Názory k článku
PHP2Shell: kritické zranitelnosti v PHP dávají útočníkům možnost spustit kód na serverech

Takových chyb ještě bude, jsme jen lidé, následující roky, minulé měsíce jsou hlavně v roli "nových starých chyb", a nemyslím si, že je ani známka autorů php, spousta chyb se nijak neprojevuje dokud nedojde k přesné shodě zdánlivě nesouvisejících kroků.

My už taky měli paniku, hlavně kvůli některým prehistorickým projektům, rozhodnutí jasné off, dokud si jejich dev nedá do pořádku minimální revizi.

"Preventivní odstávka státního webu začala ve středu 21. října 2026 od 19:00"
Tři hodiny PO zveřejnění opravy. V době, kdy celý svět spouštěl aktualizované servery... Taková ostuda :D

Větší ostuda by byla nechat ty weby běžet se zranitelnou verzí a nechat se hacknout.

Problém je v tom, že ty weby jedou na starém PHP, pro které oprava nevyšla a musí se kompilovat ručně, ten kdo může jen stáhnout balík je v pohodě, ale spousta větších CRM často běží na archaickém PHP. Chápu, proč pro vás, co máte weby někde na wordpressu je to aktualizace na minutu, ale udržovat nějaké velké projekty fakt není sranda :) A proto jsou vypnuté dnes, jsou tak velké a známé, že útok na ně se čekat dá a jsou vypnuté proto, že nejde jen snadno změnit verzi PHP, když ta na které jedou tu opravu nedostala a nevyšel pro ni balík.

„Podle firmy Wiz zranitelnosti byly v kódu skryty déle než deset let.“

Tak to je fakt super. A „dobrá“ vizitka pro tvůrce PHP.

Takovych projektu je.

neřekl bych ostuda, chyba s RCE, která se začala zneužívat dříve než byla oprava je vážná, zejména, když jí snadno nelze mitigovat (pokud už potřebuješ upload souborů). Problém těch aktualizací je, že s sebou nesly i funkční změny, pokud už jsi náhodou nebyl na nejnovější verzi, takže musíš i otestovat aplikaci. V docker images to nebylo včera ještě ani v noci, RHEL repositář přišel také až po debianu a státní sektor zpravidla si má svůj klon, to opět prodlužuje potřebný čas. To, že to všichni řezali střemhlav rovnou do produkcí je asi jejich problém.

My jsme u webů kompletně vypnuli upload a na WAF jakýkoliv větší POST/PUT zahodili.

Pro všechny tři předřečníky – nemyslím si, že by martyd420 na rážel na délku odstávky, ale na to, že preventivní odstávka začala tři hodiny po plánovaném zveřejnění nových verzí. Tedy tři hodiny po okamžiku, kdy nejpozději se počítalo se začátkem útoků.