Globalne agencije za sajber bezbednost upozoravaju organizacije da isključe ranjive veb-sajtove ukoliko ne mogu odmah da instaliraju bezbednosne zakrpe za dve kritične ranjivosti u PHP-u.
Upozorenja za hitno reagovanje usledila su u trenutku kada se PHP bezbednosni tim priprema da objavi vanredno bezbednosno ažuriranje kojim će biti otklonjene dve ozbiljne ranjivosti koje omogućavaju daljinsko izvršavanje zlonamernog koda.
Ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, imaju kritičnu ocenu ozbiljnosti od 9,2 na skali CVSS v4.0, koja ide do 10. PHP tim zakazao je objavljivanje vanrednog bezbednosnog ažuriranja za sredu, 21. oktobar 2026. godine, u 14 časova po univerzalnom koordinisanom vremenu (UTC).
Zašto bi veb-sajtovi mogli da budu ugašeni?
Ove ranjivosti mogle bi da omoguće napadačima bez autentifikacije da putem interneta izvršavaju zlonamerni kod na pogođenim serverima. Uspešna zloupotreba ranjivosti mogla bi da dovede do potpunog preuzimanja kontrole nad serverom.
Kao odgovor na pretnju, CERT-EU, služba za sajber bezbednost institucija, tela, kancelarija i agencija Evropske unije, izdala je oštro upozorenje. Pozvala je organizacije da odmah po objavljivanju instaliraju hitne bezbednosne zakrpe. Organizacijama koje to ne mogu da učine preporučeno je da razmotre potpuno isključivanje pogođenih veb-sajtova kako bi sprečile sajber napade.
Australijski centar za sajber bezbednost (ACSC) podržao je ovakav pristup, nalažući administratorima da odmah počnu aktivno da nadgledaju sistemska okruženja i traže neuobičajene ili zlonamerne aktivnosti.
Razmere pretnje i moguće posledice napada
Zabrinutost bezbednosnih agencija proizlazi iz činjenice da se PHP koristi gotovo svuda. Ovaj programski jezik pokreće veliki deo pozadinskih operacija veb-sajtova širom sveta i predstavlja jedan od nevidljivih stubova savremenog interneta.
Potencijalno ugroženi sistemi obuhvataju platforme za upravljanje sadržajem, veb-sajtove za elektronsku trgovinu i usluge veb-hostinga.
Ukoliko napadači iskoriste ove ranjivosti, mogli bi da preuzmu kontrolu nad pogođenom aplikacijom ili serverom, u zavisnosti od konfiguracije sistema i dodeljenih dozvola.
Takvi napadi mogli bi da dovedu i do otkrivanja korporativnih baza podataka i korisničkih informacija. Moguće je i narušavanje izgleda i sadržaja veb-sajtova putem zlonamernih izmena datoteka ili sačuvanog sadržaja. Pored toga, napadači bi mogli da koriste automatizovane alate za pronalaženje ranjivih servera i potencijalno pokrenu napade ucjenjivačkim softverom, poznatim kao ransomver.
Dejn Kneht, direktor tehnologije u kompaniji Klaudfler, jednom od najvećih svetskih pružalaca usluga infrastrukture u oblaku, izjavio je da su napadi već počeli da se pojavljuju.
Zbog toga Klaudfler i drugi pružaoci zaštitnih sistema za veb-aplikacije (WAF) aktivno analiziraju podatke o eksploataciji ranjivosti koji su procureli u javnost. Cilj je uvođenje zaštitnih pravila na mrežnoj ivici, kako bi napadi bili blokirani pre nego što stignu do servera njihovih korisnika.
Ipak, WAF pravila mogu da blokiraju poznate pokušaje zloupotrebe ranjivosti, ali njihova efikasnost zavisi od konkretnih pravila i metoda koje napadači koriste. Napadači mogu da izmene način na koji šalju zlonamerne zahteve kako bi pokušali da zaobiđu zaštitu zaštitnog zida.
Zbog toga je neophodno otkloniti same ranjivosti instaliranjem odgovarajućih bezbednosnih ažuriranja za PHP.
Zašto ažuriranje veb-sajta nije dovoljno?
Otklanjanje ovog problema predstavlja složen izazov za vlasnike veb-sajtova. Ažuriranje dodatka za WordPress ili samog sistema za upravljanje sadržajem (CMS) ne ažurira automatski osnovno PHP okruženje i ne može se smatrati rešenjem za ove ranjivosti.
Pošto se ranjivost nalazi u samom mehanizmu za izvršavanje PHP skripti, bezbednosno ažuriranje mora da bude primenjeno na PHP okruženje koje koristi konkretan veb-sajt.
U zavisnosti od načina na koji je hosting podešen, za to može biti potreban administratorski pristup serveru, kontrolni panel hosting usluge ili koordinacija sa pružaocem veb-hostinga.
Dodatni bezbednosni rizici povezani sa digitalnim sertifikatima
Pored PHP ranjivosti, pojavio se još jedan bezbednosni problem koji se odnosi na osam posredničkih sertifikata sertifikacionog tela (CA). Prema izveštajima, sertifikate je izdala indijska bezbednosna kompanija iMudra, u okviru svog brenda emSign.
Ovaj problem tiče se digitalnih sertifikata koji se koriste za uspostavljanje poverenja na internetu.
Zajedno, ovi incidenti ukazuju na značaj redovnog održavanja i ažuriranja serverskog softvera, ali i sistema koji obezbeđuju sigurne internet veze.
