PHP je objavio hitne sigurnosne nadogradnje za dvije kritične ranjivosti koje omogućuju udaljeno izvršavanje koda bez autentifikacije. Administratori trebaju odmah ažurirati sustave
PHP je jedan od najraširenijih programskih jezika za razvoj web-stranica i aplikacija, a pokreće velik dio interneta, uključujući brojne sustave za upravljanje sadržajem poput WordPressa, Joomle i drugih. Zbog njegove široke primjene, sigurnosni propusti u PHP-u mogu potencijalno ugroziti velik broj web-stranica, internetskih trgovina i drugih online usluga.
Dvije kritične ranjivosti u PHP-u mogle bi napadačima omogućiti izvršavanje zlonamjernog koda na udaljenim poslužiteljima bez prijave u sustav. Razvojni tim PHP-a objavio je sigurnosne zakrpe 21. listopada 2026. te pozvao korisnike da što prije ažuriraju svoje instalacije.
Ranjivosti su evidentirane pod oznakama CVE-2026-109618 i CVE-2026-109619, a obje imaju ocjenu ozbiljnosti CVSS 9,2 od maksimalnih 10. Problem je posebno važan za organizacije koje na PHP-u temelje svoje web-stranice i aplikacije dostupne putem interneta.
Koje su verzije PHP-a pogođene?
Prvi propust povezan je s nepravilnim rukovanjem pogreškama pri nedostatku memorije, dok drugi proizlazi iz korištenja internog stanja koje je već oslobođeno iz memorije. U određenim uvjetima takve pogreške mogu dovesti do udaljenog izvršavanja koda, i to bez potrebe za autentifikacijom.
Posebno je zabrinjavajuće što je za jednu ranjivost potvrđen napad na poslužiteljima koji koriste Apacheov mod_php, pri čemu se ranjivost može aktivirati prije pokretanja aplikacijskog koda. Rizik postoji i kod drugih načina posluživanja PHP aplikacija, uključujući PHP-FPM, FrankenPHP i LiteSpeed.
Objavljene su sljedeće ispravljene verzije:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Administratori trebaju provjeriti koju verziju koriste i instalirati odgovarajuću sigurnosnu nadogradnju. Za starije grane PHP-a koje više nisu službeno podržane potrebno je provjeriti dostupnost zakrpa kod dobavljača distribucije ili pružatelja dugoročne podrške.
