Dvě chyby v základech webové infrastruktury
Vývojáři PHP zveřejnili 21. října 2026 mimořádné bezpečnostní aktualizace opravující zranitelnosti CVE-2026-109618 a CVE-2026-109619. Obě získaly hodnocení závažnosti 9,2 z 10 podle metodiky CVSS 4.0 a společně jsou označovány jako PHP2Shell.
PHP patří mezi nejrozšířenější serverové programovací jazyky. Využívají jej redakční systémy, e-commerce platformy, zákaznické portály i specializované finanční aplikace. Problém se přitom netýká pouze jednotlivých webových stránek, ale samotného prostředí, ve kterém aplikace běží.
První zranitelnost souvisí s nesprávným zpracováním situací, kdy aplikaci dojde dostupná paměť. Druhá vzniká při práci s interním stavem PHP, kdy může program přistupovat k již uvolněné paměti. V obou případech může útočník za určitých podmínek prostřednictvím speciálně vytvořeného požadavku dosáhnout spuštění vlastního kódu na serveru.
Útok navíc nemusí vyžadovat uživatelský účet ani znalost přihlašovacích údajů. Podle PHP Foundation je riziko obzvlášť vysoké u konfigurace Apache s modulem mod_php, kde se podařilo demonstrovat zneužití ještě před spuštěním samotného aplikačního kódu.
Finanční instituce začaly preventivně vypínat služby
Dopady zveřejnění zranitelností se rychle přenesly mimo technologický sektor. Podle agentury Reuters přistoupily 22. října k dočasnému omezení některých internetových služeb japonské finanční skupiny Mitsubishi UFJ Financial Group a Nomura. Preventivní opatření přijala také pojišťovna Tokio Marine Holdings.
Konkrétní dopady lze sledovat u společnosti Nomura Investor Relations, která oznámila dočasné odstavení služby MIR@I určené pro distribuci informací institucionálním investorům a analytikům. Společnost Nomura Asset Management rovněž preventivně pozastavila provoz svého webu a následně začala služby postupně obnovovat. Podle jejího vyjádření nebylo zjištěno zneužití zranitelnosti ani únik informací.
Podobná opatření přijaly veřejné instituce napříč Evropou a Asií. Výpadky tak v mnoha případech nebyly důsledkem úspěšného kybernetického útoku, ale rozhodnutím provozovatelů dočasně omezit dostupnost služeb, dokud nebudou jejich systémy zabezpečené.
Z pohledu finančního sektoru jde především o problém provozní kontinuity. I preventivní odstávka může omezit přístup klientů k informacím, správě účtů nebo dalším digitálním službám.
Miliony pokusů o útok. První aktivita předcházela zveřejnění oprav
Situaci komplikuje skutečnost, že informace o zranitelnostech unikly před plánovaným zveřejněním bezpečnostních aktualizací. Společnost Amazon Web Services uvedla, že první pokus o zneužití PHP2Shell zaznamenala prostřednictvím své monitorovací infrastruktury MadPot již 17. října, tedy čtyři dny před zveřejněním oprav.
Aktivita útočníků následně výrazně zesílila. Cloudflare podle informací zveřejněných agenturou Reuters zaznamenal během deseti hodin před veřejným oznámením tisíce pokusů o zneužití. Krátce po zveřejnění jejich množství vzrostlo na desetitisíce, následně statisíce a nakonec miliony. Tyto údaje ovšem představují zaznamenané pokusy o útok, nikoliv potvrzené úspěšné průniky. K 22. říjnu nebyly ve výše uvedených případech finančních institucí doloženy úspěšné kompromitace jejich systémů související s PHP2Shell.
Zajímavou součástí případu je také role umělé inteligence. Na identifikaci a analýze zranitelností se podíleli bezpečnostní výzkumníci s využitím AI nástrojů. Stejná technologie ale může zkracovat dobu potřebnou k analýze zveřejněných oprav a přípravě funkčních exploitů. Provozovatelům kritických systémů se tak zmenšuje časový prostor mezi zveřejněním zranitelnosti a jejím potenciálním zneužitím.
Finanční sektor řeší nejen bezpečnost, ale i regulatorní povinnosti
Pro evropské finanční instituce mají podobné incidenty také regulatorní rozměr. Od ledna 2025 se uplatňuje evropské nařízení Digital Operational Resilience Act (DORA), které stanovuje požadavky na řízení informačních a komunikačních rizik, provozní odolnost a kontrolu technologických dodavatelů. PHP2Shell ukazuje, proč je důležité sledovat nejen vlastní aplikace, ale také závislosti na externím softwaru, hostingových službách a dalších technologických dodavatelích.
Zjištění kritické zranitelnosti samo o sobě automaticky neznamená povinnost hlásit bezpečnostní incident. Pokud však dojde k závažnému narušení provozu nebo bezpečnosti, mohou dotčeným finančním institucím vzniknout povinnosti podle pravidel DORA. Evropská agentura ENISA společně s CERT-EU a dalšími institucemi vyzvala provozovatele k okamžitému nasazení bezpečnostních aktualizací. Stejné doporučení vydal český Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Opravené verze PHP jsou 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Starší nepodporované větve vyžadují migraci nebo odpovídající bezpečnostní řešení od dodavatele. Bezpečnostní odborníci zároveň doporučují prověřit systémové záznamy a hledat známky případného napadení ještě před instalací oprav.