Ak ste v stredu večer chceli niečo nájsť v Centrálnom registri zmlúv, pozrieť sa na hlavný web ZSSK alebo otvoriť stránku ministerstva vnútra, mohli ste naraziť na odstávku. Nebol to útok hackerov ani porucha jedného úradu. V ten istý deň vypínali weby v Holandsku, vo Francúzsku, vo Fínsku aj v Dánsku. Sám sa roky starám o weby a servery, takže stredu som nesledoval len zo správ. Skúsim pokojne vysvetliť, čo sa stalo, prečo bolo vypnúť web v tejto situácii rozumné a prečo ľudia, ktorí sa o servery starajú, majú pred sebou veľmi ťažké dni.
Čo je PHP a prečo sa to týka skoro každého
PHP je programovací jazyk, na ktorom beží veľká časť internetu. Keď otvoríte stránku, server ju v PHP poskladá a pošle do prehliadača. Stojí na ňom WordPress, Drupal, Joomla aj Magento, teda systémy, na ktorých bežia weby obcí, škôl, spolkov, malých firiem a e-shopov. Podľa služby W3Techs beží v PHP zhruba sedem z desiatich webov, pri ktorých sa dá jazyk zistiť. Je to voľne dostupný softvér a starajú sa oň z veľkej časti dobrovoľníci. Keď je v ňom vážna chyba, nie je to problém jedného webu, ale skoro celého internetu naraz.
Čo sa naozaj stalo
V stredu 21. októbra vydali vývojári PHP mimoriadne opravy dvoch kritických zraniteľností, ktoré dostali označenie CVE-2026-109618 a CVE-2026-109619 a prezývku PHP2Shell. Obe majú hodnotenie závažnosti 9,2 z 10. V praxi to znamená, že útočník môže na diaľku, bez hesla a bez akejkoľvek chyby v samotnom webe spustiť na serveri vlastný kód. Podľa výskumníkov stačí, aby na serveri bežala zraniteľná verzia PHP, a ohrozená je aj úplne jednoduchá stránka. Chyby sa v kóde skrývali viac ako desať rokov a slovenský SK-CERT uvádza, že sa dajú zneužiť vo všetkých verziách od PHP 5.0 až po súčasnosť.
Národný bezpečnostný úrad vydal varovanie ešte v stredu dopoludnia, keď opravy neboli vonku. Situáciu označil za vážnu a povedal to bez obalu: „Toto nie je situácia typu opravíme neskôr.“ Prevádzkovateľom odporučil zistiť, kde všade im PHP beží, a systémy, ktoré nevedia rýchlo aktualizovať, izolovať alebo odstaviť. Presne to potom spravilo ministerstvo vnútra, ktoré na niekoľko hodín vyplo svoj web, Úrad vlády, ktorý pozastavil viacero webov a elektronických služieb vrátane Centrálneho registra zmlúv a Centrálneho registra projektov, ministerstvo investícií, regionálneho rozvoja a informatizácie aj ZSSK, ktorá odstavila hlavný web, ale online predaj lístkov nechala bežať. Web ministerstva vnútra aj register zmlúv sú už podľa správ opäť dostupné.
Je férové povedať, že odstávka neznamená, že niekto niečo ukradol. Ministerstvá zdôraznili, že nejde o kybernetický útok ani o únik údajov, ale o preventívne opatrenie. Rovnako férové je povedať, že pokoj netreba preháňať. Amazon zachytil prvý pokus o zneužitie na svojej návnadovej sieti už 17. októbra, štyri dni pred zverejnením, a dnes hovorí o rozsiahlom zneužívaní. Úrad, ktorý web na pár hodín vypne, teda nezlyhal. Spravil presne to, čo sa v takej chvíli robiť má.
Prečo to našla umelá inteligencia
Zaujímavé je, kto chyby objavil. Dve bezpečnostné firmy, Wiz a Calif, nezávisle od seba uviedli, že pri tom použili jazykové modely umelej inteligencie. Wiz, ktorý patrí pod Google, opisuje, že AI pomáhala nielen chybu nájsť, ale aj prispôsobiť útok rôznym verziám a nastaveniam PHP. Podľa ich slov by táto ručná práca bola pre človeka náročná a vo veľkom by sa robila ešte ťažšie, s AI to už prekážka nie je.
