Těžký týden pro obránce: PwnEscape, eMudhra, SafePay a oprava PHP

Aktualizace, 21. října, 16:30 pařížského času: PHP vydalo verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35 kolem 15:35 pařížského času, o něco dříve než ohlášených 14:00 UTC, čímž opravilo obě kritické chyby, a k tomu zveřejnilo zdrojové backporty pro verze 7.4, 8.0 a 8.1. Část o PHP níže byla aktualizována.

Pokud pracujete v bezpečnosti, správě systémů nebo hostingu, bylo sedm dní končících dneškem toho druhu, který lidé z oboru popisují suše, jen rozsahem dat, protože přídavná jména působí neprofesionálně. Kritický únik z linuxového virtuálního stroje ve čtvrtek. Certifikační autorita, jejíž soukromé klíče se o víkendu ukázaly být obnovitelné kýmkoli s notebookem. V úterý společné vládní varování před ransomwarem, který uvádí záložní zařízení do továrního nastavení, k tomu výpadek cloudu, kvůli kterému přestaly fungovat platební karty, a oznámení projektu PHP, že následující den vyjdou dvě kritické opravy. Ten následující den je dnes. Opravy byly ohlášeny na 14:00 UTC a dorazily o něco dřív, kolem 15:35 pařížského času.

Jedna korekce je důležitější než kterýkoli jednotlivý titulek. Možná jste četli, že přes únik z VM, přezdívaný PwnEscape, bylo „hacknuto mnoho poskytovatelů hostingu”. K 13:30 pařížského času 21. října jde o obavu, nikoli o potvrzený fakt. Žádné zneužití v praxi nebylo nikde hlášeno. Ta obava má racionální základ, který vysvětlíme, ale měla by být označena jako obava. Zbytek tohoto článku prochází týden popořadě, odděluje potvrzené od předpovídaného a končí krátkým seznamem toho, co by běžný čtenář nebo majitel malého webu měl skutečně udělat.

Proč jsou bezpečnostní týmy tak vyčerpané?

Začněme u lidí, protože každá událost tohoto týdne dopadla na tytéž stoly. Studie pracovní síly v kyberbezpečnosti ISC2 2025, zveřejněná v prosinci 2025 na základě sběru dat v červenci a srpnu 2025 mezi 16 029 respondenty, zjistila, že 48 % bezpečnostních profesionálů se cítí vyčerpaných snahou držet krok s hrozbami a technologiemi, 47 % se často cítí zavaleno objemem práce a 32 % se cítí přepracováno kvůli nedostatku personálu. Peníze to příliš nezmírňují: 20 % nedostalo v uplynulém roce žádné zvýšení platu a nedostatečné ohodnocení bylo častým zdrojem nespokojenosti u 31 %.

Ostřejší zjištění se týká vedení. Jen 32 % respondentů říká, že jejich organizace považuje kyberbezpečnost za kritickou obchodní funkci, a 23 % uvádí tuto mezeru jako příčinu nespokojenosti. Bezpečnostní práce je strukturálně neviditelná: klidné čtvrtletí vypadá ze zasedací místnosti přesně jako zbytečný výdaj a člověk, který zabránil deseti incidentům, sedí v rozpočtu vedle člověka, který uzavřel deset obchodů. Tatáž studie ISC2 zjistila, že 36 % organizací v roce 2025 seškrtalo bezpečnostní rozpočty a 24 % hlásilo propouštění v bezpečnosti, zatímco 72 % profesionálů souhlasí s tím, že snižování počtu bezpečnostních pracovníků výrazně zvyšuje riziko průniku.

Evropská data nejsou laskavější. Ve studii ISACA State of Cybersecurity 2026 (sběr dat květen 2026; 494 evropských respondentů z 1 888 celosvětově) 72 % uvedlo, že práce je stresovější než před pěti lety, přičemž hlavními příčinami jsou složité prostředí hrozeb (72 %) a nerealistická očekávání v kombinaci s přílišným objemem práce (57 %). Více než polovina evropských organizací uvedla, že má nedostatek personálu (56 %) a nedostatek financí (55 %), a 21 % firem proti vyhoření nepodniká vůbec nic. Mějte tato čísla na paměti, až se bude týden odvíjet.

Co je PwnEscape a byli přes něj poskytovatelé hostingu opravdu hacknuti?

