Majitel obchodu nemusí umět spravovat server. Potřebuje ale vědět, kdo jej spravuje, a dostat konkrétní potvrzení, že bezpečnostní oprava skutečně běží. U aktuálních zranitelností PHP nestačí odpověď, že hosting situaci sleduje.

NÚKIB 21. října upozornil na dvě kritické zranitelnosti PHP označované jako PHP2Shell, evidované pod čísly CVE-2026-109618 a CVE-2026-109619. Podle úřadu mohou umožnit vzdálené spuštění kódu na zranitelném serveru bez předchozího přihlášení útočníka. Bezpečnostní opravy jsou dostupné a NÚKIB doporučuje aktualizaci neodkládat.

Aktualizovaný e-shop ještě neznamená aktualizované PHP

PHP je technologie, která na serveru zpracovává chod webových aplikací. Aktualizace e-shopového systému, jeho doplňků a samotného PHP jsou různé úkony. Výzkumníci, kteří chyby popsali, výslovně upozorňují, že aktualizace aplikace neopraví PHP, na kterém aplikace běží. Po instalaci opravy je také potřeba restartovat příslušné služby a dlouhodobě běžící procesy.

Pro majitele obchodu z toho vyplývá jednoduchý požadavek: nechat si ověřit prostředí, které skutečně obsluhuje zákazníky. Zpráva vývojáře, že minulý týden aktualizoval doplňky nebo nasadil novou verzi obchodu, tuto otázku sama nezodpovídá.

Kdo aktualizuje server a kdo kontroluje obchod?

První dotaz by měl směřovat k rozdělení odpovědnosti. U pronajímané e-shopové platformy se ptejte jejího provozovatele. U vlastního řešení potřebujete vědět, co zajišťuje hosting a co vývojář nebo externí správce.

Rozdělení je dobé si nechat potvrdit písemně. Kdo instaluje bezpečnostní aktualizace PHP? Kdo po zásahu ověří funkčnost obchodu? A kdo rozhodne o dalším postupu, pokud se ukáže problém s kompatibilitou?

Bez těchto odpovědí může požadavek zůstat mezi dvěma dodavateli. Hosting čeká na souhlas vývojáře, vývojář předpokládá automatickou aktualizaci a majitel obchodu má pocit, že je vše vyřešené.

Jak má vypadat konkrétní potvrzení opravy

Podle NÚKIB opravy obsahují verze PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Stejné verze uvádí také bezpečnostní oznámení projektu PHP. Někteří dodavatelé operačních systémů a dlouhodobé podpory poskytují opravy prostřednictvím vlastních balíčků, proto může správce doložit opravení i odkazem na bezpečnostní oznámení svého dodavatele.

Užitečná odpověď tedy obsahuje, které prostředí bylo zkontrolováno, jaká oprava byla nasazena a kdy k tomu došlo. Součástí by mělo být i potvrzení, že opravenou verzi používají běžící služby.

Ptejte se také na další instalace související s obchodem: samostatný blog, starší web, administraci nebo veřejně dostupné testovací prostředí. Potřebujete znát rozsah kontroly, abyste věděli, zda se potvrzení vztahuje na celý provoz, nebo pouze na hlavní doménu.

ČVUT ukazuje i provozní dopad incidentu

Podle Lupy oznámilo ČVUT kybernetický útok, zastavení aktivního útoku a preventivní odstavení některých systémů. Univerzita jej spojila s pokusy napadat služby využívající PHP. Lupa ale zároveň upozornila, že přesné technické okolnosti nebyly zveřejněny a souvislost s konkrétními zranitelnostmi PHP2Shell nebyla nezávisle potvrzena.

Pro e-shop má i preventivní odstávka obchodní důsledky. Zákazník nemusí dokončit objednávku a zaměstnanci se nemusí dostat k nástrojům potřebným pro expedici. Vedle samotné opravy proto doporučujeme s dodavatelem domluvit, kdo oznámí případné omezení a kdo ověří obnovení provozu.

Po zásahu by měla následovat kontrola zákaznické cesty: výběru produktu, košíku, objednávky a používaných platebních či dopravních napojení. Výsledek patří do stejného servisního požadavku jako potvrzení aktualizace.

Když aktualizaci něco brání

Odpověď „starší obchod novou verzi nepodporuje“ potřebuje konkrétní pokračování. Požadujte popis překážky, odpovědnou osobu a termín řešení. Nechte správce prověřit také možnost opraveného balíčku pro používané prostředí.

Projekt PHP upozorňuje, že dočasná opatření mohou omezit některé cesty útoku, ale úplným řešením je aktualizace. Případnou náhradní ochranu proto doprovází otázka, kdy bude oprava dokončena.

Pokud správce zjistí podezřelou aktivitu, požadujte samostatné prověření možného incidentu. Potvrzení aktualizace a výsledek takového šetření jsou dvě různé informace.