"U PHP-u, tehnologiji na kojoj se zasniva veliki broj internet stranica i digitalnih usluga, otkrivene su dvije kritične bezbjednosne ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619. Njihovo iskorišćavanje može omogućiti napadaču da bez prethodne prijave na sistem izvršava zlonamjerni kod na serveru, čime mogu biti ugroženi podaci i dostupnost usluga", navode oni.
Kako ističu, razvojni tim PHP-a objavio je 21. oktobra 2026. godine bezbjednosna ažuriranja koja otklanjaju te dvije ranjivosti.
"S obzirom na zabilježene pokušaje njihovog iskorišćavanja, potrebno je dati prioritet zaštiti izloženih sistema", saopšteno je.
Riziku su izloženi serveri koji koriste ranjive verzije PHP-a za obradu web zahtjeva.
"To uključuje i sajtove zasnovane na platformama kao što su WordPress, Joomla i Drupal, kao i druge aplikacije koje koriste PHP. Ažuriranje samog sajta, njegove platforme ili dodataka ne znači nužno da je ažurirano i PHP okruženje. Zbog toga je potrebna provjera na nivou servera ili kod pružaoca hosting usluge", stoji u saopštenju.
Dodaju da samo ažuriranje sajta, njegove platforme ili dodataka ne znači da je ažurirana i verzija PHP-a na serveru.
„Zbog toga je potrebna provjera na nivou servera ili kod pružaoca hosting usluge“, navode iz CIRT-a.
Ispravke za dvije otkrivene ranjivosti sadržane su u verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, odnosno svim novijim verzijama koje sadrže odgovarajuće bezbjednosne zakrpe.
"PHP 8.1 i starije verzije više nijesu u redovnoj podršci, pa organizacijama koje ih koriste preporučuju da provjere postoje li posebne ispravke kod dobavljača i što prije pređu na podržane verzije", naglasili su.
CIRT preporučuje da se PHP provjeri i ažurira na svim relevantnim serverima, prvenstveno onima koji su dostupni sa interneta, a od hosting kompanija treba zatražiti potvrdu da je ažurirano okruženje na kojem sajt radi.
Ukoliko ažuriranje nije moguće odmah, savjetuju primjenu privremenih zaštitnih mjera i, gdje je potrebno, ograničavanje javnog pristupa ranjivim servisima.
„Uz ažuriranje treba provjeriti evidencije događaja i sisteme na znake neovlašćenog pristupa. Ažuriranje otklanja navedene ranjivosti, ali samo po sebi ne uklanja posljedice eventualnog ranijeg upada“, upozorili su iz CIRT-a.
PHP projekat je 23. oktobra objavio i dodatno upozorenje na ranjivost CVE-2026-115560, koja se pojavljuje pri specifičnoj kombinaciji konfiguracije servera i aplikativnog koda.
Dok ne bude objavljena odgovarajuća ispravka, administratorima se preporučuje privremeno podešavanje session.upload_progress.enabled=0 i ponovno pokretanje PHP procesa.
Iz CIRT-a poručuju da pravovremena ažuriranja i saradnja institucija, administratora i pružalaca usluga mogu značajno smanjiti rizik od napada i zaštititi podatke i pouzdanost digitalnih servisa.