Ve čtvrtek 15. října zveřejnil projekt linuxového jádra CVE-2026-99999, rychle přezdívaný PwnEscape: chybu ve zpracování kontrolních součtů IPv4 v jádře, ohodnocenou 9,3 (kritická) ze strany CNA jádra (Red Hat ji hodnotí jako důležitou). Scénář: škodlivý mikro-VM předá hostitelskému rozhraní TAP upravená metadata kontrolních součtů virtio-net. Únik z hosta na hostitele je okamžik, kdy pronajatý virtuální stroj přestává být nájemníkem a stává se domácím: kód uvnitř VM jednoho zákazníka získává vliv nad fyzickým serverem, na kterém běží stroje všech ostatních. Proto skóre 9,3 na hostitelích typu KVM přimělo personál hostingů sáhnout po kávě.

Zde je to, co je skutečně prokázáno. Chybu našli výzkumníci z pwn.ai během výzvy Vercel Sandbox, nahlásili ji jádru 4. září a v hlavní větvi byla opravena 14. října, se záplatami pro sedm stabilních větví. Únik paměti hostitele byl předveden proti produkčním sandboxům hostitele výzvy, jak potvrzuje vlastní zpráva Vercelu o výzvě; tentýž příspěvek uvádí, že žádná hlášení neukázala, že by někdo přistupoval k zákaznickým datům ve Vercel Sandbox. Pády hostitele a získání práv root na hostiteli byly předvedeny jen na vlastních strojích výzkumníků a pwn.ai uvádí, že jeho práce není tvrzením o spuštění příkazů s právy root v produkčním prostředí žádného dodavatele. Zranitelný vzor kódu pochází zhruba z roku 2008, podle analýzy TuxCare.

A zneužití? Obohacení záznamu CVE ze strany CISA to říká přímo: Zneužití: žádné. Chyba není v katalogu známých zneužívaných zranitelností (KEV) agentury CISA podle stavu z 20. října. Žádný potvrzený útok v praxi nebyl hlášen žádným z médií, která téma sledují. Výzkumníci citovaní CSO a heise očekávají funkční exploity proti slabším konfiguracím během týdnů, což je předpověď, nikoli pozorování.

Tak proč ten děs? Tři důvody, všechny oprávněné. Zaprvé, pro tuto chybu neexistují žádné zveřejněné indikátory kompromitace, žádné škodlivé hashe ani útočná infrastruktura, které by šlo hledat; SOC Prime poznamenává, že detekce závisí na telemetrii hostitele, monitoringu virtualizace a analýze pádů, což mnoho menších hostingů prostě nesbírá. To ztěžuje detekci. Neznamená to ale, že chyba nezanechává stopy: žádný zdroj, který jsme našli, netvrdí, že zneužití nezanechává žádnou stopu. Zadruhé, oprava vyžaduje záplatování a restart jádra hostitele; aktualizace vlastního VM nic nezmění, takže každého dotčeného poskytovatele čeká kampaň restartů napříč celou flotilou. Zatřetí, nejistota už nyní působí komerční škody: japonský poskytovatel hostingu 16. října preventivně zmrazil nové registrace napříč svým VPS, sdíleným i dedikovaným hostingem, aniž byl hlášen průnik, a německý hosting od víkendu restartuje své virtualizační servery. Pro zákazníky platí rada heise: nemusíte dělat nic, kromě kontroly, že váš VM po restartu u vašeho poskytovatele znovu naběhl.

Co se stalo s certifikáty eMudhra?

Sobota přinesla certifikátový příběh a začalo kolovat slovo „uneseno". Realita, zdokumentovaná v hlášení chyby u Mozilly, je jiná a v jistém smyslu podivnější: osm mezilehlých certifikátů CA patřících eMudhra, indické certifikační autoritě, mělo soukromé klíče P-384 tak slabé, že byly triviálně obnovitelné. Zaměstnanci Mozilly klíče obnovili během hodin od hlášení ze 17. října. eMudhra připisuje slabinu chybnému skriptu pro generování klíčů použitému při ceremonii generování klíčů v dubnu 2025 a uvádí lidské chyby v několika krocích.

