CIRT poziva na hitno ažuriranje PHP-a radi zaštite internet stranica i digitalnih usluga

Ministarstvo javne uprave saopštilo je da Direkcija za informacionu bezbjednost, CIRT državne uprave, poziva institucije, privredne subjekte, pružaoce hosting usluga i administratore internet stranica da bez odlaganja provjere verzije PHP-a koje koriste i primijene dostupna bezbjednosna ažuriranja.

“U PHP-u, tehnologiji na kojoj se zasniva veliki broj internet stranica i digitalnih usluga, otkrivene su dvije kritične bezbjednosne ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619. Njihovo iskorišćavanje može omogućiti napadaču da bez prethodne prijave na sistem izvršava zlonamjerni kod na serveru, čime mogu biti ugroženi podaci i dostupnost usluga”, naglasili su.

Istakli su da je razvojni tim PHP-a objavio 21. oktobra bezbjednosna ažuriranja koja otklanjaju ove dvije ranjivosti.

“S obzirom na zabilježene pokušaje njihovog iskorišćavanja, potrebno je dati prioritet zaštiti izloženih sistema”, poručuju.

Na koje sisteme se upozorenje odnosi

“Riziku su izloženi serveri koji koriste ranjive verzije PHP-a za obradu web zahtjeva. To uključuje i sajtove zasnovane na platformama kao što su WordPress, Joomla i Drupal, kao i druge aplikacije koje koriste PHP”, pojasnili su.

Kako su dodali, ažuriranje samog sajta, njegove platforme ili dodataka ne znači nužno da je ažurirano i PHP okruženje.

“Zbog toga je potrebna provjera na nivou servera ili kod pružaoca hosting usluge”, kazali su.

Verzije koje sadrže ispravke za dvije navedene ranjivosti

PHP grana

8.5

8.4

8.3

8.2

Verzija sa ispravkama

8.5.12

8.4.27

8.3.36

8.2.35

“Potrebno je primijeniti navedenu ili noviju verziju sa odgovarajućim ispravkama, odnosno bezbjednosno ažuriranje koje obezbjeđuje dobavljač operativnog sistema ili hosting platforme”, istakli su.

Podsjetili su da su PHP 8.1 i starije verzije van redovne podrške.

“Organizacije koje ih koriste treba da provjere dostupnost posebnih ispravki kod dobavljača i bez odlaganja započnu prelazak na podržanu verziju”, ukazali su.

Preporučene aktivnosti

“Provjeriti i ažurirati PHP na svim relevantnim serverima, uz prioritet sistemima dostupnim sa interneta. Nakon ažuriranja potvrditi da aktivno okruženje koristi ispravljenu verziju i provjeriti rad usluga. Od pružaoca hosting usluge zatražiti potvrdu da je ažurirano PHP okruženje koje pokreće sajt”, naveli su.

Ako, kako su kazali, ažuriranje nije odmah moguće, primijeniti privremene mjere iz zvaničnog PHP obavještenja i razmotriti ograničavanje javnog pristupa ranjivim servisima do primjene ispravki. Privremene mjere nijesu zamjena za ažuriranje.

“Uz ažuriranje provjeriti evidencije događaja i sisteme na znake neovlašćenog pristupa. Ažuriranje otklanja navedene ranjivosti, ali samo po sebi ne uklanja posljedice eventualnog ranijeg upada”, precizirali su.

Dodatna preporuka za administratore

Kako su kazali, PHP projekat je 23. oktobra objavio i dodatno upozorenje za CVE-2026-115560, koja se javlja pri specifičnoj kombinaciji konfiguracije i aplikativnog koda.

“Do objave odgovarajuće ispravke preporučuje se privremeno podešavanje session.upload_progress.enabled=0, uz ponovno pokretanje svih PHP radnih procesa. Ovu preporuku treba provjeriti i na već ažuriranim sistemima. Ona dopunjuje prethodne mjere i ne zamjenjuje obavezno ažuriranje”, naglasili su.

Smatraju da se pravovremenim ažuriranjem i saradnjom institucija, administratora i pružalaca usluga značajno smanjuje rizik i doprinosi zaštiti podataka i pouzdanosti digitalnih usluga.

Zaključili su da je više informacija dostupno na linkovima: Link 1 i Link 2