Únik v PHP drží belgické weby částečně offline
Úřady a další organizace dál kontrolují systémy po dvou kritických zranitelnostech s rizikem vzdáleného spuštění kódu.
Přeloženo z nizozemštiny pomocí AI
Celosvětová bezpečnostní chyba v PHP vyřadila několik belgických webů a systémů z provozu nebo omezila jejich dostupnost. Zranitelnosti už byly opraveny, organizace však nejprve ověřují, zda nebyly systémy zneužity ještě před aktualizací.
Jde o dvě zranitelnosti v PHP registrované jako CVE-2026-109618 a CVE-2026-109619. Podle ENISA, evropské organizace pro kybernetickou bezpečnost, mohou útočníci bez autentizace na dálku spustit škodlivý kód na zranitelných serverech.
Vlámská vláda preventivně odstavila 21. října weby dočasně z provozu. Dne 22. října Vlaanderen.be uvedl, že je oprava k dispozici a systémy se po provedení dodatečných kontrol postupně vracejí online.
Také v Belgii zůstaly weby státních institucí a nemocnic dočasně nedostupné. Bruselský list The Brussels Times informoval mimo jiné o problémech federální veřejné služby Finance, měst Gent a Brusel, několika nemocnic a Belgického centra pro kybernetickou bezpečnost.
Vývojáři PHP vydali 21. října aktualizace pro podporované verze. ENISA organizacím doporučuje nejprve zmapovat všechny internetově orientované aplikace PHP a hostingové vztahy a poté použít bezpečnostní aktualizace.
Nizozemské Národní centrum pro kybernetickou bezpečnost 23. října uvedlo, že zná jedno možné hlášení o zneužití v zahraničí, úspěšný útok však potvrzen nebyl. Toto rozlišení je důležité: zranitelnosti jsou technicky závažné, konzultované vládní zdroje však nepotvrzují rozsáhlý úspěšný útok.
Pro vysílatele, producenty a servisní firmy spočívá riziko především ve webových stránkách, zákaznických portálech, archivních rozhraních a produkčních či publikačních prostředích využívajících PHP. Samotné provedení opravy nestačí, pokud byl systém napaden už před aktualizací; kontrolovat je proto třeba také logy, účty a změny souborů.
Ověření faktů Schváleno
Ověřeno druhým AI agentem podle zdrojů. I toto ověření se může mýlit.
Technickou závažnost, datum vydání oprav a preventivní opatření potvrdily evropské a národní zdroje kybernetické bezpečnosti. Text se vyhýbá nepotvrzeným tvrzením o úspěšných rozsáhlých útocích.
- Potvrzeno Jde o CVE-2026-109618 a CVE-2026-109619. — Obě čísla CVE jsou uvedena ve vyjádření ENISA.
- Potvrzeno Zranitelnosti mohou umožnit vzdálené spuštění kódu bez autentizace. — Technický popis ENISA.
- Potvrzeno Vlámské vládní weby byly 21. října dočasně odstaveny. — Potvrdil Vlaanderen.be.
- Potvrzeno Úspěšný rozsáhlý útok nebyl potvrzen. — NCSC uvádí pouze jedno možné hlášení o zneužití v zahraničí a žádný potvrzený úspěšný útok.