Dvě kritické bezpečnostní zranitelnosti v programovacím jazyce PHP vyvolaly celosvětovou vlnu hackerských útoků. Podle společnosti Cloudflare se počet pokusů o zneužití chyb vyšplhal během několika hodin na miliony. Banky, aerolinky i státní instituce preventivně odstavují své internetové služby, zatímco vývojáři urychleně instalují bezpečnostní aktualizace.
Hackeři spustili miliony útoků během několika hodin
Problém způsobily dvě závažné zranitelnosti označené CVE-2026-109618 a CVE-2026-109619. Obě získaly bezpečnostní hodnocení 9,2 z 10 a mohou útočníkům umožnit vzdálené spuštění škodlivého kódu na serverech bez nutnosti přihlášení.
Chyby, které v softwaru existovaly několik let, byly podle agentury Reuters odhaleny pomocí umělé inteligence. Jejich zveřejnění však zároveň odstartovalo závod mezi správci serverů a hackery.
Rozsah problému ilustrují data společnosti Cloudflare. Její generální ředitel Matthew Prince uvedl, že ještě před oficiálním oznámením zaznamenala síť tisíce pokusů o zneužití. Během prvních 45 minut po zveřejnění jejich počet vzrostl na desítky tisíc, během dvou hodin na stovky tisíc a následně na miliony.
Neznamená to ovšem, že všechny útoky byly úspěšné. Údaje především ukazují, jak rychle dokážou útočníci reagovat na nově zveřejněné bezpečnostní slabiny.
Banky a státní instituce preventivně vypínají služby
Dopady bezpečnostního incidentu se projevily zejména v Japonsku. Finanční skupina Mitsubishi UFJ, makléřská společnost Nomura, aerolinky ANA i železniční dopravce East Japan Railway dočasně omezily některé internetové služby.
Podobná opatření přijaly také japonské státní úřady. Ve Finsku musely být preventivně odstaveny některé vládní weby a francouzský telekomunikační operátor Orange omezil přístup k části svých aplikací.
Čínské ministerstvo průmyslu vyzvalo organizace k okamžité kontrole systémů, zatímco Jižní Korea zvýšila stupeň kybernetické pohotovosti.
Vývojáři PHP mezitím vydali opravené verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Evropská agentura ENISA doporučuje jejich bezodkladnou instalaci, zejména u veřejně dostupných serverů.
Incident se může týkat také webů postavených na WordPressu, který PHP využívá. Samotná aktualizace WordPressu přitom nestačí, protože zranitelnost se nachází přímo v programovacím jazyce.
