Lukáš Melichar

PHP2Shell: čo musia overiť marketingové tímy vo farmácii a zdravotníctve

Bezpečnosť v digitálnom marketingu. Zverejnené 24. októbra 2026.

Stručne. Projekt PHP vydal 21. októbra 2026 aktualizácie pre dve kritické zraniteľnosti, CVE-2026-109618 a CVE-2026-109619. Môžu umožniť útočníkovi bez prihlásenia spustiť kód na serveri, na ktorom beží PHP. Úplne ich uzavrie iba aktualizácia PHP na serveri. Marketingové tímy sú dotknuté všade, kde na PHP beží web, mikrostránka, portál alebo formulár, preto by mal každý poskytovateľ hostingu a každá agentúra teraz písomne potvrdiť, že PHP aktualizovali a reštartovali.

Stav k 24. októbru 2026

  • Opravené verzie: PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35, vydané 21. októbra. Verzie PHP 8.1 a staršie už od projektu PHP aktualizácie nedostávajú. Pre verzie 7.4, 8.0 a 8.1 však projekt zverejnil minimálne opravy zdrojového kódu (backporty), určené tým, ktorí si PHP zostavujú sami.
  • Útoky: správy sa rozchádzajú. Bezpečnostná firma watchTowr pozoruje zneužívanie od 21. októbra. Upozornenie kanadského Centra kybernetickej bezpečnosti, aktualizované 23. októbra, uvádza, že v tom čase sa neidentifikovalo žiadne aktívne zneužívanie, a že sa to môže rýchlo zmeniť. Odvoláva sa na informácie z otvorených zdrojov, že je k dispozícii ukážkový kód na zneužitie (proof of concept). Katalóg známych zneužívaných zraniteľností agentúry CISA neuvádza ani jednu z týchto zraniteľností.
  • Ďalší vývoj: projekt PHP zverejnil 23. októbra informačné upozornenie o ďalšej ceste k spusteniu kódu (CVE-2026-115560), ktorú označuje za v praxi nepravdepodobnú. Odporúča vypnúť funkciu sledovania priebehu nahrávania súborov v relácii (session upload progress), kým nevyjde najbližšia pravidelná opravná verzia.

Táto stránka je písaná z pohľadu marketingu: čo žiadať a od koho. Technická práca patrí IT, poskytovateľovi hostingu alebo agentúre.

Čo sa stalo

PHP je programovací jazyk, na ktorom beží WordPress a mnohé ďalšie redakčné systémy a e-shopy. Projekt PHP 20. októbra vopred oznámil kritické bezpečnostné vydanie na 21. októbra a obe zraniteľnosti ohodnotil číslom 9,2 z 10 na stupnici CVSS v4.0. Podľa watchTowr unikli podrobnosti o zraniteľnostiach ešte pred plánovaným dátumom zverejnenia. Aktualizácie vyšli 21. októbra. Nasledovali varovania od Health-ISAC, komunity zdravotníckeho sektora na zdieľanie informácií, od britského Národného centra kybernetickej bezpečnosti a od kanadského Centra kybernetickej bezpečnosti. Všetky tri vyzývajú organizácie, aby aktualizovali rýchlo a zistili, kde sú vystavené.

Projekt PHP uvádza, že ohrozené sú všetky inštalácie, ktoré obsluhujú webové požiadavky, kým sa neaktualizujú. Najvyššie riziko vidí pri Apache s modulom mod_php, kde preukázaný útok nepotrebuje prihlásenie a prebehne ešte skôr, než sa spustí kód samotného webu.

Prečo sa to týka marketingových tímov

Kód, ktorý beží na serveri, môže čítať to, čo server číta, a meniť to, čo zobrazuje. Na marketingovom webe to znamená odoslané formuláre, databázy dopytov a stránky, ktoré vidia návštevníci. V zdravotníctve môžu dopyty a registrácie obsahovať zdravotné údaje, ktoré GDPR považuje za osobitnú kategóriu osobných údajov (článok 9). Web, ktorý sa kvôli aktualizácii vypne, zasiahne aj každú kampaň, ktorá naň posiela platenú návštevnosť.