Je to dobrá aj zlá správa naraz. Dobrá, lebo dieru, ktorá roky ležala v kóde, našli ľudia, ktorí ju nahlásili a dva mesiace s vývojármi pripravovali opravu. Zlá, lebo rovnaké nástroje majú k dispozícii aj tí druhí. Keď je oprava verejná, porovnaním starého a nového kódu sa dá zistiť, kde bola chyba, a s pomocou AI to ide rýchlo. Odborníci preto hovoria o pretekoch, v ktorých ide o to, kto bude skôr: správca s aktualizáciou, alebo útočník.
Prečo majú správcovia serverov ťažký týždeň
Tu prichádza časť, ktorú ľudia mimo IT väčšinou nevidia. Oprava nie je klik na tlačidlo „aktualizovať“ vo WordPresse. Treba aktualizovať samotné PHP na serveri, reštartovať všetky procesy, ktoré s ním bežia, znovu zostaviť kontajnery a skontrolovať aj zariadenia a produkty tretích strán, v ktorých PHP beží skryto. Opravené verzie vyšli len pre štyri podporované rady, od 8.2 po 8.5. Pre PHP 7.4 až 8.1 sú k dispozícii len úpravy zdrojového kódu, ktoré si musí správca zostaviť sám, a staršie verzie od 5.4 po 7.3 opravu nedostanú vôbec. Podľa spoločnosti Censys beží zhruba 1,5 milióna z 2,6 milióna serverov, ktoré svoju verziu PHP prezrádzajú, práve na verzii bez oficiálnej opravy. To nie je práca na jeden večer. Je to sťahovanie celého webu na novú verziu, pri ktorom sa často pokazia staré doplnky. A navrch treba prejsť záznamy od 17. októbra a hľadať, či sa už niekto nedostal dnu.
Inými slovami, devopsáci a správcovia serverov budú mať pekelné obdobie. Kto takého človeka pozná, nech mu tento týždeň donesie kávu a nepýta sa, prečo je ešte stále v práci.
Čo z toho pre bežného človeka
Ak vám niektorý web v najbližších dňoch nepôjde, je dosť možné, že je to práve preto. A je to dobrá správa, nie zlá, horšie by bolo, keby bežal ďalej bez opravy. Ak máte vlastný web, e-shop, stránku spoločenstva vlastníkov, spolku alebo malej firmy, spýtajte sa ešte dnes svojho webmastera alebo hostingu, na akej verzii PHP beží a či je už opravená. Najviac ohrozené sú práve malé weby, o ktoré sa nikto pravidelne nestará a ktoré bežia na zdieľanom hostingu. Veľkí poskytovatelia sa ozývajú sami, slovenský Websupport napríklad oznámil, že opravy nasadí po otestovaní a weby preventívne vypínať neplánuje. Ak sa vám nikto neozval, ozvite sa vy. Kto má web pre ľudí, napríklad obec, škola alebo spoločenstvo, má zodpovednosť aj za údaje, ktoré cez neho ľudia posielajú.
Diera v kóde sedela desať rokov potichu. Teraz o nej vedia všetci naraz, aj tí, ktorí by nemali.
Preto aktualizovať treba dnes, nie zajtra.
Zdroje
- SK-CERT: Kritické zraniteľnosti v PHP, 21. 10. 2026
- TASR: NBÚ upozorňuje na bezpečnostné riziká PHP, 21. 10. 2026
- TASR: Úrad vlády z bezpečnostných dôvodov dočasne pozastavil prevádzku webov, 21. 10. 2026
- Pravda: Vážna bezpečnostná hrozba odstavuje štátne weby
- TA3: Bezpečnostná hrozba zasiahla aj Slovensko
- Košičák: Výpadky webov ZSSK, registra zmlúv a rezortu vnútra
- Websupport: PHP kritické zraniteľnosti, stavová stránka
- Reuters: Government websites go dark after AI-discovered flaw sparks security scramble, 21. 10. 2026
- Wiz Research: PHP2Shell: AI uncovers critical RCE vulnerabilities
- Tenable: PHP2Shell FAQ (opravené verzie, stav zneužívania)
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
