PHP-únik z 21. októbra: čo sa stalo a aký je aktuálny stav

V stredu 21. októbra boli zverejnené dve závažné bezpečnostné chyby v PHP, programovacom jazyku, na ktorom beží prevažná väčšina všetkých webových stránok, vrátane WordPress. Možno ste si niečo všimli, pretože počas časti dňa boli webové stránky u nás nedostupné. V tomto článku zhrnieme, čo sa stalo, ako sme postupovali a aká je aktuálna situácia.

Čo sa stalo?

Chyby (CVE-2026-109618 a CVE-2026-109619) umožňovali neoprávneným osobám spúšťať kód na webovom serveri. Je to prakticky najzávažnejší typ chyby, aký existuje: útočník na to nepotrebuje heslo a týka sa takmer celého internetu.

Ako sme postupovali

1. Dočasné opatreniestreda 21. október, 10:00

   V tom momente bolo známe iba to, že vo všetkých verziách PHP sa nachádzajú dve závažné chyby, so skóre CVE 9,2. Podrobnosti ešte neboli známe a neboli zaznamenané žiadne úspešné útoky, hoci napríklad Cloudflare evidoval čoraz viac pokusov. Keďže podrobnosti o chybe neboli známe, nikto presne nevedel, o čo ide a čo možno urobiť na zníženie rizika. Postupne sa objavovali ďalšie zmierňujúce opatrenia a možné kroky na zníženie rizika. Tie sme vždy ihneď zaviedli, napríklad vypnutie určitých PHP funkcií a opakovanú aktualizáciu firewallu.
   Od 10:00 sme tiež nepretržite spúšťali veľmi prísne kontroly na malvér, aby sme okamžite zistili, ak by niekto na naše servery alebo do účtov našich klientov umiestnil nejaký skript. K tomu nedošlo.

2. Webové stránky offlinestreda 21. október, 15:15

   Hoci sme na našich serveroch nezaznamenali žiadne pokusy o zneužitie, rozhodli sme sa zvoliť najbezpečnejšiu možnosť: všetko dať offline. Hlavným dôvodom boli naše pochybnosti o účinnosti zmierňujúcich opatrení (dočasných riešení), ktoré kolovali na internete, keďže nikto nedokázal potvrdiť, že poskytujú dostatočnú ochranu.
   V situácii s toľkými nejasnosťami a potenciálne obrovskými následkami je niekoľko hodín výpadku ospravedlniteľných; riskovať nie je.

3. Oficiálne riešeniestreda 21. október, 16:00

   Tvorcovia PHP vydali oficiálnu aktualizáciu s opravou pre verzie 8.3, 8.4 a 8.5. Potom sme čakali na aktualizované balíčky od CloudLinux, dodávateľa PHP verzií na našich serveroch.
   Pri zverejnení aktualizácie boli odhalené aj podrobnosti o zraniteľnostiach, čo potvrdilo naše tušenie: známe zmierňujúce opatrenia a dodatočné pravidlá firewallu síce znižovali riziko hackovania, ale nestačili na ochranu servera.

4. Dočasné riešeniestreda 21. október, 19:00

   Bohužiaľ to trvalo oveľa dlhšie, než sme dúfali a očakávali, kým mal CloudLinux aktualizácie pripravené. Z nášho kontaktu s inými poskytovateľmi vyplynulo, že neboli jediní, ktorí boli prekvapení. Keďže sme videli, že už niekoľkokrát nedodržali svoje vlastné stanovené termíny, pracovali sme na dočasnom riešení.
   Sami sme na všetkých našich serveroch nainštalovali verziu PHP 8.3.36 a dočasne na ňu preradili všetkých našich klientov. 90 % webových stránok bolo opäť dostupných medzi 19:00 a 20:30. Jediné webové stránky, ktoré neboli dostupné, boli zastarané a nedokázali fungovať s modernou verziou PHP.

5. Aktualizáciaštvrtok 22. október, 00:30

   Aktualizácie boli sprístupnené a okamžite sme začali s inštaláciou a kontrolou, server po serveri.

6. Vyriešenéštvrtok 22. október, 02:30

   Všetky servery boli aktualizované a všetky webové stránky boli opäť dostupné, na rovnakej verzii PHP, akú používali predtým.

Dobre chápeme, že je nepríjemné, ak je vaša webová stránka počas popoludnia a večera nedostupná. Táto nepríjemnosť však neváži toľko ako možné následky. Nikdy predtým sme nemuseli rozhodnúť o tom, že všetko preventívne dáme offline, ale ak by sa rovnaká situácia zopakovala, urobili by sme presne to isté.

Aká je aktuálna situácia?

• Všetky PHP verzie, ktoré ponúkame, od 5.2 až po 8.5, obsahujú bezpečnostné opravy pre obe chyby.
• Niekoľko webových stránok, ktoré bežali na ešte staršej verzii PHP, pre ktorú neexistuje oprava, sme preradili na opravenú verziu.
• Počas a po objavení chyby sme servery skontrolovali na stopy zneužitia, ako napríklad zasekávajúce sa PHP procesy, podozrivé procesy, nahrané súbory a požiadavky zodpovedajúce známemu útoku. Nenašli sme žiadne náznaky toho, že by chyba bola na našich serveroch zneužitá, a ani pred tým, než sme išli offline, sme nenašli žiadne pokusy o to.

Je moja webová stránka oddelená od webových stránok iných klientov?

Áno. Každý hostingový balík u nás beží vo vlastnom, oddelenom prostredí. PHP beží pod používateľom vášho balíka, bez administrátorských práv na serveri, a nemá prístup k súborom ani databázam iných klientov. Aj využitie procesora a pamäte je obmedzené na úrovni jednotlivého balíka. Ďalšie podrobnosti o našom zabezpečení zámerne nezverejňujeme: čím menej útočník vie, tým lepšie.