Jsme oficiálně bez PHP. Co nás říjen (zatím) naučil

Týden od 19. do 24. října 2026, od pondělí do soboty, přinesl souvislou řadu vážných bezpečnostních zpráv napříč celým odvětvím. Pokud vám unikl, náš přehled tohoto týdne pokrývá podrobnosti. Krátká verze: v několika případech se útočníci pohnuli dřív než opravy.

Takový týden nás neposílá zpět k rýsovacímu prknu, ale zostřuje čáry, které na něm už jsou. Jedna věc je zastávat princip, a druhá sledovat, případ za případem, co se děje tam, kde ten princip chybí. Místo výčtu technických kroků proto chceme vysvětlit principy, podle kterých pracujeme, protože pro vás jako zákazníka záleží na přístupu víc než na kterékoli jednotlivé aktualizaci. Jeden z těchto principů právě dosáhl svého milníku: jsme nyní oficiálně bez PHP.

Proč je záplatování po události prohraný závod?

Standardní rada zněla léta jednoduše: záplatujte rychle a budete v pořádku. Trend ale už tehdy běžel proti této radě. Tým Mandiant společnosti Google změřil průměrnou dobu mezi tím, kdy se zranitelnost stala známou, a jejím zneužitím: 63 dní v letech 2018 až 2019, 32 dní v letech 2021 a 2022 a pět dní v roce 2023, zprůměrováno po odstranění odlehlých hodnot.

Pět dní je údaj z roku 2023, tedy z doby, než se nástroje AI staly součástí každodenní práce se softwarem. Tento měsíc nám dal čerstvé měření tohoto závodu, pořízené ze tří různých pozorovacích míst kolem zveřejnění chyby PHP2Shell z 21. října 2026.

Tým pro analýzu hrozeb společnosti Amazon zaznamenal pokus o zneužití PHP2Shell už 17. října, čtyři dny před veřejným zveřejněním, a uvádí, že jakmile embargo skončilo a záplata byla vydána, objevily se během hodin další ukázkové exploity (proof of concept). F5 Labs viděla první skenování PHP2Shell více než pět hodin před zveřejněním obou CVE a během hodin po zveřejnění její senzory zaznamenávaly tisíce pokusů o zneužití. Generální ředitel společnosti Cloudflare Matthew Prince 22. října uvedl, že Cloudflare viděl tisíce pokusů před oznámením, desítky tisíc během 45 minut po něm, stovky tisíc do dvou hodin a miliony ve chvíli, kdy svůj příspěvek publikoval. Šlo o pokusy, ne o potvrzené průniky, ale ukazují, jak rychle se zkoušely dveře: okno se dnes měří v minutách a hodinách a pro některé se zavřelo dřív, než záplata vůbec existovala.

Zneužití dřív, než jakákoli oprava existuje, také není vzácnost. V roce 2023 bylo 70 % zneužitých zranitelností, které Mandiant sledoval, tedy 97 ze 138, zneužito jako zero-day, tedy dřív, než vůbec existovala jakákoli oprava.

Pokud zneužívání může začít dřív, než je záplata k dispozici, a během minut po jejím vydání přijít ve velkém objemu, pak záplatování, jakkoli disciplinované, nemůže být celým plánem. Obránce, který spoléhá jen na ně, vstoupil do závodu, který je často rozhodnut dřív, než začne. Předpokládáme proto, že závod bude někdy prohraný, a navrhujeme systémy právě pro prohru. Z tohoto předpokladu plynou tři otázky. Dokud je chyba otevřená, kolik z našich systémů může být zasaženo? Pokud je něco zasaženo, kolik toho může být ztraceno? A jakmile oprava existuje, jak rychle se dokážeme zotavit a uzavřít mezeru? Každý princip, který zastáváme, odpovídá na jednu z těchto otázek a vše níže je kolem nich uspořádáno.

Proč software odstraňujeme, místo abychom ho obkládali záplatami?

