Dvije kritične ranjivosti u PHP-u, programskom jeziku koji se koristi na poslužiteljima brojnih poslovnih web-stranica i internetskih trgovina, potaknule su najavu izvanrednih sigurnosnih zakrpa za 21. listopada u 16 sati po vremenu u Bosni i Hercegovini. Obje imaju ocjenu 9,2 od mogućih 10 prema sustavu CVSS v4.0, a sigurnosne tvrtke već izvještavaju o pokušajima napada.
PHP-ov sigurnosni tim potvrdio je dvije kritične ranjivosti i najavio objavu zakrpa. Istodobno je Patchstack priopćio da je od više hosting partnera zaprimio prijave aktivnog iskorištavanja. Prema Reutersovu izvještaju, prve napade uočava i Cloudflare, koji prilagođava svoja zaštitna pravila.
Za tvrtke koje koriste WordPress, WooCommerce ili vlastite poslovne aplikacije najvažnije je utvrditi koju verziju PHP-a koristi njihov poslužitelj i tko je odgovoran za njezino održavanje. Redovito ažuriranje web-stranice ne znači nužno da je ažurirano i PHP okruženje u kojem ona radi.
Što je potvrđeno o ranjivostima PHP2Shell?
PHP je 20. listopada objavio upozorenje o dvjema kritičnim ranjivostima, za koje je izvanredno sigurnosno izdanje zakazano 21. listopada u 14 sati prema koordiniranom svjetskom vremenu (UTC).
U sigurnosnim upozorenjima ranjivosti se navode pod oznakama CVE-2026-109618 i CVE-2026-109619, a među istraživačima su dobile neslužbeni naziv PHP2Shell.
Prema upozorenju CERT-EU-a, postoji mogućnost udaljenog izvršavanja zlonamjernog koda. Takav napad mogao bi omogućiti izvršavanje naredbi na ranjivom poslužitelju, no službeni tehnički uvjeti iskorištavanja još nisu objavljeni.
Informacije o ranjivostima procurile su 20. listopada, prije planirane koordinirane objave. Sigurnosna tvrtka watchTowr objavila je vlastitu analizu, dok je PHP najavio da će podatke o zahvaćenim verzijama i ispravcima objaviti zajedno sa zakrpama.
U prvim neslužbenim informacijama spominjala se ocjena ozbiljnosti 10,0. Službena PHP-ova ocjena za obje ranjivosti iznosi 9,2 prema metodologiji CVSS v4.0.
Ta ocjena označava kritičnu ozbiljnost, ali sama po sebi ne dokazuje da je svaka web-stranica koja koristi PHP izložena napadu.
Patchstack i Cloudflare upozoravaju na prve napade
Patchstack je 21. listopada objavio da je od više hosting partnera zaprimio prijave aktivnog iskorištavanja ranjivosti. Prema vremenskoj evidenciji tvrtke, prijave su zaprimljene u 07:34 UTC, odnosno 09:34 po vremenu u BiH.
Patchstack nije objavio broj pogođenih poslužitelja, identitet hosting partnera ni tehničke dokaze na temelju kojih bi se prijavljeni incidenti mogli neovisno potvrditi.
Dodatno upozorenje stiglo je iz Cloudflarea. Njegov tehnički direktor Dane Knecht izjavio je, prema Reutersovu izvještaju od 21. listopada, da tvrtka uočava prve napade i prilagođava zaštitna pravila. Takve mjere privremene su i ne zamjenjuju službene PHP zakrpe.
Izvještaji upućuju na aktivnost napadača prije objave sigurnosnih ispravaka. Međutim, zasad nema javno potvrđenog broja uspješno kompromitiranih poslužitelja niti podataka o geografskom rasporedu prijavljenih incidenata.
Koje verzije PHP-a imaju sigurnosnu podršku?
Prema službenoj evidenciji projekta PHP, sigurnosnu podršku trenutačno imaju četiri grane.
| Verzija PHP-a | Status | Kraj sigurnosne podrške |
|---|---|---|
| PHP 8.5 | Aktivna podrška | 31. prosinca 2029. |
| PHP 8.4 | Aktivna podrška | 31. prosinca 2028. |
| PHP 8.3 | Samo sigurnosna podrška | 31. prosinca 2027. |
| PHP 8.2 | Samo sigurnosna podrška | 31. prosinca 2026. |
| PHP 8.1 i starije | Izvan službene podrške | Podrška istekla |
Starije grane PHP-a više ne dobivaju sigurnosne ispravke izravno od projekta PHP. Pojedine Linux distribucije i komercijalni dobavljači ipak mogu održavati vlastite sigurnosne pakete za starije verzije.
Posebno je važan PHP 8.2, kojemu službena sigurnosna podrška istječe krajem 2026. Tvrtke koje ga koriste trebale bi provjeriti mogućnost prelaska na noviju granu, uz prethodno testiranje kompatibilnosti poslovnih aplikacija.
Sigurnosni istraživači upozoravaju da bi nove ranjivosti mogle zahvatiti i znatno starije verzije PHP-a. Međutim, prije službenog sigurnosnog izdanja nije potvrđen potpun popis zahvaćenih verzija.
Gotovo 900.000 poslužitelja otkriva zastarjele verzije PHP-a
Sigurnosna tvrtka Mallory analizirala je podatke internetske tražilice Shodan i identificirala 1.495.986 javno dostupnih poslužitelja koji otkrivaju verziju PHP-a.
Od toga je 883.717 poslužitelja prikazivalo PHP 8.1 ili stariju verziju, odnosno 59,1 posto analiziranog uzorka.
