Od opravy k útoku za 51 minut.
Co AI mění na bezpečnosti webů.

Každá zveřejněná oprava zároveň prozrazuje, kde byla chyba. Dřív trvalo dny až týdny, než z ní někdo sestavil funkční útok. Nové modely AI tu práci zkracují na hodiny.

V květnu to vyzkoušela bezpečnostní firma Miggo na jiné kritické chybě Drupalu. Výzkumníci zachytili zveřejnění opravy v 7:12 našeho času a v 8:03 měli s pomocí Clauda funkční útok. Trvalo to 51 minut a stálo méně než 10 dolarů.

Člověk musel modelu pomoct jen s jednou překážkou. O dva dny později Drupal potvrdil, že se ji útočníci pokoušejí zneužít naostro.

Mandiant je tým Googlu, který vyšetřuje kybernetické útoky. Ve své letošní zprávě uvádí, že průměrná doba do zneužití chyby klesla na odhadem minus sedm dní. Útok tedy běžně přichází dřív, než výrobce stihne vydat opravu.

Výrobci modelů o síle svých nástrojů mluví otevřeně. Anthropic o zářijovém modelu Claude Opus 5.5 píše, že má mimořádně silné schopnosti v kybernetické bezpečnosti. Většinu bezpečnostních úloh proto přesměrovává na starší model.

OpenAI v systémové kartě modelu GPT-6 Astra uvádí, že model dosáhl nejvyššího, kritického stupně kybernetických schopností. Při testech sám našel dosud neznámé chyby.

Velcí výrobci přidávají pojistky. Část té práce ale zvládají i otevřené modely, které si kdokoli spustí na vlastním počítači, a tam žádné pojistky výrobce nejsou.

Na aktualizaci teď zbývají hodiny, ne týdny.

Stejné nástroje používají bezpečnostní týmy. Drupal Association letos spustila Drupal AI Security Initiative, placenou bezpečnostní kapacitu financovanou programem Alpha-Omega. Tým hledá chyby s nástroji AI od Anthropicu i s modely, které běží lokálně, aby citlivá data neopustila jeho servery. Do konce července přispěl k více než deseti zveřejněným opravám.

PHP Foundation v květnu ze stejného důvodu založila bezpečnostní tým pro celý ekosystém PHP. Píše, že nové nástroje s AI zrychlují hledání zranitelností v open-source softwaru.

Mezi 23. zářím a 14. říjnem vydal bezpečnostní tým Drupalu 48 bezpečnostních upozornění, většinu k rozšiřujícím modulům. Každé z nich znamená chybu, o které víte, a opravu, kterou můžete nasadit.

Rozhoduje, kdo chybu najde první a jestli za softwarem stojí někdo, kdo ji opraví.

Chyby má každý software, včetně Drupalu. Ukázal to minulý týden. Rozdíl je v tom, co se stane potom.

U Drupalu se o chybě dozvíte včas a víte, co s ní. Kritické opravy jádra bezpečnostní tým ohlašuje předem a do vydání opravy chybu drží v tajnosti, aby o ní útočníci nevěděli dřív než vy.

Rozšiřující moduly dostanou bezpečnostní krytí, jen když jejich autoři splní pravidla týmu. A když autor chybu neopraví, tým modul veřejně označí jako nepodporovaný a doporučí ho odinstalovat. Jen 7. října takhle označil dva moduly.

U WordPressu leží riziko jinde. Samotné jádro je na tom dobře: podle zprávy firmy Patchstack v něm loni našli jen 6 zranitelností. V celém ekosystému jich ale za rok 2025 přibylo 11 334, o 42 % víc než rok předtím, a 91 % z nich bylo v pluginech.

U 46 % zranitelností nebyla oprava od autora hotová ve chvíli, kdy se chyba zveřejnila. U chyb, které útočníci zneužívají nejvíc, přichází první útok typicky do 5 hodin.

„WordPress je podle mě časovaná bomba. Jsou tam tisíce komunitních pluginů, a když jich máte na webu víc, je peklo je uhlídat. Spoléháte na to, že každý jejich tvůrce svou práci udělal. U Drupalu mám jistotu, že se o problému dozvím a vím, co s ním.“

Michael Urban, CEO Abbrevy

Stejnou otázku si položte u systémů, které vyvíjí a udržuje jediná firma. Kolik lidí jejich kód kontroluje, jak rychle vydají opravu a co se stane, když firma skončí nebo změní priority? U otevřeného základu s vlastním bezpečnostním týmem je odpověď veřejná.

Jistota neznamená software bez chyb. Znamená vědět o chybě včas a mít ji kým opravit.

Bezpečnostní upozornění Drupalu i PHP sledujeme průběžně. U webů, které spravujeme, platí:

• Kritické aktualizace jádra a modulů nasazujeme nejpozději do 48 hodin, běžné nejméně jednou za čtvrtletí.
• Databázi zálohujeme každou noc v 01:00 a zálohy držíme 14 dní zpět. Stáhnout je jde jen po přihlášení a z povolené IP adresy.
• Obnovu ze zálohy zkoušíme nejméně jednou za čtvrtletí. Zálohujeme i celé servery.
• Před každým nasazením nové verze uděláme zálohu. Když nová verze nesedí, vrátíme předchozí do 5 minut.

Rozsah péče určuje SLA, smlouva o úrovni služeb. Funguje jako záruční list: předem je v ní napsáno, jak rychle reagujeme a co opravíme.

AI používáme také, při vývoji i při kontrole kódu. Kód jsme ale psali ručně dávno předtím, než pomáhala AI, a víme, že aktualizace není jedno kliknutí.

Minulá oprava Drupalu to ukazuje dobře: samotné jádro chybu přímo zneužít nedovolilo, cesty k útoku otevíraly až rozšiřující moduly, případně vlastní kód webu. Kdo web zná, ví, co po aktualizaci otestovat a kde hledat, když něco nesedí.

Aktualizace je rutina. Zkušenost rozhoduje, když rutina nestačí.

• Máte web na Drupalu 10? Plánujte přechod. Podpora Drupalu 10 končí 9. prosince 2026 a potom pro něj bezpečnostní opravy nevyjdou.
• Zeptejte se svého dodavatele, jak rychle nasazuje kritické opravy a kdy naposledy zkoušel obnovu ze zálohy.
• Nevíte, na čem váš web stojí a kolik má rozšíření? Nechte si udělat technický audit, kontrolu kódu a infrastruktury.

Klid dává vědět, co na webu běží a kdo se o to stará.