Ažurirano: 21.10.2026. u 16:45

PHP Security Team najavio je izvanrednu sigurnosnu zakrpu zakazanu za 21. listopad 2026. u 16:00 sati (14:00 UTC). Pozivaju sve PHP korisnike na hitnu primjenu zakrpi.

Prije službene objave procurile su informacije o dvjema kritičnim ranjivostima u jezgri PHP-a koje napadaču putem web zahtjeva omogućuju preuzimanje poslužitelja. Uspješno iskorištavanje ranjivosti napadaču omogućava izvršavanje proizvoljnog programskog koda (engl. remote code execution – RCE) bez autentifikacije.

Radi se o ranjivostima oznaka CVE-2026-109618 i CVE-2026-109619 za koje je dodijeljena CVSS v4.0 ocjena: 9.2 (Kritično). Ranjivost CVE-2026-109618 je potvrđena i reproducirana od strane neovisnih istraživača. Iako zlonamjerne aktivnosti zasad nisu uočene, preuranjeno objavljivanje pojedinosti o ranjivosti povećava rizik od pojave prvih pokušaja iskorištavanja.

Ranjivost potencijalno pogađa sve glavne grane (PHP 5.x, 6.x, 7.x i 8.x) te sve sustave koji koriste PHP (WordPress, Joomla, cPanel, Plesk i interne servise).

Što odmah učiniti?

• Popišite sve instance PHP-a: Uključujući CMS rješenja, kontrolne ploče i aplikacije trećih strana koje koriste php.exe ili php-cgi.exe.
• Budite spremni za nadogradnju u 16:00 h: Ažurirajte sustave čim zakrpe postanu dostupne (prioritet imaju javno dostupni poslužitelji).
• Izolirajte EOL verzije: Sustave na verzijama bez podrške (5.x, 6.x, 7.x, 8.0–8.2) uklonite s interneta ili stavite iza VPN-a/WAF-a dok ih ne nadogradite.
• Pratite ponašanje procesa: Pojačajte nadzor nad procesima koje pokreće web poslužitelj.
• U slučaju sumnje: Izolirajte poslužitelj, sačuvajte logove i provjerite web direktorije na pojavu novih skripti (webshells) i zakazanih zadataka (cron).

Svi detalji, pogođene verzije te verzije za koje je izdana nadogradnja bit će objavljene sa zakrpom koja se očekuje u 16:00 sati po lokalnom vremenu ili ranije ako se detektiraju aktivna iskorištavanja.

Nove informacije:

Objavljene su zakrpe za kritične ranjivosti CVE-2026-109618 i CVE-2026-109619. Radi se o novim verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Iako trenutno nema potvrđenih informacija o aktivnom iskorištavanju navedenih ranjivosti, preporučuje se hitno ažuriranje programskog paketa kao i provjera jesu li uređaji koji koriste aplikacije pisane u PHP-u zaraženi.

Tehnički detalji o ranjivostima i zakrpama dostupni su na poveznicama ispod.

Dodatni izvori:

https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities

https://www.php.net/index.php#2026-10-21-5

https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote

https://watchtowr.com/intelligence/php-cve-2026-109618-faq/