ČVUT řešilo kyberútok, část systémů preventivně odstavilo. Incident souvisí s chybami v PHP

České vysoké učení technické v Praze (ČVUT) ve čtvrtek 22. října 2026 čelilo kybernetickému útoku na svou IT infrastrukturu. Univerzita preventivně odstavila část systémů a podle svého vyjádření se jí podařilo útok zastavit. Nyní pracuje na řešení problému a obnově provozu.

Některé systémy zůstanou nedostupné, dokud škola nenajde bezpečný způsob jejich opětovného spuštění. ČVUT zatím neupřesnilo, kterých konkrétních služeb se omezení týká ani kdy budou znovu dostupné.

Problém se týká kritických chyb v PHP

Univerzita dává útok do souvislosti s celosvětovými pokusy o zneužití kritických bezpečnostních chyb v programovacím jazyce PHP. Vývojáři 21. října informovali o dvou zranitelnostech, které mohou útočníkům umožnit vzdáleně spustit vlastní kód na zranitelném serveru bez předchozího přihlášení. Chyby jsou označovány jako PHP2Shell a mají identifikátory CVE-2026-109618 a CVE-2026-109619.

Na riziko upozornil také Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Pro zranitelné verze PHP už byly vydány bezpečnostní opravy. Úřad doporučil provozovatelům webů a dalších služeb využívajících tuto technologii neodkládat aktualizaci.

PHP v kostce

PHP je rozšířený open-source skriptovací jazyk používaný především pro tvorbu webových stránek a aplikací. Kód obvykle zpracovává na serveru, kde může pracovat s databázemi a vytvářet obsah, který se následně zobrazí v internetovém prohlížeči. PHP využívají různé redakční systémy i další webové platformy. Bezpečnost služeb závisí mimo jiné na používání aktualizovaných verzí a na správném nastavení serveru a aplikací.

Weby preventivně odstavily i další instituce

ČVUT není jedinou institucí, která v souvislosti se zranitelnostmi omezila provoz svých IT služeb. Ve středu 21. října dočasně odstavil svůj web Úřad vlády ČR a některé stránky omezil také Český hydrometeorologický ústav. Podle informací nizozemské vlády přistoupily k preventivnímu odstavení části webových stránek i tamní úřady.

Na očekávané zvýšení počtu pokusů o zneužití chyb upozornily také zahraniční bezpečnostní instituce. Rozšířenost PHP znamená, že se riziko může týkat webových serverů a aplikací provozovaných různými organizacemi, pokud používají zranitelné verze této technologie.

NÚKIB vysvětloval načasování varování

Postup NÚKIB se po zveřejnění upozornění na sociální síti X stal předmětem kritiky. Někteří uživatelé úřadu vytýkali, že veřejnost informoval až ve středu odpoledne, přestože vývojáři o zranitelnostech informovali už předchozí den.

Vedoucí oddělení komunikace NÚKIB Anna Zádrapová uvedla, že úřad o hrozbě věděl a zabýval se jí ještě před zveřejněním příspěvku. Podle úřadu je nutné nejprve ověřit závažnost a relevanci informací, vyhodnotit možná rizika a dopady a přijmout opatření na ochranu dotčených subjektů, zejména těch nejkritičtějších. Veřejné upozornění na sociálních sítích je podle něj pouze jednou ze součástí této práce.

NÚKIB zároveň připustil, že veřejná komunikace mohla být rychlejší. Kritiku chce využít jako podnět k tomu, aby v podobných situacích dříve informoval veřejnost alespoň o tom, že se danou hrozbou aktivně zabývá.

ČVUT zatím neoznámilo termín úplného obnovení odstavených systémů. Jejich dostupnost závisí na vyřešení incidentu a ověření, že je lze bezpečně znovu spustit.