Otkrivene su dve kritične bezbednosne ranjivosti u PHP-u, jednom od najrasprostranjenijih serverskih programskih jezika na svetu. Ranjivosti su označene kao CVE-2026-109618 i CVE-2026-109619, a obe nose CVSS v4.0 ocenu od 9,2 od 10 – što ih svrstava u kritičnu kategoriju.
PHP pokreće ogroman deo interneta, uključujući sajtove bazirane na platformama kao što su WordPress, Drupal, Joomla i Magento. Pogođeni su i brojni web-aplikativni sistemi, hosting platforme i administrativni kontrolni paneli.
EU upozorava: sajtovi bi mogli biti isključeni
Europski tim za reagovanje na računarske incidente (CERT-EU) izdao je hitno bezbednosno upozorenje. Prema navodima agencije, ranjivosti potencijalno omogućavaju neautentifikovano daljinsko izvršavanje koda (RCE) – napadači bi mogli da izvršavaju proizvoljni kod na serverima bez ikakvih kredencijala za prijavu.
Pogođene su navodno i verzije starije od PHP 5. CERT-EU preporučuje organizacijama koje nisu u mogućnosti da odmah zakrpe sisteme da razmotre privremenu izolaciju pogođenih sajtova od javnih mreža.
https://x.com/dok2001/status/2112811965735202970
Napadi već u toku
Cloudflare CTO Dane Knecht potvrdio je da kompanija već uočava rane napade i da su pokrenuta ažurirana WAF pravila zaštite za sve korisnike, uključujući besplatne. Međutim, naglašava da su ove mere privremene i ne mogu zameniti zvanične PHP zakrpe.
Bezbedonosna firma Patchstack prijavila je aktivne eksploatacije sa više hosting partnera. Kompanija Wordfence upozorava WordPress administratore: automatsko ažuriranje WordPress-a ne rešava ranjivosti u samoj PHP instalaciji – server administratori moraju posebno primeniti PHP zakrpe.
Prioritet je jasan: identifikovati ranjive PHP instalacije, primeniti hitne zakrpe čim postanu dostupne i izolovati izložene sisteme kada odmah zakrpljivanje nije izvodljivo.
