Hitno upozorenje za milione sajtova: Lozinke i podaci mogu biti ugroženi
- Otkrivene su dve kritične PHP ranjivosti, CVE-2026-109618 i CVE-2026-109619, obe ocenjene sa 9,2 od 10.
- Napadač može da ih iskoristi bez prijave, za izvršavanje zlonamernog koda i pristup osetljivim podacima na serveru.
- PHP Foundation je objavio zakrpe, a administratori treba odmah da ažuriraju podržane verzije i provere izložene sisteme.
Otkrivene su dve kritične bezbednosne ranjivosti u PHP-u, tehnologiji koja pokreće veliki broj internet sajtova i aplikacija. Napadači bi mogli da ih iskoriste za izvršavanje zlonamernog koda na ranjivim serverima, bez potrebe da se prethodno prijave. Stručnjaci upozoravaju da je neophodno odmah instalirati bezbednosne zakrpe.
Internet administratori širom sveta suočavaju se sa ozbiljnim bezbednosnim izazovom nakon što su objavljene informacije o dve kritične ranjivosti u PHP-u. Ovaj programski jezik koristi se za obradu zahteva na serverima i predstavlja važan deo infrastrukture brojnih sajtova, sistema za upravljanje sadržajem i internet prodavnica.
PHP Foundation objavio je hitna bezbednosna ažuriranja 21. oktobra, a stručnjaci upozoravaju da bi propusti mogli brzo da postanu meta masovnih napada. Posebnu zabrinutost izaziva mogućnost da napadač iskoristi ranjivost slanjem posebno pripremljenog zahteva serveru, bez prethodne autentifikacije.
Dve kritične ranjivosti nose ocenu 9,2 od 10
Bezbednosni propusti evidentirani su pod oznakama CVE-2026-109618 i CVE-2026-109619. Oba su dobila ocenu 9,2 od 10 prema sistemu CVSS, što ih svrstava u kategoriju kritičnih ranjivosti.
Prvi propust povezan je sa načinom na koji PHP obrađuje situacije kada ponestane memorije. U određenim okolnostima, greška može dovesti do nepravilne obrade internih podataka tokom završetka zahteva.
Druga ranjivost odnosi se na stanje internih podataka koje može ostati neispravno nakon oslobađanja memorije. U određenim scenarijima, naredni zahtevi mogu naići na zastarele reference koje nisu pravilno resetovane.
Ovi problemi mogu otvoriti put za izvršavanje zlonamernog koda na ranjivom serveru. U zavisnosti od okruženja i načina na koji je napad izveden, posledice mogu uključivati kompromitovanje sistema i pristup osetljivim podacima.
Napad može da ugrozi lozinke, tokene i druge osetljive podatke
Istraživači bezbednosti upozoravaju da posledice nisu ograničene samo na funkcionisanje sajta. Uspešno iskorišćavanje ranjivosti može omogućiti napadaču da izvršava kod na serveru ili pristupi delovima memorije procesa u kojima se mogu nalaziti osetljivi podaci.
To potencijalno uključuje lozinke, autentifikacione tokene, API ključeve i digitalne sertifikate. Ako napadač dođe do takvih informacija, rizik može da se proširi i na druge povezane sisteme.
Posebno su izloženi serveri koji obrađuju zahteve sa javnog interneta. Ipak, stvarni rizik zavisi od verzije PHP-a, konfiguracije servera i dostupnih zaštitnih mehanizama.
Bezbednosni istraživači iz kompanije Wiz objavili su analizu problema i demonstraciju eksploatacije pod nazivom „php2shell“. Njihovi nalazi ukazuju na to da u određenim konfiguracijama napad može biti relativno jednostavan za izvođenje.
Ugroženi mogu biti WordPress, Drupal i druge platforme
PHP se koristi u velikom broju sistema za upravljanje sadržajem, uključujući WordPress i Drupal, kao i u različitim internet prodavnicama i prilagođenim veb-aplikacijama.
To ne znači da je svaki sajt koji koristi neku od ovih platformi automatski kompromitovan. Rizik zavisi od verzije PHP-a koja se izvršava na serveru i od toga da li je instalirana odgovarajuća zakrpa.
Problem je u tome što vlasnici sajtova često ne upravljaju direktno serverskim okruženjem. PHP može biti deo hosting paketa, kontejnera ili infrastrukture kojom upravlja druga kompanija, pa je važno proveriti i konfiguraciju provajdera.
Upravo zbog toga bezbednosni stručnjaci savetuju organizacijama da najpre identifikuju sve sisteme koji koriste PHP, naročito one dostupne preko interneta.
Šta administratori sajtova treba odmah da urade?
Bezbednosne agencije i stručnjaci preporučuju hitnu proveru infrastrukture i instaliranje dostupnih ažuriranja. Prvi korak je utvrđivanje svih sistema koji koriste PHP, uključujući aplikacije i usluge u kojima je ovaj jezik deo pozadinske infrastrukture.
Nakon toga potrebno je proveriti dostupnost zakrpa kod hosting provajdera, ažurirati PHP i povezane komponente, a zatim pratiti serverske dnevnike radi eventualnih tragova napada.
Ako postoje pokazatelji da je sistem kompromitovan, potrebno je izolovati ga, sačuvati relevantne logove i pokrenuti postupak bezbednosne analize. Samo instaliranje zakrpe ne znači da je eventualni raniji upad automatski otklonjen.
Ovaj slučaj još jednom pokazuje koliko ranjivost u jednoj široko korišćenoj komponenti može da utiče na veliki deo internet infrastrukture. Za vlasnike sajtova i administratore najvažnije je da provere svoju konfiguraciju i primene odgovarajuće zakrpe bez odlaganja.