Co následovalo, byl ekosystém důvěry pracující na plné obrátky. Podle BleepingComputer Firefox 17. října vydal blokaci přes OneCRL, přičemž 20. října následovaly aktualizace Firefox 158.0.1 a ESR pro uživatele, jejichž konfigurace dřívější aktualizaci zablokovaly; Chrome rovněž 17. října zablokoval šest mezilehlých certifikátů schopných TLS a Apple následoval 19. října; eMudhra odvolala všech osm certifikátů 18. října. Mozilla poté oznámila nouzové odebrání důvěry nadřazenému kořenovému certifikátu emSign ECC Root CA - G3 a Chrome se zavázal k podobnému postupu; eMudhra odhaduje, že migraci bude potřebovat zhruba 30 000 certifikátů, podle jejího vlastního komentáře v hlášení chyby u Mozilly.

Dvě poctivé výhrady míří opačnými směry. Uklidňující: neexistují důkazy, že by slabé klíče byly kdy zneužity, a eMudhra uvádí, že z dotčené série nebyly vydány žádné koncové certifikáty. Méně uklidňující: jeden ze soukromých klíčů zveřejnil výzkumník na GitHubu a software, který nese vlastní úložiště důvěryhodných certifikátů nebo přeskakuje kontroly odvolání (incidentní přehled Mozilly, jak informoval BleepingComputer, uvádí jako příklad vestavěný curl v macOS), může certifikátům důvěřovat dál, dokud nebude aktualizován. Pro čtenáře se celý úkol vejde do jedné věty: aktualizujte prohlížeč a operační systém. Problémy s certifikáty jsou přesně kategorie, kde VPN nic nemění, i když stojí za připomenutí, že padělané nebo chybně důvěryhodné certifikáty jsou nejdůležitější pro útočníka, který už dokáže zachytávat váš provoz, což je jeden z důvodů, proč je šifrování připojení na veřejné Wi-Fi (anglicky) stále rozumnou hygienou.

Proč bylo dnešní vydání PHP tak důležité?

V úterý odpoledne zveřejnil projekt PHP na php.net neobvyklé oznámení: bezpečnostní vydání naplánované na středu 21. října ve 14:00 UTC, řešící dvě kritické zranitelnosti, s úplnými detaily, které budou zveřejněny spolu s vydáním. Předběžné ohlášení kritické opravy je záměrný kompromis: dává obráncům den na naplánování údržbových oken, za cenu toho, že útočníkům sděluje, že přichází něco cenného. Vydání pak dorazilo o něco dříve: advisory na GitHubu mají časové razítko 13:34 UTC, 15:34 pařížského času, a oznámení PHP s názvem „Kritické zranitelnosti umožňující vzdálené spuštění kódu, aktualizujte hned" uvádí jako opravená vydání PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravují CVE-2026-109618 a CVE-2026-109619, „dvě kritické zranitelnosti, které mohou umožnit neautentizované vzdálené spuštění kódu", obě s hodnocením CVSS v4.0 9,2.

Obě chyby lze popsat jednoduše. CVE-2026-109618, „RCE přes poškození při OOM": zpracování vyčerpání paměti může přerušit PHP ve chvíli, kdy jsou interní data požadavku inicializována jen částečně, a úklid požadavku pak může neplatná data považovat za platná. CVE-2026-109619, „RCE přes zastaralý globální stav": interní stav náležející požadavku může přežít poté, co byla jeho paměť uvolněna, a pozdější požadavek obsloužený stejným workerem ho může použít, tedy use after free. Kdo je podle PHP ohrožen: „všechny instalace PHP obsluhující webové požadavky, včetně PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed". Riziko je nejvyšší u mod_php, „s předvedeným exploitem, kdy neautentizovaný požadavek může spustit útok dřív, než se spustí jakýkoli aplikační kód". Předvedený exploit není totéž co zneužívání v praxi; advisory PHP útoky v praxi nehlásí.

Embargo stejně prosáklo. Rozbory bezpečnostních firem, včetně SecureLayer7, sledovaly chyby jako CVE-2026-109618 a CVE-2026-109619 a uváděly, že před vydáním se objevil proof of concept nazvaný „PHP2Shell"; projekt PHP ho neověřil, ačkoli SecureLayer7 uvádí, že nejméně jedna bezpečnostní firma tvrdí, že jednu z chyb reprodukovala. Advisory PHP z 21. října nehlásí žádné zneužití v praxi.