Začněme první otázkou, kolik toho může být zasaženo. Každá organizace hromadí software, který špatně zestárl: nástroje, jejichž správci se posunuli jinam, komponenty zaseknuté na starých verzích, protože na nich závisí něco dalšího, kód, na který nikdo nechce sáhnout. Běžnou reakcí je takový software zabalit do obezliček a pravidel firewallu a doufat v nejlepší.

My na to máme jiný pohled. Software, který nelze udržovat aktuální, se odstraňuje, neobkládá se záplatami. Nedržíme ho při životě dočasnými opravami, protože dočasná oprava na neudržovaném kódu je slib, který bude nakonec porušen. Buď lze komponentu aktualizovat po celou dobu, kdy ji provozujeme, nebo neběží vůbec.

Proč obezličky selhávají? Protože obezlička blokuje jen chyby, které už jsou známé. Neudržovaný software nepřestane mít slabiny dnem, kdy jeho správci odejdou. Výzkumníci i útočníci nacházejí nové rok za rokem, a teď už nezbyl nikdo, kdo by psal opravy. Každý objev si vynutí další pravidlo, další filtr, další vrstvu přišroubovanou na tu předchozí, a hromada je s každým přídavkem křehčí. Dřív nebo později se objeví chyba, kterou žádná vnější vrstva nedokáže odstínit, nebo si dvě vrstvy začnou navzájem překážet, a ochrana tiše povolí. Obezlička kupuje čas a na opuštěném kódu není nic užitečného, na co ten čas vynaložit, protože základní problém nebude nikdy opraven.

Vzpomeňte si na závod popsaný výše, nyní běžený v minutách a hodinách. Proti udržovanému softwaru je závod brutálně krátký, ale alespoň ho lze běžet. Proti opuštěnému softwaru žádný závod není, protože oprava, která by ho měla ukončit, nikdy nedorazí. Napsané to zní samozřejmě. V praxi je to těžší cesta, protože odstranění něčeho obvykle znamená přestavět to, co na tom záviselo. Myslíme si, že tato cena stojí za zaplacení. Útočník nemůže zneužít slabinu v systému, který už neexistuje.

Jak vlastně vypadá malá útočná plocha?

Odstranění je nejhrubší způsob, jak zmenšit to, co může být zasaženo. Širší návyk, který za ním stojí, má technický název: udržování malé útočné plochy. Útočná plocha je prostá myšlenka, součet všech míst, kde by útočník mohl zkusit klíč v zámku. Každá vystavená služba, každá knihovna třetí strany, každý plugin je další zámek k obraně. Naše definice dobré bezpečnosti začíná zde: nejsilnější kód je ten, který nespouštíte, a nejbezpečnější data jsou ta, která jste nikdy neuložili.

Zvažte, co knihovna nebo plugin třetí strany vlastně je. Když si je vývojář přibere, důvěřuje cizímu člověku, často neplacenému dobrovolníkovi, že bude ten kód udržovat bezpečný po celou dobu, kdy běží. Knihovna potřebuje vlastní aktualizace, vlastní bezpečnostní opravy, vlastního správce, který dává pozor. Pokud tento správce ztratí zájem, změní práci nebo prostě přestane odpovídat, kód funguje dál, ale už ho nikdo nehlídá. Chyba nalezená po tomto okamžiku zůstane otevřená natrvalo, což je problém opuštěného softwaru z předchozí části, který přichází bočními dveřmi. Vynásobte to mnoha komponentami, na kterých typická aplikace závisí, a obraz je jasný. Každá závislost je malý slib od někoho, koho jste nikdy nepotkali, a některé z těchto slibů tiše vyprší. Provozovat jich méně znamená vděčit za svou bezpečnost menšímu počtu cizích lidí.

Systémy, do kterých se přihlašujete, přes které platíte a se kterými komunikují naše aplikace, jsou napsané v jazyce Go. PHP zmizelo a s ním i dlouhý ocas knihoven, pluginů a závislostí, které za sebou aplikace v PHP obvykle táhnou.

