Vladine web stranice širom svijeta nestaju zbog kritičnih sigurnosnih propusta u PHP-u

Ozbiljne sigurnosne probleme uzrokovane ranjivostima u PHP programskom jeziku su dovele do gašenja vladinih web stranica širom svijeta kao mjeru opreza.

PHP je programski jezik na kojem radi veliki dio web stranica, uključujući one izrađene na platformama poput WordPressa.

Prema sigurnosnom upozorenju objavljenom na službenoj stranici php.net, ugrožene su sve PHP instalacije koje obrađuju web zahtjeve, uključujući PHP-FPM, Apache s modulom mod_php, php-cgi, FrankenPHP i LiteSpeed. PHP tim najveći rizik vidi kod mod_php. Tu je pokazan napad u kojem jedan zahtjev bez prijave pokreće napad i prije nego što se izvrši bilo kakav kod same aplikacije.

PHP tim je dan ranije najavio izdanje i naveo da obje ranjivosti imaju ocjenu 9,2 od 10 na CVSS skali za ozbiljnost propusta.

Dvije ranjivosti

Prva ranjivost (CVE-2026-109618) nastaje kad PHP ostane bez memorije. Rad se tada može prekinuti dok su interni podaci zahtjeva tek djelimično pripremljeni, pa ih PHP pri čišćenju nakon zahtjeva može tretirati kao ispravne.

Druga ranjivost (CVE-2026-109619) odnosi se na interno stanje vezano za jedan zahtjev. To stanje može ostati i nakon što je pripadajuća memorija oslobođena, pa ga sljedeći zahtjev koji obrađuje isti proces može iskoristiti.

Šta trebaju uraditi vlasnici stranica

PHP tim savjetuje prelazak na nove verzije. Linux distribucije i dobavljači dugoročne podrške zakrpe su dobili unaprijed, pa korisnici trebaju provjeriti ima li ažuriranih paketa kod njih.

PHP 8.1 i starije verzije više ne dobijaju ažuriranja. Zbog ozbiljnosti propusta, tim je ipak objavio minimalne ispravke izvornog koda za PHP 7.4, 8.0 i 8.1. Namijenjeni su onima koji PHP sami kompajliraju ili nemaju dobavljača dugoročne podrške.

Za one koji ne mogu odmah ažurirati, PHP tim je naveo privremene mjere u postavkama servera. Upozorava, međutim, da one samo smanjuju izloženost i ne čine instalaciju sigurnom. Kako navode, ažuriranje je jedini siguran izbor.

PHP tim podsjeća i da verzija 8.2 prestaje dobijati sigurnosne zakrpe 31. decembra 2026. godine.