Kritické bezpečnostní chyby v PHP mohou podle šéfa platformy Immunefi Mitchella Amadora ohrožovat uživatele internetu ještě několik týdnů po vydání oprav. Riziko se týká zejména menších webů, jejichž provozovatelé mohou s aktualizacemi zaostávat. Pro držitele kryptoměn je proto zásadní opatrnost při přihlašování i připojování peněženek k internetovým službám.
Vydaná oprava neznamená okamžité bezpečí
>Amador v rozhovoru pro Cointelegraph upozornil, že samotné zveřejnění bezpečnostních aktualizací problém neuzavírá. Každý provozovatel webu musí opravenou verzi nasadit do svého prostředí, což může trvat různě dlouho. Především menší stránky podle něj mohou zůstat zranitelné po dobu několika týdnů. Uživatelé by proto v tomto období neměli automaticky předpokládat, že web, ke kterému se přihlašují, je bezpečný.
PHP Foundation podle zdrojového článku přiznala, že opravu jedné z kritických chyb, poprvé identifikované už v roce 2024, zdržel nedostatek zdrojů. Vývojáři následně vydali nouzové aktualizace řešící dvě kritické zranitelnosti. Jejich dostupnost však sama o sobě nezaručuje ochranu všech dotčených stránek. Rozhodující je skutečné nasazení oprav, nikoli pouze jejich zveřejnění.
Miliony pokusů o zneužití během jediného dne
>Rozsah zájmu útočníků popsal generální ředitel Cloudflare Matthew Prince. Podle jeho příspěvku na síti X zaznamenala infrastruktura společnosti miliony pokusů o zneužití během 24 hodin od zveřejnění zranitelností. Tisíce takových pokusů přitom Cloudflare evidovala už před jejich veřejným oznámením. Tato čísla ukazují intenzitu útočné aktivity, nikoli počet úspěšně napadených webů.
Cloudflare uvádí, že přes její infrastrukturu prochází provoz přibližně každého pátého webu na světě. Její pozorování tak poskytují významný, nikoli však úplný pohled na dění na internetu. Společnost provozovatelům pomáhá zrychlovat načítání stránek a chránit je před kybernetickými hrozbami. Zveřejněné údaje zároveň ilustrují, jak rychle se po oznámení závažné chyby může rozběhnout rozsáhlé hledání neaktualizovaných systémů.
PHP má na internetu mimořádně široké zastoupení
>Podle výzkumné služby W3Techs využívá PHP přibližně 69 procent webů, u nichž je známý programovací jazyk na straně serveru. Nejde tedy o 69 procent všech internetových stránek, ale o podíl v konkrétně vymezené skupině. I tak statistika ukazuje, proč mohou mít závažné problémy v této technologii rozsáhlé dopady. Konkrétní míra ohrožení jednotlivých webů ovšem závisí na jejich technickém prostředí a stavu aktualizací.
Na rizika upozornila také kybernetická divize amerického Federálního úřadu pro vyšetřování. Podle jejího varování mohou zranitelnosti umožnit vzdálené spuštění kódu v jádře PHP a následně ohrozit citlivá data i sítě. Zdrojový článek zmiňuje rovněž možnost šíření škodlivého softwaru nebo vkládání škodlivých skriptů do webových stránek. Problém se tak neomezuje pouze na dostupnost služeb, ale může zasáhnout i bezpečnost jejich návštěvníků.
Umělá inteligence zlevňuje hledání slabin
>Amador současnou situaci spojuje s širší proměnou kybernetické bezpečnosti pod vlivem pokročilých modelů umělé inteligence. Podle jeho hodnocení se vyhledávání zranitelností stává levnějším, zatímco jejich odstraňování zůstává nákladné. Tento nepoměr označuje za apokalypsu zranitelností a případ PHP považuje za příklad jejího nástupu. Jde o jeho interpretaci vývoje bezpečnostního prostředí, nikoli o důkaz, že konkrétní zaznamenané útoky řídila AI.
Už v červnovém rozhovoru pro Cointelegraph Amador varoval, že šíření nejpokročilejších modelů AI posouvá podmínky ve prospěch útočníků. Tento vývoj spojoval také s obnoveným nárůstem hackerských útoků v decentralizovaných financích. Immunefi se zaměřuje na programy odměňující bezpečnostní výzkumníky za nalezené chyby. Podle údajů na vlastním webu platforma dosud vyplatila na odměnách 140 milionů dolarů napříč 650 protokoly.
Co by měli hlídat držitelé kryptoměn
>Pro běžné uživatele Amador doporučuje především neopakovat stejná hesla u různých služeb. Zároveň vyzývá k obezřetnosti při připojování kryptoměnových peněženek k webům, které mohou být kompromitované. Důležitá je také kontrola a odvolání neznámých oprávnění k nakládání s tokeny. Takové oprávnění není totéž co samotné připojení peněženky a zaslouží si samostatnou pozornost.
Hlavní poučení případu spočívá v časové mezeře mezi objevením chyby, vydáním opravy a jejím plošným nasazením. Právě během tohoto období mohou útočníci hledat weby, které dosud aktualizaci neprovedly. Provozovatelé proto potřebují opravy zavádět bez zbytečného odkladu a uživatelé by měli pečlivě posuzovat požadavky na přihlášení či autorizaci transakcí. Dostupná bezpečnostní aktualizace je zásadní krok, nikoli automatická záruka bezpečí celého internetu.
