Bezpečnostná chyba ohrozuje webové stránky po celom svete. Web odstavilo aj slovenské ministerstvo vnútra

Na závažné bezpečnostné nedostatky upozornili v utorok (20. 10.) vývojári programovacieho jazyka PHP, ktorý sa používa na prevádzku veľkého množstva internetových stránok. Informoval o tom český portál iDNES.cz.

PHP umožňuje webovým serverom vytvárať dynamický obsah stránok, komunikovať s databázami a pripravovať obsah, ktorý sa následne zobrazuje používateľom v internetových prehliadačoch. Odhalené zraniteľnosti však môžu za určitých okolností umožniť útočníkom spúšťať na napadnutých serveroch vlastné príkazy. Prevádzkovatelia webov preto pristupujú k bezpečnostným aktualizáciám a niektorí svoje služby dočasne vypínajú.

Slovenské ministerstvo vnútra preventívne odstavilo web

K preventívnym opatreniam pristúpilo v stredu aj Ministerstvo vnútra SR. Rezort oznámil, že z dôvodu kritických zraniteľností technológie PHP dočasne odstavil svoje webové sídlo. Odstávka mala podľa ministerstva trvať približne jednu hodinu.

„Počas samotnej odstávky bude webové sídlo nedostupné. Technický tím vykoná potrebné bezpečnostné úpravy a pred obnovením prevádzky overí jeho funkčnosť,“ uviedol rezort.

Cieľom opatrenia je podľa ministerstva posilniť ochranu webovej stránky a zabezpečiť jej spoľahlivú prevádzku. Rezort zároveň zdôraznil, že samotné odhalenie bezpečnostnej slabiny ešte neznamená, že sa stal terčom hackerského útoku. „Samotná identifikácia zraniteľnosti neznamená, že došlo ku kybernetickému útoku alebo úniku údajov,“ upozornilo ministerstvo.

NBÚ varuje pred vážnym rizikom

Na bezpečnostné problémy upozornil v stredu aj slovenský Národný bezpečnostný úrad (NBÚ). Situáciu označil za vážnu a prevádzkovateľov webových stránok vyzval, aby prijali konkrétne bezpečnostné opatrenia.

Podobné varovania vydali aj kybernetické bezpečnostné orgány v ďalších krajinách vrátane Spojeného kráľovstva a Japonska. Na problém upozornili tiež európske inštitúcie zaoberajúce sa kybernetickou bezpečnosťou.

Webové služby odstavilo aj pražské letisko

Bezpečnostná hrozba sa dotkla aj susedného Česka. Letisko Václava Havla v Prahe preventívne vyplo časť svojich internetových služieb. Konkrétne ide o službu FlightConnections, ktorá bola dočasne nedostupná pre kritickú zraniteľnosť PHP označovanú ako PHP2Shell. „Radi by sme vás informovali, že služba FlightConnections je v súčasnosti dočasne mimo prevádzky z dôvodu nedávno odhalenej kritickej bezpečnostnej chyby v PHP, známej ako PHP2Shell,“ uviedlo letisko. Prevádzkovateľ zároveň vysvetlil, že službu vypol preventívne, aby ochránil svoju platformu. Obnovenie prevádzky podmienil nasadením a otestovaním bezpečnostnej opravy.

Hackeri sa už pokúšajú zraniteľnosti zneužiť

Britské Národné centrum pre kybernetickú bezpečnosť (NCSC) upozornilo, že odhalená chyba môže útočníkom umožniť vyvolať v PHP stav označovaný ako out-of-memory, teda vyčerpanie dostupnej pamäte. Za určitých okolností by následné poškodenie mohlo viesť k neoprávnenému vzdialenému spusteniu kódu.

Britský úrad preto vyzval organizácie na okamžité prijatie ochranných opatrení. „Ak nie je možné vykonať okamžitú nápravu, organizácie by mali zvážiť odpojenie systému od siete, kým nebude možné riziko úplne odstrániť,“ uviedlo NCSC.

The NCSC has issued an update to the PHP alert reflecting the release of mitigations. We encourage UK organisations to take immediate action. For more information on the issue as well as our guidance, head to⬇️ https://t.co/l6TDtVurJN https://t.co/yuApSzlwSH

— NCSC UK (@NCSC) October 21, 2026

Hrozba pritom nie je iba teoretická. Technický riaditeľ spoločnosti Cloudflare Dane Knecht potvrdil, že firma už zaznamenáva prvé pokusy o útoky. Podľa jeho slov spoločnosť priebežne aktualizuje ochranné opatrenia podľa toho, aké nové spôsoby zneužitia zraniteľností sa objavujú.

PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show up. This is a STOPGAP only. Patch as soon as @ThePHPF releases the update at 14:00 UTC today.

— Dane Knecht ? (@dok2001) October 21, 2026

Čo to znamená pre bežných používateľov?

Samotná bezpečnostná chyba v PHP neohrozuje bežných používateľov internetu priamo. Riziko však môže vzniknúť pri návšteve webovej stránky, ktorú sa útočníkom podarilo napadnúť. Aj preto niektorí prevádzkovatelia pristupujú k preventívnemu vypínaniu služieb, kým nebudú mať istotu, že sú ich systémy dostatočne zabezpečené.

Vývojári PHP už podľa iDNES.cz zverejnili bezpečnostnú aktualizáciu, ktorá má pomôcť odstrániť odhalené nedostatky. Prevádzkovatelia musia potrebné opravy nasadiť a preveriť ich funkčnosť. Dočasné odstávky tak majú predovšetkým zabrániť tomu, aby sa kritické zraniteľnosti stali vstupnou bránou pre kybernetické útoky.