Chyba v PHP ohrožuje web, kde běží 70 % stránek. Útočníkům pomáhá AI

Odhalení chyb v základech webových stránek

Jazyk PHP tvoří neviditelnou kostru internetu už několik desetiletí. Běží na něm redakční systémy WordPress či Drupal i rozsáhlé internetové obchody. V říjnu 2026 publikovali výzkumníci zjištění o hluboko uložených zranitelnostech přímo ve zdrojovém kódu tohoto jazyka. Jak uvedl britský deník The Guardian, situaci výrazně proměnilo zapojení specializovaných uvažujících modelů do analýzy softwaru.

Tyto nástroje využívají výpočetní čas při odvozování k systematickému procházení archivního kódu. Výzkumníci ze společností Calif, Wiz a OpenAI už v srpnu 2026 demonstrovali, jak snadno lze pomocí moderních systémů vygenerovat funkční exploit z desítky let starých chyb. To, co dříve vyžadovalo týdny manuální práce zkušeného bezpečnostního analytika, zvládne automatizovaný skript během krátké chvíle. Původně teoretické varování před vlnou zranitelností se během října přeměnilo v praktickou hrozbu pro provozovatele serverů.

Rychlost útoků podle měření Cloudflare

Rozsah problému dokládají přesná čísla síťových monitorů. Společnost Cloudflare, která zajišťuje ochranu a distribuci obsahu pro velkou část webů, zaznamenala prudký nástup aktivity útočníků. Deset hodin před oficiálním zveřejněním podrobností o chybě registrovaly její systémy několik tisíc pokusů o zneužití. Šlo zřejmě o testovací sondy úzké skupiny lidí.

Během 45 minut po zveřejnění technických detailů vyskočil počet útočných požadavků na desítky tisíc. Do dvou hodin šlo o stovky tisíc pokusů a záhy objem dosáhl milionů dotazů. Automatizované vyhledávací boty začaly masově prohledávat celý internet a zkoušet, které servery ještě nemají nainstalovanou opravu. Celkový počet zdokumentovaných bezpečnostních chyb na internetu letos překonal hranici 84 000. Pro srovnání, za celý rok 2025 jich bylo zaevidováno přibližně 48 000.

Reakce úřadů a technologických firem

Rychlost, s jakou útočníci začali chybu zneužívat, zaskočila i velké technologické hráče. Sam Altman z OpenAI otevřeně konstatoval, že lidské týmy již nebudou schopné opravit všechny existující softwarové nedostatky dříve, než je stroje najdou. Marc Benioff ze společnosti Salesforce označil nastalou situaci za stav nejvyšší pohotovosti.

Na situaci musely reagovat také státní instituce. Americká agentura NSA a britské Národní centrum kybernetické bezpečnosti (NCSC) vydaly bezpečnostní varování. Správcům doporučily odpojit zranitelné systémy od veřejné sítě v případech, kdy nelze okamžitě nasadit opravné balíčky. Toto doporučení vedlo k preventivnímu vypnutí řady vládních i komerčních portálů napříč Evropou. Incidenty se nevyhnuly ani významným institucím. Zaznamenán byl průnik do systému australského ministerstva zdravotnictví nebo rozsáhlý nálet automatizovaných botů na vývojářskou platformu Hugging Face.

Dopad na české prostředí a menší firmy

Pro tuzemský internet má tato událost přímý dopad. V Česku patří PHP k nejpoužívanějším jazykům vůbec. Stojí na něm nejen tisíce webů běžících na WordPressu, ale také populární framework Nette nebo řešení pro internetové obchody. Mnoho drobných podnikatelů, grafiků na volné noze i rodinných firem provozuje své stránky na sdíleném webhostingu, kde aktualizace neprobíhají ze dne na den.

V Evropské unii navíc začínají platit přísnější pravidla směrnice NIS2, která vyžaduje rychlé hlášení incidentů a důsledné zabezpečení digitální infrastruktury. Pro malou firmu to znamená nutnost vědět, kdo se o její web stará. Pokud server obsluhuje zastaralá verze PHP bez podpory bezpečnostních záplat, riziko prolomení a zneužití dat zákazníků je nyní podstatně vyšší než před rokem.

Postup pro majitele webových stránek

Situace vyžaduje věcné kroky bez paniky. Pokud provozujete vlastní webové stránky, doporučuji prověřit několik základních parametrů:

• Ověření verze PHP u hostingu: Přihlaste se do administrace svého webhostingu a zkontrolujte, jakou verzi PHP váš server používá. Starší verze řady 7.x již nedostávají žádné bezpečnostní záplaty. Bezpečný provoz vyžaduje přechod na aktuálně podporované verze řady 8.
• Aktualizace redakčního systému: Pokud používáte WordPress nebo jiný CMS, nainstalujte všechny dostupné aktualizace jádra, šablon i zásuvných modulů. Většina vývojářů již vydala opravné verze.
• Aktivace webového firewallu: Služby jako Cloudflare nabízejí i v bezplatném tarifu základní ochranu proti známým exploitům, která dokáže zablokovat škodlivé požadavky dříve, než dorazí k vašemu serveru.
• Zálohování mimo server: Ujistěte se, že máte funkční zálohu webu i databáze uloženou na jiném místě než u samotného poskytovatele hostingu.

Časová náročnost těchto kroků obvykle nepřesáhne 30 minut. Náklady jsou minimální, protože většina českých hostingových společností nabízí přepnutí na novější verzi PHP zdarma v rámci zákaznického účtu.

Limity automatických oprav

Současné modely, jako je GPT-6.1 Sol s cenou 0,10 dolaru za milion vstupních tokenů, případně Claude 5.5 či Gemini 4 Argon, sice dokážou navrhovat záplaty kódu, lidský dohled je však stále nutný. Automaticky generovaný kód může obsahovat logické chyby, které by vyřadily web z provozu. Lidští programátoři tak musí každou změnu před nasazením otestovat, což vytváří zpoždění, které útočníci využívají. Počet evidovaných zranitelností překračující 84 000 v roce 2026 ukazuje, že tempo objevování chyb zatím výrazně převyšuje rychlost jejich manuálního nasazování do ostrého provozu.