuální zranitelnosti PHP připomínají, že kybernetická bezpečnost vyžaduje průběžnou péči, rychlé reakce a aktuální odborné znalosti. V době AI je stále důležitější rozumět nejen používaným technologiím, ale také tomu, jak je mohou využít útočníci.

Mohlo by vás zajímat

• Nové termíny webináře IT Ráno ZDARMA » ZDE
• Plánované IT odborné konference » ZDE
• Kurzy si můžete zopakovat ZDARMA v rámci GARANCE VĚDOMOSTÍ
• Získejte výhody z IT Klubu » ZDE