Podaci se temelje na oznakama verzija koje poslužitelji otkrivaju putem HTTP zaglavlja. Oni ne dokazuju da je svih 883.717 poslužitelja izloženo ranjivostima PHP2Shell niti da na njima nedostaju sigurnosni ispravci dobavljača.
Analiza ne obuhvaća sve PHP instalacije na internetu jer mnogi poslužitelji ne otkrivaju verziju programskog okruženja. Broj poslužitelja također se ne može izravno poistovjetiti s brojem web-stranica ili tvrtki.
Zašto ažuriran WordPress ne znači i zaštićen poslužitelj?
WordPress, WooCommerce, Drupal, Joomla, Magento i Laravel koriste PHP za izvršavanje programskog koda na poslužitelju. Ako se ranjivost nalazi u samom PHP-u, ažuriranje aplikacije ili njezinih dodataka ne uklanja problem u poslužiteljskom okruženju.
Sigurnosna tvrtka Wordfence upozorila je, prema Reutersu, da automatske nadogradnje WordPressa neće primijeniti PHP-ovu sigurnosnu zakrpu. Vlasnici stranica zato trebaju provjeriti tko održava PHP na njihovu poslužitelju.
Na moguću izloženost internetskih trgovina upozorio je i Sansec, sigurnosna tvrtka specijalizirana za zaštitu e-trgovine. Upozorenje se odnosi na PHP okruženje u kojem rade platforme poput Magenta, Shopwarea i WooCommercea, a ne na potvrđenu ranjivost svake pojedinačne instalacije.
Kod starijih web-trgovina nadogradnja PHP-a može zahtijevati provjeru kompatibilnosti dodataka i prilagođenog programskog koda. Nakon promjene potrebno je testirati obradu narudžbi, naplatu i druge funkcionalnosti koje ovise o poslužitelju.
Što preporučuje CERT-EU?
Europski tim za odgovor na računalne sigurnosne incidente CERT-EU preporučuje organizacijama da identificiraju PHP instalacije, pripreme sigurnosne nadogradnje i daju prednost sustavima dostupnima s javnog interneta.
Provjera bi trebala obuhvatiti i PHP instalacije u kontejnerima, testnim okruženjima te aplikacijama koje nisu dio glavne poslovne web-stranice. Administratori trebaju utvrditi održava li PHP hosting provider, dobavljač operacijskog sustava ili vlastiti IT tim.
Ako sigurnosnu zakrpu nije moguće odmah primijeniti, CERT-EU preporučuje razmatranje privremene izolacije pogođenih aplikacija. Takva odluka zahtijeva procjenu utjecaja na poslovanje, osobito kod web-trgovina i sustava koji obrađuju korisničke zahtjeve.
Patchstack dodatno upozorava na neslužbene sigurnosne dodatke i programske isječke koji obećavaju brzu zaštitu od PHP2Shella. Njihova učinkovitost nije potvrđena, a neprovjerene izmjene mogu poremetiti rad web-stranice.
Preliminarna Upwindova analiza povezuje ranjivosti s mogućim pogreškama u upravljanju memorijom tijekom obrade PHP sesija i praćenja prijenosa datoteka.
Pojedini istraživači zato razmatraju privremeno isključivanje funkcionalnosti praćenja napretka prijenosa datoteka. Međutim, PHP nije službeno potvrdio da ta promjena uklanja obje ranjivosti. Privremene konfiguracijske mjere ne treba smatrati zamjenom za sigurnosnu zakrpu.
Administratori bi trebali pregledati i sigurnosne zapisnike poslužitelja te provjeriti neuobičajene procese koje pokreću PHP ili web-poslužitelj, nepoznate PHP datoteke i neočekivane promjene zakazanih zadataka. Takvi nalazi mogu upućivati na kompromitaciju, ali sami po sebi nisu dokaz iskorištavanja ranjivosti PHP2Shell.
Provjera mogućih tragova napada važna je i nakon instalacije zakrpa jer nadogradnja PHP-a ne utvrđuje je li poslužitelj prethodno kompromitiran.
Ima li potvrđenih napada u Bosni i Hercegovini?
Za Bosnu i Hercegovinu zasad nema javno potvrđenih podataka o uspješnim napadima povezanima s PHP2Shellom niti pouzdane statistike poslužitelja zahvaćenih ovim ranjivostima.
Globalni podaci o zastarjelim PHP verzijama ne mogu se koristiti za procjenu broja izloženih sustava u BiH. Za takav zaključak potrebni su podaci o domaćim poslužiteljima, njihovim konfiguracijama i primijenjenim sigurnosnim ispravcima.
Tvrtke u BiH koje koriste dijeljeni hosting trebale bi od pružatelja usluge zatražiti potvrdu o PHP verziji i planiranom terminu nadogradnje. Kod vlastitih ili posebno upravljanih poslužitelja odgovornost za primjenu zakrpa ovisi o ugovorenom modelu održavanja.
Ako je web-stranicu izradila vanjska agencija, potrebno je razjasniti održava li ona samo aplikaciju ili i poslužiteljsko okruženje. Ta razlika određuje tko treba provesti sigurnosnu intervenciju.
PHP-ov sigurnosni tim najavio je objavu zakrpa i tehničkih pojedinosti za 21. listopada u 16 sati po vremenu u BiH. Nakon objave bit će moguće precizno utvrditi zahvaćene verzije i izdanja koja sadržavaju ispravke.
Napomena uredništva: Članak je pripremljen prije najavljenog sigurnosnog izdanja PHP-a 21. listopada 2026. Informacije o zahvaćenim verzijama, službenim zakrpama i potvrđenim napadima bit će ažurirane nakon njihove objave.
Autor: financa.ba
Prilikom preuzimanja obvezno navesti izravnu poveznicu na članak.