Vo väčšine firiem marketing servery neaktualizuje. Vlastní však weby, vzťahy s agentúrami a údaje, ktoré tieto weby zbierajú, takže si musí vyžiadať odpovede.

Kde sa PHP v marketingu skrýva

Toto sú miesta, kde marketingové tímy PHP zvyčajne nachádzajú, a čo si pri každom vyžiadať.

Kde PHP často beží Čo si vyžiadať
Firemné a krajinské weby na WordPresse, Drupale alebo inom redakčnom systéme Verziu PHP alebo zostavenie od dodávateľa, dátum aktualizácie a potvrdenie, že PHP reštartovali
Kampaňové mikrostránky a vstupné stránky, ktoré postavili agentúry Kde je každá stránka hostovaná, kto ju aktualizuje a či ju ešte potrebujete
Portály pre pacientov a zdravotníckych pracovníkov (HCP), registračné a prihlasovacie zóny To isté potvrdenie od dodávateľa platformy a zmluva o spracúvaní údajov, ktorá sa naň vzťahuje
Kontaktné, newsletterové a sťahovacie formuláre Ktorý skript údaje prijíma, kde sa ukladajú a kto ich môže vidieť
E-shopy, rezervačné nástroje a iné systémy hostované dodávateľmi Písomné vyhlásenie dodávateľa o používaní PHP a stave aktualizácií
Vlastné marketingové nástroje, napríklad analytický, e-mailový alebo prieskumový softvér Či beží na PHP a kto zodpovedá za jeho aktualizácie
Staré kampaňové weby a subdomény, ktoré sú stále online Zrušiť ich alebo presunúť k poskytovateľovi, ktorý sa udržiava aktuálny

Čo skontrolovať teraz

  1. Zostavte zoznam všetkých webov, mikrostránok, portálov, formulárov a marketingových nástrojov vrátane tých, ktoré hostujú agentúry, a starých kampaňových webov. Začnite tými, ktoré sú dostupné z internetu.
  2. Zapíšte si, kto každý z nich hostuje a kto ho aktualizuje. Web bez určeného vlastníka je sám osebe zistením.
  3. Požiadajte každého poskytovateľa hostingu alebo agentúru, aby písomne potvrdili verziu PHP alebo zostavenie od dodávateľa, dátum aktualizácie a to, že PHP reštartovali. Opravené verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Hosting, ktorý inštaluje PHP z balíkov distribúcie, môže ponechať staré číslo verzie, preto si vyžiadajte zoznam zmien balíka alebo dátum zostavenia.
  4. Odpovede typu „máme firewall“ alebo „zmenili sme niektoré nastavenia“ považujte za neúplné. Projekt PHP uvádza, že úplným riešením je iba aktualizácia a že nastavenia, ktoré odporúča, znižujú vystavenie, ale inštaláciu nerobia bezpečnou.
  5. Pri všetkom, čo sa nedá aktualizovať hneď, sa s IT dohodnite, či to vypnúť alebo obmedziť prístup, a pozastavte platenú návštevnosť na stránky, ktoré nebudú dostupné.
  6. Požiadajte IT alebo hosting, aby skontrolovali serverové logy od 20. októbra a hľadali známky zneužitia. Ak sa niečo nájde, berte to ako incident a zapojte bezpečnostný tím a zodpovednú osobu.
  7. Naplánujte prechod pre PHP 8.1 a staršie, ktoré už od projektu PHP aktualizácie nedostávajú, a pre PHP 8.2, ktorého bezpečnostná podpora sa končí 31. decembra 2026.

Čo hovoria pravidlá

Všeobecné informácie, nie právne poradenstvo.

GDPR (nariadenie (EÚ) 2016/679). Článok 32 vyžaduje, aby prevádzkovatelia a sprostredkovatelia prijali bezpečnostné opatrenia primerané riziku vrátane pravidelného testovania. Podľa článku 28 môže prevádzkovateľ využívať iba sprostredkovateľov, ktorí poskytujú dostatočné záruky, a sprostredkovateľ musí pomáhať pri plnení povinností v oblasti bezpečnosti a porušení ochrany údajov. Ak dôjde k porušeniu ochrany osobných údajov, článok 33 vyžaduje oznámiť to dozornému orgánu bez zbytočného odkladu a ak je to možné, najneskôr do 72 hodín od okamihu, keď sa o ňom prevádzkovateľ dozvedel, pokiaľ nie je pravdepodobné, že porušenie povedie k riziku. Sprostredkovateľ musí informovať prevádzkovateľa bez zbytočného odkladu. Článok 34 pridáva povinnosť informovať dotknuté osoby, keď je riziko pre ne vysoké.

