Kvůli dírám v PHP mizí weby z internetu. Ohrožené je i vaše domácí úložiště
Dvojice chyb v PHP, které se přezdívá PHP2Shell, umožňuje útočníkovi spustit kód na serveru bez přihlášení. Správci po celém světě proto weby raději vypínají a bezpečnostní agentura NSA jim to doporučuje. Problém se týká i síťových úložišť Synology, QNAP nebo TerraMaster.
Pokud vám tenhle týden přestal fungovat nějaký web nebo jste místo stránky narazili na strohé oznámení o odstávce, nejspíš za to nemůže ani porucha, ani útok. Správci serverů po celém světě své weby vypínají dobrovolně a preventivně. Důvodem je dvojice chyb v PHP, tedy v jazyce, na kterém podle Server 9to5Mac běží zhruba sedmdesát procent všech webových stránek.
Obě zranitelnosti dostaly souhrnné označení PHP2Shell a v katalozích je najdete pod čísly CVE-2026-109618 a CVE-2026-109619. Samy o sobě nejsou nijak dramatické, dohromady ale podle AppleInsider umožňují útočníkovi spustit na postiženém serveru vlastní kód, a to bez jakéhokoli přihlášení. Odtud je pak krok k souborovému systému nebo k databázi, tedy k osobním údajům, které web uchovává.
Historie objevu je svým způsobem symptomatická pro rok 2026. Chybu našly zhruba ve stejnou chvíli modely umělé inteligence a nezávislý bezpečnostní výzkumník, a to už v polovině srpna. Zveřejnění se pak odkládalo, aby nadace PHP Foundation stihla připravit opravu. Embargo ovšem nevydrželo: podrobnosti unikly dva dny před jeho koncem.
Tím se rozjel závod, který trvá dodnes. Americká NSA ve středu 21. října doporučila všem organizacím používajícím PHP, aby se připravily na aktualizaci, a u nezáplatovaných serverů rovnou radila vypnout je do doby, než bude oprava nasazená. PHP Foundation vydala téhož dne opravy pro verze 8.2 až 8.5. Amazon Web Services pak ve čtvrtek oznámil, že se zranitelnosti zneužívají „v širokém měřítku“ napříč internetem.
Že nejde o planý poplach, dokládá ještě jeden údaj. Amazon podle AppleInsideru zachytil první pokus o zneužití už 17. října, tedy čtyři dny před oficiálním zveřejněním chyby. Útočníci tak měli náskok ve chvíli, kdy většina správců o problému ještě vůbec nevěděla.
A teď k té části, která se týká i běžných domácností. Síťová úložiště, zkráceně NAS, jsou v drtivé většině případů malé servery s webovým rozhraním a PHP uvnitř. Pokud máte takovou krabičku vystavenou do internetu, abyste se ke svým datům dostali odkudkoli, patříte mezi potenciální cíle. A ne každý výrobce má zatím opravu hotovou.
Nejdál je Synology. Jeho upozornění SA-26-14 zmiňuje PHP ve verzích 7.3 až 8.4 a dále balíčky Mail Station a Synology Calendar; aktualizované verze PHP 8.2 a 8.4 jsou k dispozici přes Centrum balíčků i z archivu ke stažení. Firma zároveň uvádí, že PHP zabudované přímo v systému DiskStation Manager není útoku zvenčí vystavené. Některé další balíčky ale záplatované nejsou, takže se vyplatí seznam projít.
QNAP vydal upozornění QSA-26-18, ve kterém mezi zasažené řadí QTS 5.2.11 a starší, QTS 6.1.0, několik verzí QuTS hero a QuTScloud a aplikaci Note Station 3. Opravy jsou podle firmy „v přípravě“ bez konkrétního termínu. TerraMaster problém uznal po dotazu uživatele na Redditu, jemuž na modelu F2-425 běželo správcovské rozhraní na PHP 7.4.33, a situaci vyšetřuje. U značek Ugreen a Asustor se redakci AppleInsideru stav opravy ověřit nepodařilo.
Co s tím dělat prakticky? Zkontrolujte si na stránkách výrobce upozornění pro svůj konkrétní model a nainstalujte dostupné aktualizace PHP. Pokud na úložišti provozujete kontejnery Docker, podívejte se i do nich – verze PHP uvnitř kontejneru se aktualizací systému neopraví a kontejner je obvykle potřeba vytvořit znovu. QNAP na to výslovně upozorňuje.
Pokud aktualizovat nejde, zbývá omezit přístup. Vypněte přesměrování portů a UPnP, zrušte veřejnou dostupnost správcovského rozhraní a ke svým datům se zvenčí připojujte přes VPN. Zařízení, která už výrobce nepodporuje, z internetu odstavte úplně – blokování nevyžádaných příchozích spojení vám místní přístup k datům nijak neomezí. A nakonec si projděte protokoly, protože aktualizace nevyřeší průnik, ke kterému už došlo.
Pro pořádek ještě jedno upřesnění, protože se to tento týden plete. S chybou v PHP nijak nesouvisí problém s webovými certifikáty, kvůli kterému Apple zablokoval osm slabých certifikátů. Jsou to dvě nezávislé věci, které se jen nešťastně potkaly v jednom týdnu.
Na závěr věc, která uživatele Macu potěší jen částečně. macOS ani iOS samy o sobě postižené nejsou, protože PHP v nich jako služba neběží. Jenže to je slabá útěcha ve chvíli, kdy vaše data leží na serveru někoho jiného. Tahle zranitelnost je typickou ukázkou toho, že bezpečnost vlastního zařízení je jen jedna polovina rovnice.
Zdroje: 9to5Mac, AppleInsider
