21 października 2026 r. NÚKIB zalecił szybką aktualizację PHP z powodu dwóch krytycznych luk; Úřad vlády České republiky i Český hydrometeorologický ústav tymczasowo wyłączyły część swoich stron.
Narodowy Urząd ds. Cyberbezpieczeństwa i Bezpieczeństwa Informacji (Národní úřad pro kybernetickou a informační bezpečnost, NÚKIB) zalecił 21 października 2026 r. operatorom stron i usług korzystających z języka programowania PHP natychmiastową aktualizację. Powodem są dwie krytyczne luki, określane łącznie jako php2shell, które pozwalają atakującemu zdalnie uruchomić własny kod na serwerze bez logowania. Poprawki i informacje potrzebne do wykorzystania błędów są publicznie dostępne. Poprawione wersje to PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12.[1][2][3]
Programiści zostali poinformowani o błędach 20 października 2026 r., po czym pojawiły się doniesienia o próbach ich wykorzystania. Według Lupa.cz odkryła je firma zajmująca się bezpieczeństwem Wiz, a błędy były ukryte w kodzie od ponad dziesięciu lat.[1][3]
Úřad vlády České republiky tymczasowo wyłączył swoją stronę prewencyjnie 21 października 2026 r. o godz. 19:00, aby można było wprowadzić poprawki bezpieczeństwa. Część swoich stron, na przykład hydro.chmi.cz, tymczasowo wyłączył także Český hydrometeorologický ústav. Według agencji Reuters wcześniej podobnie postąpiły urzędy rządowe w Niemczech, Francji, Holandii i Finlandii.[1][2][3]
Powiązane hasła: PHP
Chronologia
- — Národní úřad pro kybernetickou a informační bezpečnost zalecił administratorom stron opartych na PHP szybką aktualizację z powodu krytycznych luk, a Úřad vlády České republiky wyłączył swoje strony internetowe. ČTK / České noviny Hospodářské noviny
Źródła
- ČTK / České noviny — 21 października 2026
- Hospodářské noviny — 21 października 2026
- Lupa.cz — 21 października 2026