NIS2 (smernica (EÚ) 2022/2555). Vzťahuje sa na stredne veľké a väčšie organizácie vo vymenovaných sektoroch, medzi nimi poskytovateľov zdravotnej starostlivosti, výskum a výrobu liekov a výrobu zdravotníckych pomôcok. Článok 21 vyžaduje opatrenia na riadenie rizík vrátane bezpečnosti dodávateľského reťazca a riešenia zraniteľností. Pri významnom incidente článok 23 vyžaduje včasné varovanie do 24 hodín a oznámenie do 72 hodín. Podrobnosti určuje vnútroštátne právo.

HIPAA (Spojené štáty). Pravidlo bezpečnosti (Security Rule) vyžaduje, aby subjekty podliehajúce pravidlu (covered entities) a ich obchodní partneri (business associates) vykonávali analýzu a riadenie rizík pre chránené zdravotné informácie. Po porušení nezabezpečených chránených zdravotných informácií musia tieto subjekty oznámiť porušenie dotknutým osobám bez neprimeraného odkladu a najneskôr 60 kalendárnych dní po zistení (164.404). Obchodní partneri musia oznámiť porušenie subjektu v rovnakej lehote (164.410).

Otázky a odpovede

Týka sa to WordPressu?

Zraniteľnosti sú v PHP, jazyku, na ktorom WordPress beží, nie v samotnom WordPresse. Web na WordPresse je vystavený, keď sa PHP na jeho serveri neaktualizovalo, nech je verzia WordPressu akákoľvek. Aktualizácia WordPressu ani jeho pluginov zraniteľnosti neuzavrie a podľa Bitsight to neurobí ani firewall webových aplikácií.

Chráni nás firewall?

Projekt PHP uvádza, že úplným riešením je iba aktualizácia a že ostatné opatrenia znižujú vystavenie voči konkrétnym spôsobom útoku, ale inštaláciu nerobia bezpečnou. Firewall môže pridať ďalšiu vrstvu pred webom, ale aktualizáciu nenahrádza.

Server ukazuje starú verziu. Je stále bez opravy?

Nie nevyhnutne. Servery, ktoré preberajú PHP z balíkov distribúcií Linuxu, môžu mať opravu bez zmeny čísla verzie, preto si vyžiadajte zoznam zmien balíka alebo vyhlásenie dodávateľa. To isté uvádza Kaspersky. Oprava zaberie až po reštarte PHP.

Čo ak web beží na PHP 7.4 alebo 8.1?

Tieto vetvy už od projektu PHP aktualizácie nedostávajú. Pre 7.4, 8.0 a 8.1 projekt zverejnil minimálne opravy zdrojového kódu (backporty), určené tým, ktorí si PHP zostavujú sami alebo nemajú dodávateľa dlhodobej podpory. Opravy poskytujú aj niektoré distribúcie a dodávatelia dlhodobej podpory. Inak sa musí web presunúť na podporovanú verziu. Bitsight zistil, že iba asi tretina inštancií PHP, ktorých verziu vedel určiť, beží na vetve pokrytej októbrovou aktualizáciou, a že najčastejšou vetvou je zďaleka 7.4.

Musíme to hlásiť?

Nie kvôli samotnej zraniteľnosti. Povinnosť oznámenia vzniká, ak došlo k porušeniu ochrany osobných údajov alebo podľa NIS2 k významnému incidentu, a lehoty začínajú plynúť v okamihu, keď sa o tom dozviete. Zapojte včas zodpovednú osobu a právneho poradcu.

Zdroje

Záznam zmien

  • 24. októbra 2026: prvá verzia, skontrolovaná podľa uvedených zdrojov.

Spolupracujem so zdravotníckymi a farmaceutickými firmami na digitálnom marketingu, CRM a zavádzaní AI. Pozrite si časť Spolupráca na úvodnej stránke.