CIRT upozorio na kritične propuste: Hitno ažurirati PHP radi zaštite sajtova i podataka

Institucije, kompanije, hosting provajderi i administratori internet stranica trebalo bi bez odlaganja da provjere koju verziju PHP-a koriste i instaliraju najnovija bezbjednosna ažuriranja, upozorio je tim za odgovor na računarske i sajber incidente državne uprave (CIRT).

CIRT državne uprave djeluje u okviru Ministarstva javne uprave. Kako objašnjavaju, u toj tehnologiji, na kojoj radi veliki broj internet stranica i digitalnih servisa, otkrivene su dvije kritične ranjivosti koje napadačima mogu omogućiti da bez prijave na sistem izvrše zlonamjerni kod na serveru i ugroze podatke i dostupnost usluga.

Iz Ministarstva javne uprave – Direkcije za informacionu bezbjednost navode da su ranjivosti označene kao CVE-2026-109618 i CVE-2026-109619, a da je razvojni tim PHP-a 21. oktobra objavio bezbjednosne ispravke.

„Njihovo iskorišćavanje može omogućiti napadaču da bez prethodne prijave na sistem izvršava zlonamjerni kod na serveru, čime mogu biti ugroženi podaci i dostupnost usluga“, upozorili su iz CIRT-a.

Riziku su, kako objašnjavaju, izloženi serveri koji koriste ranjive verzije PHP-a za obradu internet zahtjeva. To se odnosi i na sajtove napravljene na platformama WordPress, Joomla i Drupal, kao i na druge aplikacije koje koriste PHP.

Naglašavaju da samo ažuriranje sajta, njegove platforme ili dodataka ne znači da je ažurirana i verzija PHP-a na serveru.

„Zbog toga je potrebna provjera na nivou servera ili kod pružaoca hosting usluge“, navode iz CIRT-a.

Ispravke za dvije otkrivene ranjivosti sadržane su u verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, odnosno svim novijim verzijama koje sadrže odgovarajuće bezbjednosne zakrpe.

PHP 8.1 i starije verzije više nijesu u redovnoj podršci, pa organizacijama koje ih koriste preporučuju da provjere postoje li posebne ispravke kod dobavljača i što prije pređu na podržane verzije.

CIRT preporučuje da se PHP provjeri i ažurira na svim relevantnim serverima, prvenstveno onima koji su dostupni sa interneta, a od hosting kompanija treba zatražiti potvrdu da je ažurirano okruženje na kojem sajt radi.

Ukoliko ažuriranje nije moguće odmah, savjetuju primjenu privremenih zaštitnih mjera i, gdje je potrebno, ograničavanje javnog pristupa ranjivim servisima.

„Uz ažuriranje treba provjeriti evidencije događaja i sisteme na znake neovlašćenog pristupa. Ažuriranje otklanja navedene ranjivosti, ali samo po sebi ne uklanja posljedice eventualnog ranijeg upada“, upozorili su iz CIRT-a.

PHP projekat je 23. oktobra objavio i dodatno upozorenje na ranjivost CVE-2026-115560, koja se pojavljuje pri specifičnoj kombinaciji konfiguracije servera i aplikativnog koda.

Dok ne bude objavljena odgovarajuća ispravka, administratorima se preporučuje privremeno podešavanje session.upload_progress.enabled=0 i ponovno pokretanje PHP procesa.

Iz CIRT-a poručuju da pravovremena ažuriranja i saradnja institucija, administratora i pružalaca usluga mogu značajno smanjiti rizik od napada i zaštititi podatke i pouzdanost digitalnih servisa.