Kritične PHP ranjivosti ugrožavaju gotovo svaki web

Sigurnosni istraživači otkrili su dvije kritične ranjivosti u samom jeziku PHP, oznake CVE-2026-109618 i CVE-2026-109619, pod zajedničkim nazivom PHP2Shell. Ranjivosti omogućuju napadaču da bez prijave i bez korisničke interakcije izvrši vlastiti kod na poslužitelju. Zakrpe su objavljene 21. listopada 2026., a objavio je Help Net Security da je iskorištavanje zabilježeno i prije javne objave, pa je nadogradnja hitna za svaku stranicu koja koristi PHP, uključujući velik dio hrvatskih WordPress stranica.

O čemu je riječ

PHP pokreće većinu stranica na webu, a WordPress je samo jedna od platformi koje se na njemu temelje. Prema analizi koju je objavio Help Net Security, CVE-2026-109618 nastaje zbog oštećenja memorije kada poslužitelju ponestane radne memorije, dok CVE-2026-109619 proizlazi iz zastarjelog globalnog stanja unutar PHP-a. Oba propusta dopuštaju udaljeno izvršavanje koda, a dovoljan je jedan neautentificirani zahtjev, prije nego što se uopće pokrene kod same aplikacije ili dodatka.

Pogođene su sve konfiguracije koje posluživanje weba obavljaju kroz PHP, od PHP-FPM i Apachea s mod_php do php-cgi, FrankenPHP-a i LiteSpeeda. Najveći rizik prema objavi nose postavke s mod_php, koje su i danas raširene na jeftinijim hosting paketima.

Napad je počeo prije nego što je zakrpa objavljena

Prema izvještaju tvrtke Bitsight, Amazonov odjel za sigurnosnu analizu zabilježio je pokušaj iskorištavanja ovih propusta u svojoj honeypot mreži MadPot već 17. listopada, četiri dana prije nego što su ranjivosti javno objavljene. To znači da su napadači poznavali propust prije nego što je šira zajednica mogla reagirati, a sigurnosna tvrtka Cloudflare u međuvremenu je postavila pravila zaštitnog zida kako bi blokirala poznate obrasce napada.

Britanski nacionalni centar za kibernetičku sigurnost NCSC izdao je upozorenje u kojem preporučuje da se sustavi koji se ne mogu odmah nadograditi privremeno isključe s mreže, dok Fortinet i Cisco provjeravaju jesu li njihovi proizvodi pogođeni. Palo Alto Networks potvrdio je da su svi njihovi PAN-OS i Panorama sustavi zahvaćeni, a popravljene verzije za te proizvode u trenutku objave još nisu bile dostupne.

close up photo of server room with network cables and blinking lights, no people — Foto: Brett Sayles / Pexels

Koje verzije su sigurne

Sigurnosni tim PHP-a objavio je popravljene verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za starije grane 7.4, 8.0 i 8.1 pripremljeni su manji backport popravci, namijenjeni prije svega onima koji PHP sami kompajliraju iz izvornog koda ili nemaju dobavljača koji automatski održava dugoročno podržane verzije. Verzije PHP 8.1 i starije od toga formalno više nisu podržane, pa vlasnici takvih stranica trebaju kontaktirati svog hosting provajdera ili planirati nadogradnju cijele platforme, ne samo primjenu zakrpe.

Što to znači za hrvatske vlasnike stranica

Velik broj hrvatskih poslovnih i obrtničkih stranica radi na WordPressu, a WordPress ovisi o PHP-u koji mu hosting provajder osigurava. Vlasnik stranice obično ne upravlja verzijom PHP-a izravno, nego kroz kontrolnu ploču hostinga ili putem administratora koji održava stranicu. Upravo je to prvi korak koji treba provjeriti: koja je verzija PHP-a aktivna i je li već nadograđena na jednu od sigurnih verzija.

Posljedice uspješnog napada nisu samo gubitak podataka. Kompromitirana stranica može biti iskorištena za slanje neželjene pošte, umetanje skrivenih poveznica ili preusmjeravanje posjetitelja, što izravno šteti vidljivosti stranice u Googleovoj tražilici i može dovesti do kaznene oznake ili uklanjanja iz indeksa. Zato je ova ranjivost istovremeno sigurnosno i SEO pitanje za svaku tvrtku koja ovisi o prometu sa tražilice.

Što napraviti odmah

Provjerite kod hosting provajdera koja je verzija PHP-a aktivna na vašoj stranici i zatražite nadogradnju na sigurnu verziju ako je potrebno.
Ako koristite WordPress, provjerite i nadogradite sam WordPress, teme i dodatke, jer kombinacija zastarjelog PHP-a i zastarjelih dodataka dodatno povećava rizik.
Ako stranica radi na PHP 8.1 ili starijoj verziji koja više nije podržana, razmotrite cjelovitu nadogradnju platforme umjesto čekanja pojedinačne zakrpe.
Pratite objave svog hosting provajdera idućih dana, jer se popravci za pogođene mrežne uređaje poput Fortineta i Ciscovih proizvoda još objavljuju.

Za dodatne korake oko tehničke optimizacije i sigurnosti stranice korisno je pregledati i bazu znanja Jupiter Media, a za opću provjeru stanja SEO postavki stranice pogledajte i uslugu SEO optimizacije.

Izvori

Naslovna slika: Brett Sayles / Pexels