Ažurirano: 21.10.2026. u 16:45
PHP Security Team najavio je izvanrednu sigurnosnu zakrpu zakazanu za 21. listopad 2026. u 16:00 sati (14:00 UTC). Pozivaju sve PHP korisnike na hitnu primjenu zakrpi.
Prije službene objave procurile su informacije o dvjema kritičnim ranjivostima u jezgri PHP-a koje napadaču putem web zahtjeva omogućuju preuzimanje poslužitelja. Uspješno iskorištavanje ranjivosti napadaču omogućava izvršavanje proizvoljnog programskog koda (engl. remote code execution - RCE) bez autentifikacije.
Radi se o ranjivostima oznaka CVE-2026-109618 i CVE-2026-109619 za koje je dodijeljena CVSS v4.0 ocjena: 9.2 (Kritično). Ranjivost CVE-2026-109618 je potvrđena i reproducirana od strane neovisnih istraživača. Iako zlonamjerne aktivnosti zasad nisu uočene, preuranjeno objavljivanje pojedinosti o ranjivosti povećava rizik od pojave prvih pokušaja iskorištavanja.
Ranjivost potencijalno pogađa sve glavne grane (PHP 5.x, 7.x i 8.x) te sve sustave koji koriste PHP (WordPress, Joomla, cPanel, Plesk i interne servise).
Što odmah učiniti?
- Popišite sve instance PHP-a: Uključujući CMS rješenja, kontrolne ploče i aplikacije trećih strana koje koriste php.exe ili php-cgi.exe.
- Budite spremni za nadogradnju u 16:00 h: Ažurirajte sustave čim zakrpe postanu dostupne (prioritet imaju javno dostupni poslužitelji).
- Izolirajte EOL verzije: Sustave na verzijama bez podrške (5.x, 7.x, 8.0–8.2) uklonite s interneta ili stavite iza VPN-a/WAF-a dok ih ne nadogradite.
- Pratite ponašanje procesa: Pojačajte nadzor nad procesima koje pokreće web poslužitelj.
- U slučaju sumnje: Izolirajte poslužitelj, sačuvajte logove i provjerite web direktorije na pojavu novih skripti (webshells) i zakazanih zadataka (cron).
Svi detalji, pogođene verzije te verzije za koje je izdana nadogradnja bit će objavljene sa zakrpom koja se očekuje u 16:00 sati po lokalnom vremenu ili ranije ako se detektiraju aktivna iskorištavanja.
Nove informacije:
Objavljene su zakrpe za kritične ranjivosti CVE-2026-109618 i CVE-2026-109619. Radi se o novim verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Iako trenutno nema potvrđenih informacija o aktivnom iskorištavanju navedenih ranjivosti, preporučuje se hitno ažuriranje programskog paketa kao i provjera jesu li uređaji koji koriste aplikacije pisane u PHP-u zaraženi.
Tehnički detalji o ranjivostima i zakrpama dostupni su na poveznicama ispod.
Dodatni izvori:
https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities
