CIRT poziva na hitno ažuriranje PHP-a radi zaštite internet stranica i digitalnih usluga
U PHP-u, tehnologiji na kojoj se zasniva veliki broj internet stranica i digitalnih usluga, otkrivene dvije kritične bezbjednosne ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619
CIRT državne uprave pozvao je institucije, privredne subjekte, pružaoce hosting usluga i administratore internet stranica da bez odlaganja provjere verzije PHP-a koje koriste i primijene dostupna bezbjednosna ažuriranja, saopšteno je iz Ministarstva javne uprave (MJU).
Navodi se da su u PHP-u, tehnologiji na kojoj se zasniva veliki broj internet stranica i digitalnih usluga, otkrivene dvije kritične bezbjednosne ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619.
“Njihovo iskorišćavanje može omogućiti napadaču da bez prethodne prijave na sistem izvršava zlonamjerni kod na serveru, čime mogu biti ugroženi podaci i dostupnost usluga”, upozorili su iz CIRT-a.
Kako su naveli, razvojni tim PHP-a objavio je 21. oktobra bezbjednosna ažuriranja koja otklanjaju ove dvije ranjivosti.
“S obzirom na zabilježene pokušaje njihovog iskorišćavanja, potrebno je dati prioritet zaštiti izloženih sistema”, kaže se u saopštenju.
Riziku su, kako se navodi, izloženi serveri koji koriste ranjive verzije PHP-a za obradu web zahtjeva, što uključuje i sajtove zasnovane na platformama kao što su WordPress, Joomla i Drupal, kao i druge aplikacije koje koriste PHP.
“Ažuriranje samog sajta, njegove platforme ili dodataka ne znači nužno da je ažurirano i PHP okruženje. Zbog toga je potrebna provjera na nivou servera ili kod pružaoca hosting usluge”, pojasnili su iz CIRT-a.
Oni su naveli verzije koje sadrže ispravke za dvije navedene ranjivosti:
PHP grana Verzija sa ispravkama
8.5 8.5.12
8.4 8.4.27
8.3 8.3.36
8.2 8.2.35
“Potrebno je primijeniti navedenu ili noviju verziju sa odgovarajućim ispravkama, odnosno bezbjednosno ažuriranje koje obezbjeđuje dobavljač operativnog sistema ili hosting platforme”, kazali su iz CIRT-a.
Kako su naveli, PHP 8.1 i starije verzije su van redovne podrške, a organizacije koje ih koriste treba da provjere dostupnost posebnih ispravki kod dobavljača i bez odlaganja započnu prelazak na podržanu verziju.
Iz CIRTA su preporučili da treba provjeriti i ažurirati PHP na svim relevantnim serverima, uz prioritet sistemima dostupnim sa interneta, a nakon ažuriranja potvrditi da aktivno okruženje koristi ispravljenu verziju i provjeriti rad usluga.
Prema njihovim riječima, od pružaoca hosting usluge treba zatražiti potvrdu da je ažurirano PHP okruženje koje pokreće sajt.
“Ako ažuriranje nije odmah moguće, primijeniti privremene mjere iz zvaničnog PHP obavještenja i razmotriti ograničavanje javnog pristupa ranjivim servisima do primjene ispravki. Privremene mjere nijesu zamjena za ažuriranje”, pojasnili su iz CIRT-a.
Kako su naveli, uz ažuriranje treba provjeriti evidencije događaja i sisteme na znake neovlašćenog pristupa.
“Ažuriranje otklanja navedene ranjivosti, ali samo po sebi ne uklanja posljedice eventualnog ranijeg upada”, dodaje se u saopštenju.
Iz CIRT-a su kazali da je PHP projekat 23. oktobra objavio i dodatno upozorenje za CVE-2026-115560, koja se javlja pri specifičnoj kombinaciji konfiguracije i aplikativnog koda.
Kako su naveli, do objave odgovarajuće ispravke preporučuje se privremeno podešavanje session.upload_progress.enabled=0, uz ponovno pokretanje svih PHP radnih procesa.
“Ovu preporuku treba provjeriti i na već ažuriranim sistemima. Ona dopunjuje prethodne mjere i ne zamjenjuje obavezno ažuriranje”, pojasnili su iz CIRT-a.
Oni su naglasili da se pravovremenim ažuriranjem i saradnjom institucija, administratora i pružalaca usluga značajno smanjuje rizik i doprinosi zaštiti podataka i pouzdanosti digitalnih usluga.
U saopštenju se navodi da je više informacija dostupno na linkovima:
https://www.php.net/archive/2026.php#2026-10-21-5
( MINA )