Kritická zraniteľnosť PHP: poznajú kritické subjekty riziká svojich systémov?
Varovanie SK-CERT upozorňuje na dve kritické zraniteľnosti v technológii PHP. Pre kritické subjekty je to príležitosť preveriť nielen vlastné informačné systémy, ale aj technológie, ktoré využívajú prostredníctvom externých dodávateľov.
Národné centrum kybernetickej bezpečnosti SK-CERT vydalo 21. októbra 2026 upozornenie na dve kritické zraniteľnosti PHP, označené ako CVE-2026-109618 a CVE-2026-109619. Obe dosiahli hodnotenie CVSS v4.0 na úrovni 9,2 z 10. Ich zneužitie môže za určitých podmienok umožniť vzdialené vykonanie kódu bez autentifikácie.
PHP sa používa pri vývoji webových aplikácií a ďalších informačných systémov. Ak sa zraniteľný komponent nachádza v systéme dostupnom útočníkovi, následky môžu presiahnuť hranice samotnej aplikácie. Konkrétny dosah závisí od konfigurácie, oprávnení a prepojenia zasiahnutého systému s ďalšími službami.
Riziko sa môže skrývať aj u dodávateľa
Jednou z praktických výziev je prehľad o technológiách, ktoré organizácia priamo nespravuje. Webové aplikácie, cloudové služby či externé systémy môžu obsahovať softvérové komponenty, ktorých verzie a stav aktualizácie prevádzkovateľ nepozná.
Pre kritické subjekty preto nestačí preveriť iba vlastnú IT infraštruktúru. Potrebujú vedieť aj to, aké technológie používajú ich dodávatelia, kto zodpovedá za ich aktualizácie a ako sa postupuje v prípade zistenia závažnej zraniteľnosti.
Ak je napadnutý systém prepojený s ďalšími službami, incident môže ovplyvniť ich dostupnosť alebo bezpečnosť údajov. Pri kritickej infraštruktúre je preto potrebné posudzovať kybernetické riziko aj podľa možných dôsledkov na poskytovanie základnej služby.
Čo by mali kritické subjekty preveriť?
V súvislosti s upozornením SK-CERT by organizácie mali najmä:
● zistiť, či používajú PHP a ktorých verzií sa zraniteľnosť týka;
● preveriť aj aplikácie a služby prevádzkované externými dodávateľmi;
● sledovať dostupnosť bezpečnostných opráv a zabezpečiť ich nasadenie podľa odporúčaní výrobcu a SK-CERT;
● tam, kde okamžitá aktualizácia nie je možná, vyhodnotiť riziko a uplatniť primerané dočasné ochranné opatrenia;
● skontrolovať bezpečnostné záznamy a preveriť prípadné známky pokusu o zneužitie.
Samotná existencia zraniteľnosti ešte neznamená, že systém bol napadnutý. Bezpečnostné upozornenie však poskytuje dôvod na cielenú kontrolu a prijatie opatrení podľa konkrétneho rizika.
Stanovisko Asociácie kritickej infraštruktúry SR
Prezident AKI SR Tibor Straka k významu podobných upozornení uvádza:
„Pri ochrane kritickej infraštruktúry je dôležité vedieť nielen to, čo prevádzkujeme, ale aj na čom je naša prevádzka závislá. Softvérová zraniteľnosť môže na prvý pohľad vyzerať ako čisto technický problém. Ak sa však týka systému, od ktorého závisí poskytovanie základnej služby, stáva sa otázkou jej bezpečnej a spoľahlivej prevádzky. Aj preto musia byť bezpečnostné požiadavky súčasťou vzťahov s dodávateľmi, nielen interných IT procesov.“
AKI SR upozorňuje na aktuálne bezpečnostné hrozby
Asociácia kritickej infraštruktúry SR priebežne upozorňuje na bezpečnostné riziká, ktoré môžu mať dosah na kritické subjekty a poskytovanie základných služieb. Zmyslom takýchto informácií je priblížiť odborné upozornenia aj z pohľadu ich praktického významu pre prevádzkovateľov.
Technické varovanie je užitočné vtedy, keď sa premietne do konkrétneho rozhodnutia: preveriť používané technológie, osloviť dodávateľa, aktualizovať zraniteľný komponent alebo obmedziť jeho vystavenie riziku.
Vedia organizácie zodpovedne určiť, ktoré z ich systémov a dodávateľských služieb môžu byť zasiahnuté aktuálnou zraniteľnosťou? Aj odpoveď na túto otázku ukazuje, či majú potrebný prehľad o technológiách, na ktorých závisí ich prevádzka.
AKI SR bude naďalej sprostredkúvať relevantné informácie o hrozbách a upozorňovať na ich možné dôsledky pre kritickú infraštruktúru na Slovensku.
