Kvůli chybám v PHP vlády odpojovaly weby, kyberútok potvrdilo i ČVUT

Kritické chyby v PHP, které pomohla odhalit umělá inteligence, přiměly v říjnu 2026 vlády v několika zemích dočasně odpojit část webů. Kyberútok na svou infrastrukturu potvrdilo také pražské ČVUT. Ve stejném měsíci přicházely také zprávy o únicích údajů z finančních společností a zdravotnictví.

Ve spolupráci Šumava.eu a CIAD

Odstavené státní služby

Britská vláda 22. října oznámila, že 32 vládních služeb není dostupných a další čtyři fungují jen částečně. Nizozemsko už o den dříve preventivně odpojilo DigiD, přes který se lidé přihlašují do online služeb státu, i portály MijnOverheid a Overheid.nl. V Brazílii úřady preventivně odpojily federální systém SEI, který slouží k oběhu dokumentů.

Japonská premiérka Sanae Takaičiová 21. října vyzvala správce k rychlé instalaci oprav, případně k dočasnému vypnutí ohrožených webů. Britský deník The Guardian použil označení Black October v souvislosti s chybami v PHP a obavami z rychlejšího hledání i zneužívání zranitelností pomocí AI.

ČVUT potvrdilo kyberútok

České vysoké učení technické v Praze 22. října potvrdilo kyberútok na svou IT infrastrukturu a spojilo jej s celosvětovými pokusy napadat weby využívající PHP. Aktivní útok zastavilo a některé systémy preventivně odstavilo. Škola ve svých vyjádřeních nesdělila, zda při útoku unikla data.

Chyba v softwaru, který pohání weby

PHP na serveru připravuje stránky, které se pak zobrazí v prohlížeči. Výzkumníci společnosti Wiz odhadují, že ho používá téměř 70 % webových stránek. Při hledání chyb jim pomohly také modely umělé inteligence, první problém objevili 19. srpna 2026. Na testovacích webech postavených na WordPressu a Drupalu předvedli, že lze bez přihlášení spustit vlastní příkazy přímo na serveru.

Amazon zaznamenal pokus o zneužití už 17. října, čtyři dny před veřejným oznámením zranitelností. PHP zveřejnilo bezpečnostní opravu 21. října a vyzvalo provozovatele k aktualizaci. Weby, které nešlo zabezpečit hned, úřady raději dočasně odpojily.

Co píšou BBC a CNN

Podle CNN byly v Evropě dočasně mimo provoz vládní weby ve Francii, Dánsku, Finsku a Nizozemsku, včetně nizozemské agentury pro kybernetickou bezpečnost. V Japonsku podle CNN dočasně pozastavily některé stránky a služby například aerolinky ANA, železniční dopravce JR West a největší japonská banka MUFG. BBC uvedla, že francouzský telekomunikační operátor Orange pozastavil přístup k některým službám po celém světě, než nasadil bezpečnostní opravy.

Japonská média podle BBC informovala, že operátor SoftBank dočasně pozastavil varování před zemětřeseními, tsunami a dalšími katastrofami. K pátku 23. října ráno podle BBC nebyly hlášeny žádné úspěšné útoky. BBC také představila Ondřeje Surého, který přes 20 let ve volném čase dobrovolně spravuje balíčky PHP pro linuxové systémy Debian a Ubuntu. Podle něj šlo o nejzávažnější incident za poslední roky, a protože se schopnosti AI v kybernetické bezpečnosti zlepšují, nemusí být ojedinělý.

Co si z toho odnést

O aktualizaci PHP se musí postarat provozovatel webu nebo jeho hosting. Pokud máte vlastní web, ověřte u správce, že opravu skutečně nainstaloval. Samotná aktualizace WordPressu či jiné aplikace nestačí: zkontrolovat je třeba i software na serveru, na kterém web běží.

Ve spolupráci Šumava.eu a CIAD. Podrobnosti včetně časové osy, grafu přibývajících zranitelností a přehledu říjnových úniků dat najdete v původním článku CIAD Internet je pod útokem. Vládní weby se musely uzavřít.