Chyba jádra Linuxu (kernel): týká se vašeho e-shopu na PrestaShopu?

Pokud jste četli o závažné chybě jádra Linuxu (kernel) a máte e-shop na PrestaShopu, nejspíš se týká i vás: téměř všechny e-shopy běží na Linuxu. Kvůli této chybě se nikdo nedostane do vašeho e-shopu přímo z internetu, ale kdo už dokázal na vašem serveru něco spustit, může ovládnout celý stroj. Co dnes udělat, záleží na tom, kde váš e-shop běží: na sdíleném hostingu se zeptáte poskytovatele, na vlastním serveru aktualizujete a restartujete.

Varování, které téma znovu otevřelo, přišlo 28. října, kdy americká agentura pro kybernetickou bezpečnost CISA přidala chybu Fragnesia na svůj seznam zranitelností, které se už používají ve skutečných útocích.

Co se stalo s jádrem Linuxu?

Jádro neboli kernel je ústřední část Linuxu: ta, která řídí všechno ostatní, co na serveru běží. Letos přišlo několik závažných chyb za sebou, a proto vidíte tolik titulků: Copy Fail, Dirty Frag, Fragnesia, GhostLock, Vghost. Od května přidala CISA na ten seznam osm chyb jádra.

Názvy si pamatovat nemusíte. Těchto pět spojuje to, na čem vám opravdu záleží: jsou to lokální chyby.

Může se kvůli této chybě někdo dostat do mého e-shopu na PrestaShopu?

Sama o sobě ne. Microsoft to vysvětluje na chybě Copy Fail: útočník už musí mít na stroji nohu ve dveřích. A Red Hat říká totéž o chybě Fragnesia: je potřeba lokální přístup do systému.

Představte si server jako kancelářskou budovu. Tyto chyby neotevírají dveře z ulice. Ale kdo už je uvnitř, byť jen v komoře na košťata, dostane klíče od celé budovy.

A jak se někdo do té komory dostane? Docela běžnými cestami:

• Modul s bezpečnostní dírou, která umožňuje spustit kód na vašem serveru.
• Jiný web na vašem vlastním účtu, třeba ten starý WordPress, který nikdo neaktualizuje.
• Web jiného zákazníka, pokud jste na sdíleném hostingu. CloudLinux, jehož systém používá mnoho hostingů, varuje, že zlomyslný zákazník by se mohl dostat k dalším účtům na stejném stroji.
• Chyba v PHP, jako je PHP2Shell.

To poslední není teorie. Ve svém záznamu o chybě Fragnesia CISA varuje, že ji lze zřetězit s PHP2Shell a nainstalovat zadní vrátka a spouštět příkazy s plnou kontrolou nad serverem. CISA o těchto útocích nezveřejnila podrobnosti a to, co jsme četli, o e-shopech nemluví, takže není důvod k panice, ale je důvod zavřít obojí.

Proč nestačí server aktualizovat?

Protože nové jádro nic nedělá, dokud s ním server nenastartuje. Připomínají to Ubuntu, AlmaLinux i kanadské centrum kybernetické bezpečnosti: aktualizovat a restartovat. Server může mít opravu nainstalovanou celé týdny, a přesto běžet se starým jádrem.

Druhým způsobem je záplatování za běhu: nástroje jako KernelCare, které opravu aplikují na běžící jádro, bez restartu. Na sdíleném hostingu každý restart odstaví všechny zákazníky, takže „nerestartovali jsme“ není špatné znamení, pokud vám řeknou, že mají záplatování za běhu.

Co mám udělat podle toho, kde můj e-shop běží?

Pokud jste na sdíleném hostingu

Přihlašujete se do panelu, třeba cPanel nebo Plesk, a server nespravujete. Jádro je věc vašeho poskytovatele; vaše je se zeptat. Zkopírujte a pošlete toto:

Dobrá odpověď obsahuje údaje: verzi, datum, název nástroje. Pokud vám odpoví jen „máme vše aktuální“, zeptejte se znovu na verzi. Pokud to během pár dní nevyjasní, je dobrá chvíle uvažovat o změně.

Pokud máte VPS nebo dedikovaný server

Tady je to na vás, nebo na tom, kdo vám ho spravuje: nainstalovat bezpečnostní aktualizace a restartovat. Vyberte hodinu s malým prodejem, protože e-shop na pár minut vypadne, a po návratu ověřte, že se dá nakoupit.

Pak porovnejte běžící verzi s verzí v oznámení vašeho systému: Ubuntu, Debian, AlmaLinux nebo Red Hat. Každý systém čísluje po svém: dívejte se vždy na ten svůj.

Pokud váš e-shop běží v kontejneru

Docker a podobné, a také některé levné VPS, které jsou ve skutečnosti kontejnery. Sdílejí jádro stroje, na kterém běží, takže aktualizace zevnitř nic nezmění. Opravu nasazuje ten, kdo ten stroj spravuje: pokud je to váš poskytovatel, pošlete mu zprávu výše.

Co udělat dnes, popořadě

1. Zjistěte, jaká je vaše situace: sdílený hosting, vlastní server nebo kontejner. Pokud to nevíte, zeptejte se svého hostingu.
2. Udělejte úplnou zálohu, soubory i databázi, a uložte ji mimo server.
3. Pošlete zprávu svému hostingu, nebo aktualizujte a restartujte, pokud je server váš.
4. Zavřete vstupy: PHP s opravou PHP2Shell, aktuální moduly a pryč s tím, co už nepoužíváte, ať jsou to moduly, nebo staré weby na vašem účtu. Jaké PHP každá verze podporuje, najdete v článku jakou verzi PHP potřebuje PrestaShop.
5. Hledejte známky, že už někdo vstoupil, třeba podivné okno při návštěvě e-shopu nebo soubory, které neznáte.

Aktualizace zavře dveře, ale nevyžene toho, kdo už je uvnitř. Microsoft varuje, že ochranná opatření nemusí vrátit zpět to, co útočník už udělal.

Pokud se vám něco nezdá, začněte článkem jak vypadá e-shop napadený přes ClickFix a nic nemažte, dokud to někdo neprověří: tyto soubory prozradí, kudy útočníci vstoupili.

Pro váš technický tým

Běžící jádro: uname -r oproti nainstalovanému (rpm -q kernel, dpkg -l 'linux-image*'). Opravy přicházejí přes backport bez viditelné změny verze: rozhoduje revize balíčku, ne číslo z kernel.org.

Revize s opravou chyby Fragnesia (CVE-2026-46300): Ubuntu 26.04 7.0.0-22.22, 24.04 6.8.0-124.124, 22.04 5.15.0-181.191; AlmaLinux 8 4.18.0-553.124.3.el8_10, 9 5.14.0-611.54.5.el9_7, 10 6.12.0-124.56.3.el10_1. Každá CVE má svou: nainstalujte nejnovější pro svou větev.

Ještě neuzavřená ve všech větvích: Vghost (CVE-2026-74580). K 4. listopadu ji Ubuntu uvádí jako opravenou v 26.04 a 22.04 a v 24.04 rozpracovanou. Red Hat ji umisťuje hlavně na virtualizační hostitele a vyžaduje přístup k /dev/vhost-*: do opravy to nezpřístupňujte kontejnerům ani nedůvěryhodným uživatelům.