Koncom októbra 2026 museli aj slovenské ministerstvá a ZSSK na pár hodín odstaviť svoje weby. Dôvodom boli dve kritické chyby v jazyku PHP, na ktorom beží väčšina firemných stránok vrátane WordPressu. Takmer v rovnakom čase sa malvér dostal do oficiálnej aktualizácie populárneho pluginu. Pre malú firmu z toho vyplýva jedno: web nie je hotový dňom spustenia.
Čo sa stalo s PHP v októbri
Bezpečnostný tím PHP vydal 21. októbra opravy chýb CVE-2026-109618 a CVE-2026-109619, ktoré dostali prezývku PHP2Shell. Podľa spoločného vyhlásenia Európskej komisie, ENISA a siete národných CSIRT tímov umožňujú útočníkovi spustiť na serveri vlastný kód bez akéhokoľvek prihlásenia. Opravené sú verzie PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12.
Podľa portálu Noviny.sk sa chyba týka viac ako 100-tisíc webov na Slovensku. Národný bezpečnostný úrad odporučil prevádzkovateľom, ktorí o chybe nevedeli, zraniteľné weby dočasne odpojiť, skontrolovať, či už neboli napadnuté, a prípadný incident nahlásiť.
Staré verzie PHP opravu nedostanú
Najväčší problém nie je samotná chyba, ale zastarané servery. Spoločnosť Qualys vo svojej analýze uvádza, že až 71 % inštalácií PHP, ktoré sleduje, beží na verziách, ktorým sa už skončila podpora. Tie bežnú opravu nedostanú. Ak váš web stále beží napríklad na PHP 7.4 alebo 8.0, aktualizácia WordPressu vás neochráni – treba zmeniť verziu PHP na hostingu a overiť, že s ňou web funguje.
Verziu PHP väčšinou nastavíte v administrácii hostingu jedným kliknutím, no zmenu treba najprv vyskúšať. Staršie šablóny a pluginy niekedy na novej verzii prestanú fungovať, preto je bezpečnejšie skúsiť ju na kópii webu a až potom na ostrej stránke. Ak hosting ponúka len staré verzie, je to signál, že je čas zvážiť iného poskytovateľa.
Aj oficiálna aktualizácia môže byť nebezpečná
Druhý októbrový prípad ukazuje opačné riziko. Podľa portálu SecurityWeek útočníci medzi 15. a 16. októbrom podstrčili malvér do verzie 3.0.123 pluginu Rank Math PRO, ktorú si weby stiahli ako bežnú aktualizáciu. Zadné vrátka sa vedeli pri každej návšteve stránky obnoviť a výrobca odporúča obnoviť web zo zálohy spred incidentu a zmeniť všetky heslá.
Slepé zapnutie automatických aktualizácií teda nestačí. Dôležité je vedieť, čo sa na webe zmenilo, a mať čistú zálohu, ku ktorej sa dá rýchlo vrátiť.
Čo z toho plynie pre vašu firmu
Webová agentúra Devstars, ktorá spravuje asi 70 webov na WordPresse, opísala, že v októbri útočníci napadli tri stránky jej klientov. Ani jedna nemala bezpečnostný plugin ani webový firewall, zatiaľ čo weby s ochranou podľa jej skúseností odolali. Je to malá vzorka, no zhoduje sa s tým, čo vidíme aj my.
V praxi odporúčame skontrolovať verziu PHP na hostingu, mať pravidelné zálohy uložené mimo servera, sledovať zoznam pluginov a odstrániť tie nepoužívané a mať zapnutý firewall s upozornením na nové administrátorské účty. Pri vážnej chybe rozhodujú hodiny, nie týždne.
Nemusíte to robiť sami. Dôležité je, aby mal niekto na starosti, že web sleduje a pri vážnom upozornení vie, čo spraviť ako prvé.
Ak neviete, na akej verzii PHP váš web beží alebo kedy ste naposledy obnovovali zálohu, radi vám pripravíme bezpečnostnú kontrolu a postaráme sa o pravidelnú údržbu, aby ste pri ďalšej kritickej chybe nemuseli nič riešiť narýchlo.
Údržba & Podpora
Starostlivosť o váš web.