A pak jsou tu všichni na staré větvi. „PHP 8.1 a starší už od projektu PHP aktualizace nedostávají", poznamenává oznámení, ačkoli některé distribuce a dodavatelé LTS poskytují zpětně portované opravy. „Vzhledem k závažnosti" zveřejnil bezpečnostní tým PHP také minimální zdrojové backporty pro PHP 7.4, 8.0 a 8.1, určené lidem, kteří sestavují ze zdrojového kódu nebo nemají dodavatele LTS; jde o záplaty k aplikaci, ne o hotová vydání. Pro PHP 7.3 a starší, včetně PHP 5, projekt žádné backporty nezveřejnil. Linuxové distribuce a dodavatelé LTS dostali záplaty předem a samotné PHP 8.2 dosáhne konce životnosti 31. prosince 2026. Advisory PHP uvádí dočasná opatření pro ty, kdo nemohou aktualizovat okamžitě, jako je nastavení memory_limit na -1, snížení post_max_size nebo vypnutí session upload progress, ale říká, že „snižují vystavení konkrétním cestám útoku, ale nedělají instalaci bezpečnou"; podle poznámek k vydání je „aktualizace jedinou bezpečnou volbou".

Pointou je měřítko. Podle W3Techs běží PHP na 69,3 % webů se známým serverovým jazykem a z těchto webů s PHP 27,0 % stále běží na verzi 7 a 7,7 % na verzi 5, tedy větvích, které dosáhly konce životnosti před lety. Mezi weby na verzi 7 patří i PHP 7.4, které teď má alespoň backport na úrovni zdrojového kódu; weby na PHP 5 a na PHP 7.0 až 7.3 od projektu žádný backport nedostávají. Varování CERT-EU 2026-018 upozornilo, že zranitelnosti mohou postihovat všechny verze PHP od PHP 5 dále; to zůstává jeho varováním, zatímco advisory na GitHubu uvádějí jako dotčené jen podporované větve, pod 8.2.35, 8.3.36, 8.4.27 a 8.5.12, a verze na konci životnosti nevyjmenovávají. Pro správce systémů z první části je to dnešní noční práce a migrační projekt na příští čtvrtletí, oznámené v tutéž úterý jako všechno ostatní.

Co dalšího tento týden přistálo na stolech obránců?

Pondělí a úterý přidávaly dál. Společné varování CISA a FBI AA26-293A (20. října) podrobně popisuje SafePay, ransomwarovou operaci, která zasáhla nejméně 600 organizací od srpna 2024. Aby obětem zabránil v obnově, uvádí varování, SafePay zastavuje službu Volume Shadow Copy Service a uvádí síťová záložní úložiště do továrního nastavení, v některých případech maže všechny síťově připojené zálohy. Jádro rady z varování je stará moudrost s novou naléhavostí: zálohy musí být offline, neměnné a skutečně otestované, protože kopie dostupné po síti jsou přesně to, co tato skupina ničí.

Také katalog známých zneužívaných zranitelností (KEV) agentury CISA měl nabitý týden: 20. října přibyly čtyři chyby Plex Media Server, které lze řetězit, což je důležité, protože Plex je vzácná položka KEV, která sídlí v obývácích, a ne v datových centrech. Dříve v týdnu přišly BeyondTrust Remote Support a Fortinet (16. října), Atlassian Data Center (15. října) a Palo Alto PAN-OS, Cisco Secure Email Gateway a Ahsay (14. října). Každá položka má důkazy o zneužívání v praxi.

Týden rámovaly ještě dvě položky. Exkluzivní zpráva Reuters z 19. října popsala jediného hackera, který pomocí autonomních AI agentů zkoušel průniky na více než 1 200 webů a pronikl na weby více než 100 firem, s náklady kolem 50 dolarů na jeden průnik, podle výzkumníka z NorForge; Reuters nedokázal zjistit, jaká data byla odcizena. Ať už bude konečné vyúčtování jakékoli, příběhem je ekonomika: pokud průnik stojí asi 50 dolarů, vypadají rozpočtové škrty z dat ISC2 ještě hůře obhajitelné. A v úterý se výpadek Google Cloud v jeho londýnském regionu časově shodoval s odmítáním karet Revolut napříč Evropou; Revolut sám potvrdil příčinu večer 20. října, když v 19:39 pařížského času oznámil, že problém byl opraven a služby obnoveny, a jako příčinu označil výpadek Google Cloud; Google svůj výpadek připisuje události v napájení v jedné zóně svého londýnského regionu a nic ho nespojuje s PwnEscape. Pokryli jsme to samostatně v našem vysvětlujícím článku o výpadku Revolut.

