Sigurnosni propusti mogu omogućiti napadačima izvršavanje zlonamjernog koda na ranjivim serverima bez prethodne autentifikacije. Organizacijama i administratorima web-stranica preporučuje se da što prije provjere svoje sisteme i primijene dostupne nadogradnje.
Dvije kritične sigurnosne ranjivosti otkrivene su u PHP-u, jednom od najraširenijih programskih jezika koji se koriste za razvoj web-stranica i aplikacija.
Ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, imaju ocjenu ozbiljnosti 9,2 od mogućih 10 prema CVSS v4.0 sistemu. Njihovo iskorištavanje može omogućiti udaljeno izvršavanje zlonamjernog koda (Remote Code Execution – RCE) na ranjivim serverima, bez potrebe da se napadač prethodno prijavi u sistem.
PHP razvojni tim objavio je 21. oktobra 2026. godine sigurnosne nadogradnje koje otklanjaju ove ranjivosti.
Zašto su ove ranjivosti posebno ozbiljne?
PHP se koristi u brojnim web-aplikacijama i sistemima za upravljanje sadržajem. Zbog njegove široke rasprostranjenosti, sigurnosni propusti u ovoj tehnologiji mogu predstavljati rizik za veliki broj organizacija i korisnika.
Posebnu zabrinutost izaziva mogućnost da napadač iskoristi ranjivost bez prethodne autentifikacije. U slučaju uspješnog napada, to može dovesti do izvršavanja neovlaštenih naredbi na serveru i ugrožavanja sigurnosti sistema i podataka.
Evropska agencija za cyber sigurnost (ENISA), CERT-EU i druge nadležne evropske institucije pozvale su organizacije da bez odgađanja identificiraju sisteme koji koriste PHP, koordiniraju aktivnosti s pružaocima hosting usluga i primijene objavljene sigurnosne zakrpe.
Koje verzije PHP-a treba ažurirati?
Sigurnosne ispravke dostupne su u sljedećim verzijama:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Administratori koji koriste ranije verzije trebaju provjeriti dostupnost odgovarajućih sigurnosnih nadogradnji. Posebnu pažnju potrebno je posvetiti zastarjelim verzijama PHP-a koje više nemaju redovnu sigurnosnu podršku.
Šta trebate uraditi?
1. Provjerite verziju PHP-a. Utvrdite koju verziju koristi vaš server i da li je obuhvaćena sigurnosnim upozorenjem.
2. Primijenite sigurnosne nadogradnje. U koordinaciji s administratorima ili IT timom instalirajte odgovarajuće zakrpe, uz prethodnu provjeru kompatibilnosti web-aplikacija.
3. Kontaktirajte hosting provajdera. Ako koristite uslugu hostinga i nemate direktan pristup serverskoj konfiguraciji, zatražite potvrdu da su sigurnosne nadogradnje primijenjene.
4. Provjerite moguće znakove kompromitacije. Ako postoje indicije da je sistem bio izložen napadu, obratite se stručnjacima za cyber sigurnost i izvršite provjeru relevantnih serverskih zapisa i aktivnosti.
5. Procijenite rizike ako nadogradnja nije odmah moguća. Privremene zaštitne mjere mogu smanjiti izloženost, ali ne predstavljaju potpunu zamjenu za instaliranje sigurnosnih zakrpa.
Pravovremena reakcija je dio digitalne otpornosti
Ovakva sigurnosna upozorenja podsjećaju na značaj redovnog održavanja digitalnih sistema, praćenja sigurnosnih preporuka i jasne podjele odgovornosti između organizacija, IT timova i pružalaca tehnoloških usluga.
Cyber sigurnost ne podrazumijeva samo reagovanje nakon incidenta. Ona uključuje i prepoznavanje rizika, preventivno djelovanje i spremnost da se na novootkrivene prijetnje odgovori pravovremeno.
Ne čekajte da sigurnosni problem postane vidljiv. Provjerite svoje sisteme i primijenite dostupne nadogradnje.
Detaljne tehničke informacije, opis ranjivosti i preporuke za ažuriranje dostupni su na zvaničnoj stranici PHP projekta:
