Situácia v kybernetickom svete bola tento týždeň mimoriadne vážna a napätá. Pozornosť všetkých bezpečnostných expertov, správcov serverov a majiteľov webov sa upriamila na 21. október 2026, kedy celý digitálny svet s napätím očakával vydanie kritických bezpečnostných záplat pre programovací jazyk PHP.
Bezpečnostný tím PHP a Národné centrum kybernetickej bezpečnosti SK-CERT varujú pred dvoma kritickými zraniteľnosťami v jazyku PHP, ktoré sú označené ako CVE-2026-109618 a CVE-2026-109619. Tieto zraniteľnosti získali mimoriadne vysoké skóre rizikovosti CVSS v4.0 s hodnotou 9,2 z 10 a týkajú sa obrovského množstva webov po celom svete, keďže väčšina webových aplikácií a systémov (vrátane WordPressu) funguje práve na PHP. Oficiálne varovanie a technické detaily zverejnil aj slovenský úrad SK-CERT: Oficiálne varovanie SK-CERT o kritických zraniteľnostiach v PHP
Prečo toľko paniky kvôli jednému jazyku?
Dôvod je jednoduchý: PHP nie je len okrajová technológia. Je to absolútny pilier moderného internetu. Podľa najcitovanejšieho analytického zdroja pre webové technológie W3Techs beží na jazyku PHP približne 69,3 % až 70 % všetkých webstránok na svete, pri ktorých je známy ich serverový programovací jazyk. Je to „motor“, na ktorom fungujú najpopulárnejšie redakčné systémy ako WordPress (ktorý sám osebe poháňa takmer polovicu internetu), Drupal, Joomla a nespočetné množstvo e-shopov a vlastných webových aplikácií. Akékoľvek ohrozenie PHP je preto priamym ohrozením pre drvivú väčšinu internetu a potenciálne aj pre váš web.
Nová éra kyberhrozieb: Keď útočníkom pomáha umelá inteligencia
Prečo sa takéto vážne trhliny v jadre internetu objavujú a prečo sú stále nebezpečnejšie? Odpoveď musíme hľadať v prebiehajúcej technologickej revolúcii: v masívnom nástupe umelej inteligencie (AI). AI zmenila pravidlá hry na oboch stranách barikády, no nateraz sa zdá, že dáva silnejšie zbrane do rúk útočníkom. Nástup AI znamená, že čas na reakciu sa pre správcov webov drasticky skrátil. Už si nemôžeme dovoliť čakať. Zraniteľnosti sú objavované a zneužívané rýchlejšie ako kedykoľvek predtým, čo potvrdzujú aj bezpečnostné chyby označené ako CVE-2026-109618 a CVE-2026-109619.
Ako hrozba funguje a aké sú riziká?
Vzdialené spustenie kódu (RCE): Zraniteľnosť umožňuje vzdialenému útočníkovi bez akéhokoľvek prihlásenia alebo oprávnenia spustiť na serveri vlastný škodlivý kód a prevziať kontrolu nad webovým systémom.
Ochranou nie je samotná aktualizácia WordPressu: Bezpečnostná spoločnosť Wordfence zdôrazňuje, že samotná aktualizácia WordPressu túto chybu neodstráni. Problém sa nachádza priamo v serverovom interpreteri PHP a útoky môžu prebehnúť ešte skôr, než sa WordPress vôbec začne načítavať.
Zasiahnuté verzie: Chyba sa týka širokého spektra verzií – v podstate všetkých neopravených inštalácií od verzie PHP 5.0 až po súčasné.
Aktuálna situácia vo svete: Podľa spoločnosti Wordfence, ktorá chráni viac ako 5 miliónov webov, firewall už zachytil desiatky tisíc pokusov o testovanie a zneužitie tejto zraniteľnosti.
Ktoré verzie PHP obsahujú oficiálne opravy?
Bezpečnostné opravy boli oficiálne vydané pre podporované vetvy PHP v týchto presných verziách:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Čo ak používate staršie PHP (napr. PHP 8.1 alebo 7.4)?
Pre staršie a nepodporované verzie PHP vývojári oficiálne opravené balíky nevydávajú. Podľa bezpečnostných odporúčaní SK-CERT nie je ponechanie zraniteľnej verzie bez nápravy akceptovateľné a staršie systémy je potrebné migrovať na novšiu verziu, prípadne využiť bezpečnostné záplaty (backporty) od zmluvného dodávateľa či hostingového poskytovateľa.
Ako reagovali slovenské hostingy?
Kvalitní hostingoví poskytovatelia zasiahli veľmi rýchlo a situáciu aktívne vyriešili priamo na serverovej úrovni:
Websupport: Administrátori serverov úspešne aplikovali bezpečnostné záplaty (patche) na všetky verzie PHP od 5.6 vyššie, ktoré majú vo svojej ponuke dostupné. Úprava prebehla bez nutnosti odstávky webstránok. Pozrite si oficiálne hlásenie o vyriešení od Websupportu
Hostcreators: Rovnako prijal okamžité preventívne opatrenia na úrovni infraštruktúry a o vykonaných krokoch a podrobnostiach informuje svojich zákazníkov.
Je váš web v poriadku?
Ak bežíte na týchto hostingoch, váš web bol pred touto konkrétnou hrozbou zabezpečený priamo na úrovni servera. Ak je váš web prevádzkovaný u iného hostingového poskytovateľa, odporúčam preveriť si priamo u ich zákazníckej podpory, či už boli bezpečnostné záplaty pre PHP na vašom serveri nasadené.
Prečo by ste aj tak mali plánovať prechod na novšie PHP?
Hoci niektoré hostingové spoločnosti nateraz aplikovali bezpečnostný backport aj pre staršie verzie, z dlhodobého hľadiska je prechod na novšie verzie PHP nevyhnutný:
Riziko budúcich zraniteľností: Pri ďalších bezpečnostných chybách už nemusí byť technicky možné vytvoriť vlastnú opravenú záplatu pre nepodporovanú verziu.
Kompatibilita s WordPressom a pluginmi: Vývojári pluginov a tém postupne ukončujú podporu pre PHP 8.1 a staršie. Bez aktualizácie PHP vám časom prestanú fungovať aktualizácie a web môže spadnúť.
Vyšší výkon a rýchlosť: Novšie verzie PHP fungujú efektívnejšie, čo zrýchľuje načítavanie webstránky.
Odporúčané kroky pre majiteľov webov
Overte si verziu PHP: Vo WordPresse v časti Nástroje -> Zdravie webu -> Informácie -> Server si skontrolujte, akú verziu PHP váš web využíva.
Aktualizáciu PHP vykonávajte uvážene a bezpečne: Navýšenie PHP verzie na hostingu vyžaduje predchádzajúcu kompletnú zálohu webu, aktualizáciu pluginov a tém a následné otestovanie kompatibility kódu, aby nedošlo k výpadku webu.
Zvážte pravidelnú správu webu: Bezpečnostný monitoring, pravidelné zálohovanie a odborná údržba predchádzajú výpadkom a chránia vaše podnikanie pred budúcimi rizikami.
Potrebujete preveriť bezpečnosť vášho webu alebo pomôcť s bezpečným prechodom na novú verziu PHP? Neváhajte ma kontaktovať!