Jak vypadá celý týden vedle sebe?

Co byste tento týden měli skutečně udělat?

Pro většinu čtenářů je poctivá odpověď krátká. Aktualizujte prohlížeč a operační systém, čímž se certifikátový příběh tiše vyřeší. Pokud doma provozujete Plex Media Server, aktualizujte ho ještě dnes; ty chyby jsou zneužívány, nejsou jen teoretické. A očekávejte phishing, který si půjčí titulky tohoto týdne, zprávy typu „váš účet byl odhalen při průniku do PHP"; pomůže DNS filtr, který blokuje známé phishingové domény ještě před načtením, jako je Threat Protection od Le VPN, a pokud e-mail tvrdí, že váš e-mail byl zachycen při úniku dat, ověřte si ho proti známým únikům sami, místo abyste klikali na odkaz. Zbytek základů pokrývá náš rozcestník online bezpečnosti (anglicky).

Pokud vlastníte web: ještě dnes večer zjistěte, na které větvi PHP běžíte. Na 8.2 až 8.5 je aktualizace venku: nasaďte hned 8.2.35, 8.3.36, 8.4.27 nebo 8.5.12, nebo se zeptejte svého hostingu, zda už je nasazena, protože linuxové distribuce a dodavatelé LTS dostali záplaty předem. Na 7.4, 8.0 nebo 8.1 jsou možnostmi minimální zdrojové backporty bezpečnostního týmu PHP nebo zpětně portovaná oprava od dodavatele. Na 7.3 nebo starší, včetně PHP 5, to berte jako donucovací impuls k upgradu, který odkládáte, a mezitím zvažte doporučení CERT-EU izolovat vše vystavené internetu, co nelze záplatovat. Pokud váš web žije na VPS, je fér položit svému poskytovateli dvě otázky: byla jádra hostitelů záplatována proti CVE-2026-99999 a kdy je okno pro restart. A zkontrolujte, že vaše zálohy existují někde, kam ransomware nedosáhne: SafePay resetuje nebo maže síťově připojené zálohy právě proto, že oběti na ně spoléhají.

Pokud řídíte lidi, kteří tuto práci dělají, čísla z průzkumů na začátku tohoto článku nejsou personalistická kuriozita; jsou to indikátor rizika. Zpráva Proofpoint 2026 Voice of the CISO zjistila, že 77 % ředitelů bezpečnosti (CISO) říká, že jsou na ně kladena přehnaná očekávání, a výzkum zapojení správních rad IANS/Artico zjistil, že jen 29 % členů rad hodnotí kybernetické reporty, které dostávají, jako velmi účinné. Tým, který tento týden strávil záplatováním hostitelů, rotací certifikátů a čtením uniklých embarg o půlnoci, to udělá příští měsíc znovu. Zda to udělá dobře, nebo při aktualizování životopisů, je zčásti otázka rozpočtové položky.

Ještě jeden poctivý odstavec. VPN by nezabránila jediné události z tohoto seznamu. Nezáplatuje servery, neopravuje chyby jádra nebo PHP na webech, které navštěvujete, nezastavuje výpadky cloudu ani nenahrazuje aktualizace prohlížeče, které zablokovaly špatné certifikáty. To, co dělá, je užší a přesto užitečné: šifruje provoz mezi vaším zařízením a serverem VPN, takže někdo na stejné kavárenské Wi-Fi nemůže zachytit, co odesíláte. Vědět přesně, co nástroj dělá, a říct to nahlas, nám přišlo jako správný způsob, jak zakončit týden, který běžel na strachu z nepotvrzeného.

Opravy přistály dnes odpoledne pařížského času. Někde má unavený administrátor otevřený terminál a zarezervované údržbové okno a do čtvrtka si nikdo mimo tým nevzpomene, že se to stalo. Tak vypadá bezpečnost, když funguje: navenek vůbec nijak.