Go jsme pro naše nejkritičtější systémy zvolili proto, že odpovídá na problém závislostí už na úrovni jazyka. Go je paměťově bezpečné: jazyk spravuje paměť za programátora, což vylučuje celou třídu chyb, jako jsou přetečení bufferu, a CISA (americká agentura pro kybernetickou bezpečnost) uvádí Go mezi paměťově bezpečnými jazyky v dokumentu The Case for Memory Safe Roadmaps. Tato třída je větší, než to zní: projekt Chromium zjišťuje, že zhruba 70 % jeho vážných bezpečnostních chyb jsou problémy s bezpečností paměti. Standardní knihovna Go pokrývá velkou část toho, co webová služba potřebuje, včetně kryptografie, takže služba v Go potřebuje méně balíčků třetích stran, což znamená méně oněch slibů od cizích lidí. Kryptografie je brána natolik vážně, že vlastní kryptografický modul Go je validován podle standardu americké vlády FIPS 140-3, certifikát CMVP č. 5247. A když se v širším ekosystému přece jen objeví chyba, bezpečnostní tým Go spravuje databázi zranitelností a jeho nástroj govulncheck hlásí jen zranitelnosti v kódu, který program skutečně volá, díky čemuž jsou upozornění nezahlcující a použitelná.

To je důležité kvůli tomu, jak rozšířená, a jak stará, nasazení PHP jsou. W3Techs uvádí, že PHP používá 69,2 % všech webů, jejichž jazyk na straně serveru zná, přičemž 26,6 % webů s PHP stále běží na PHP 7 a 7,7 % na PHP 5, měřeno 27. října 2026. Samotný projekt PHP podporuje každou vydanou větev dva roky oprav chyb a bezpečnostních oprav a poté další dva roky už jen kritických bezpečnostních oprav. PHP 7 a PHP 5 mají tohle všechno za sebou. Velká část webu běží na kódu, který už jeho vlastní tvůrci nechrání, což je prohraný závod z první části, do kterého se vstupuje dobrovolně.

Náš web tvoří statické stránky sestavené předem, bez kódu na straně serveru, který by je generoval ve chvíli vaší návštěvy. Stránka, která je jen soubor, nabízí k útoku velmi málo. Na otázku, kolik toho může být zasaženo, je tohle naše odpověď: tak málo, jak jen dokážeme.

Jaká data o vás uchováváme?

Malá plocha omezuje, jak by se útočník mohl dostat dovnitř. Druhá otázka se ptá, co by našel, kdyby se jednoho dne některý z nich přesto dostal dovnitř. Naší odpovědí je udělat nález co nejnudnějším: méně dat, uchovávaných po kratší dobu.

Žádáme jen o to, co je potřeba k provozu účtu. Naše zásady ochrany soukromí (anglicky) to uvádějí jasně: uživatelské jméno, e-mailová adresa, zašifrované heslo a IP adresa použitá při registraci. Platby jdou přes platební zpracovatele třetích stran, takže údaje o vaší kartě žijí u specialistů, jejichž celé podnikání spočívá v jejich ochraně, ne u nás.

Zpřísňujeme také to, co se děje v průběhu času. Staré nepoužívané účty budou mazány automaticky. Data, která neexistují, nemohou uniknout, nemohou být ukradena a nelze je vyžadovat. Účet, který jste před lety opustili, by neměl ležet ladem jako riziko s vaším jménem. Pokud bude závod někdy prohrán na naší straně plotu, výhra na stole by měla být tak malá, jak ji jen dokážeme udělat.

Stejná logika platí i mimo nás, protože závody prohrávají i jiné firmy. Mnoho úniků, které lidi postihnou, se stane v obchodech, na fórech a ve službách, kde se registrovali kdysi dávno. Proto nabízíme upozornění na úniky dat: náš Data Breach Scanner kontroluje známé úniky dat na vaši e-mailovou adresu a pošle vám e-mail, pokud se v nich objeví, abyste mohli změnit hesla dřív, než bude únik zneužit.

