Vlákno názorů k článku
PHP2Shell: kritické zranitelnosti v PHP dávají útočníkům možnost spustit kód na serverech od martyd420 - "Preventivní odstávka státního webu začala ve středu 21....

"Preventivní odstávka státního webu začala ve středu 21. října 2026 od 19:00"
Tři hodiny PO zveřejnění opravy. V době, kdy celý svět spouštěl aktualizované servery... Taková ostuda :D

Větší ostuda by byla nechat ty weby běžet se zranitelnou verzí a nechat se hacknout.

Problém je v tom, že ty weby jedou na starém PHP, pro které oprava nevyšla a musí se kompilovat ručně, ten kdo může jen stáhnout balík je v pohodě, ale spousta větších CRM často běží na archaickém PHP. Chápu, proč pro vás, co máte weby někde na wordpressu je to aktualizace na minutu, ale udržovat nějaké velké projekty fakt není sranda :) A proto jsou vypnuté dnes, jsou tak velké a známé, že útok na ně se čekat dá a jsou vypnuté proto, že nejde jen snadno změnit verzi PHP, když ta na které jedou tu opravu nedostala a nevyšel pro ni balík.

Pro všechny tři předřečníky – nemyslím si, že by martyd420 na rážel na délku odstávky, ale na to, že preventivní odstávka začala tři hodiny po plánovaném zveřejnění nových verzí. Tedy tři hodiny po okamžiku, kdy nejpozději se počítalo se začátkem útoků.

neřekl bych ostuda, chyba s RCE, která se začala zneužívat dříve než byla oprava je vážná, zejména, když jí snadno nelze mitigovat (pokud už potřebuješ upload souborů). Problém těch aktualizací je, že s sebou nesly i funkční změny, pokud už jsi náhodou nebyl na nejnovější verzi, takže musíš i otestovat aplikaci. V docker images to nebylo včera ještě ani v noci, RHEL repositář přišel také až po debianu a státní sektor zpravidla si má svůj klon, to opět prodlužuje potřebný čas. To, že to všichni řezali střemhlav rovnou do produkcí je asi jejich problém.

My jsme u webů kompletně vypnuli upload a na WAF jakýkoliv větší POST/PUT zahodili.