Co se stane, když se přesto něco rozbije?

Třetí otázka má dvě poloviny: zotavení a uzavření mezery. Nejdřív zotavení. Dobré bezpečnostní plánování počítá se špatnými dny. Hardware selhává, dodavatelé se mění a někdy je správný tah prostě od kusu infrastruktury odejít.

Naše systémy jsou postavené tak, aby je bylo možné v případě potřeby znovu vytvořit nebo přesunout jinam. Pro vás to znamená, že selhání, nebo lokalita, která už nesplňuje naše standardy, se nemusí proměnit v dlouhý výpadek, protože dotčený systém lze přestavět nebo přesunout. Pokud někdy dojdeme k závěru, že nějaké prostředí už není dost dobré, můžeme ho opustit, místo abychom s ním vyjednávali.

Odolnost není dramatická vlastnost. Projevuje se hlavně tím, že věci dál fungují, a v tomto rámci je tím, co brání, aby se prohrané kolo stalo prohranou sezónou.

Jak rychle se opravy dostanou do našich systémů?

Druhou polovinou třetí otázky je rychlost. Nic z výše uvedeného neodstraňuje potřebu záplatovat; mění to, co záplatování musí unést. S malou plochou a aktuálním softwarem je nasazení opravy rutina, ne projekt.

Naše pravidlo je jednoduché: aktualizace vycházejí, jakmile opravy existují. Říjnová měření vysvětlují proč. Když pokusy o zneužití přicházejí během minut a hodin po zveřejnění opravy, a někdy ještě dřív, než vůbec nějaká existuje, oprava, která leží a čeká, nechrání nikoho. Vydanou záplatu bereme jako startovní výstřel. Úsek mezi existencí opravy a jejím nasazením je jediná část závodu, kterou obránce plně ovládá, a proto je to část, kterou odmítáme vzdát.

A protože je náš softwarový základ malý, je prostě méně co záplatovat, a právě tady se tři otázky potkávají: čím méně toho může být zasaženo, tím rychleji se mezera uzavírá.

Postavené vedle sebe vypadají otázky a principy, které na ně odpovídají, takto:

Co to všechno znamená pro vás?

Znamená to, že tři otázky mají odpovědi, které pocítíte. Mezi vámi a vaším účtem stojí méně kódu, takže je méně míst, kde se něco může pokazit. Existuje méně vašich dat, takže i nejhorší případ odhalí jen málo. A naše systémy lze přestavět, takže náš špatný den se nemusí stát vaším dlouhým výpadkem.

O hranicích toho všeho budeme upřímní. Závod, kterým jsme začali, nelze spolehlivě vyhrát, ani my, ani nikdo jiný, protože chyby jsou někdy zneužity dřív, než o jejich existenci kdokoli ví, a žádná architektura na tom nic nemění. Žádný poskytovatel nemůže slíbit nulové riziko a kdokoli to dělá, prodává sebevědomí, ne bezpečnost. Co slíbit můžeme, je podoba ztráty: málo cest dovnitř, málo co vzít a rychlá cesta zpět. Nemůžeme zaručit, že vyhrajeme každé kolo závodu. Postavili jsme vše tak, aby vás prohra jednoho kola stála co nejméně, a myslíme si, že tento slib, dodržovaný důsledně, má větší cenu než odvážný slib, který dodržet nelze.

Bezpečnost je také společné úsilí. I ta nejsilnější sestava, jakou dokážeme postavit, těží z dobrých návyků na vaší straně, takže pokud chcete praktické kroky, začněte naším průvodcem, jak zvýšit svou online bezpečnost (anglicky). A pokud si vybíráte VPN, u nás nebo kdekoli jinde, ptejte se poskytovatele, jak přemýšlí, ne jen co prodává. Odpověď vám hodně řekne o tom, jak budou probíhat vaše tiché týdny, i ty hlučné.