{"id":723,"date":"2026-10-21T11:00:11","date_gmt":"2026-10-21T11:00:11","guid":{"rendered":"https:\/\/www.cert.hr\/novosti\/upozorenje-kriticne-ranjivosti-u-php-u-ceka-se-nadogradnja\/"},"modified":"2026-11-04T14:05:29","modified_gmt":"2026-11-04T14:05:29","slug":"upozorenje-kriticne-ranjivosti-u-php-u-ceka-se-nadogradnja","status":"publish","type":"post","link":"https:\/\/cert.hr\/en\/upozorenja\/upozorenje-kriticne-ranjivosti-u-php-u-ceka-se-nadogradnja\/","title":{"rendered":"Kriti\u010dne ranjivosti u PHP-u &#8211; objavljene zakrpe"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><em>A\u017eurirano: 21.10.2026. u 16:45<\/em><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>PHP Security Team najavio je izvanrednu sigurnosnu zakrpu zakazanu za 21. listopad 2026. u 16:00 sati (14:00 UTC). Pozivaju sve PHP korisnike na hitnu primjenu zakrpi.<\/strong> <\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Prije slu\u017ebene objave procurile su informacije o dvjema kriti\u010dnim ranjivostima u jezgri PHP-a koje napada\u010du putem web zahtjeva omogu\u0107uju preuzimanje poslu\u017eitelja. Uspje\u0161no iskori\u0161tavanje ranjivosti napada\u010du omogu\u0107ava izvr\u0161avanje proizvoljnog programskog koda (engl. <em>remote code execution<\/em> - RCE) bez autentifikacije. <\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Radi se o ranjivostima oznaka <strong>CVE-2026-109618<\/strong> i <strong>CVE-2026-109619<\/strong> za koje je dodijeljena CVSS v4.0 ocjena: <strong>9.2 <\/strong>(Kriti\u010dno). Ranjivost CVE-2026-109618 je potvr\u0111ena i reproducirana od strane neovisnih istra\u017eiva\u010da. Iako zlonamjerne aktivnosti zasad nisu uo\u010dene, preuranjeno objavljivanje pojedinosti o ranjivosti pove\u0107ava rizik od pojave prvih poku\u0161aja iskori\u0161tavanja.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ranjivost potencijalno poga\u0111a sve glavne grane (PHP 5.x, 7.x i 8.x) te sve sustave koji koriste PHP (WordPress, Joomla, cPanel, Plesk i interne servise).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>\u0160to odmah u\u010diniti?<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>Popi\u0161ite sve instance PHP-a: Uklju\u010duju\u0107i CMS rje\u0161enja, kontrolne plo\u010de i aplikacije tre\u0107ih strana koje koriste php.exe ili php-cgi.exe.<\/li><li>Budite spremni za nadogradnju u 16:00 h: A\u017eurirajte sustave \u010dim zakrpe postanu dostupne (prioritet imaju javno dostupni poslu\u017eitelji).<\/li><li>Izolirajte EOL verzije: Sustave na verzijama bez podr\u0161ke (5.x, 7.x, 8.0\u20138.2) uklonite s interneta ili stavite iza VPN-a\/WAF-a dok ih ne nadogradite.<\/li><li>Pratite pona\u0161anje procesa: Poja\u010dajte nadzor nad procesima koje pokre\u0107e web poslu\u017eitelj.<\/li><li>U slu\u010daju sumnje: Izolirajte poslu\u017eitelj, sa\u010duvajte logove i provjerite web direktorije na pojavu novih skripti (webshells) i zakazanih zadataka (cron).<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Svi detalji, pogo\u0111ene verzije te verzije za koje je izdana nadogradnja bit \u0107e objavljene sa zakrpom koja se o\u010dekuje u 16:00 sati po lokalnom vremenu ili ranije ako se detektiraju aktivna iskori\u0161tavanja. <\/p>\n\n\n\n<p class=\"has-large-font-size wp-block-paragraph\"><strong>Nove informacije:<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Objavljene su zakrpe za kriti\u010dne ranjivosti <strong>CVE-2026-109618<\/strong> i <strong>CVE-2026-109619<\/strong>. Radi se o novim verzijama <strong>PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35<\/strong>. Iako trenutno nema potvr\u0111enih informacija o aktivnom iskori\u0161tavanju navedenih ranjivosti, <strong>preporu\u010duje se hitno a\u017euriranje programskog paketa kao i provjera jesu li ure\u0111aji koji koriste aplikacije pisane u PHP-u zara\u017eeni<\/strong>. <\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tehni\u010dki detalji o ranjivostima i zakrpama dostupni su na poveznicama ispod.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dodatni izvori:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities\">https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities<\/a><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.php.net\/index.php#2026-10-21-5\">https:\/\/www.php.net\/index.php#2026-10-21-5<\/a><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.tenable.com\/blog\/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote\">https:\/\/www.tenable.com\/blog\/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote<\/a><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><br><a href=\"https:\/\/watchtowr.com\/intelligence\/php-cve-2026-109618-faq\/\">https:\/\/watchtowr.com\/intelligence\/php-cve-2026-109618-faq\/<\/a><\/p>","protected":false},"excerpt":{"rendered":"<p>A\u017eurirano: 21.10.2026. u 16:45 PHP Security Team najavio je izvanrednu sigurnosnu zakrpu zakazanu za 21. listopad 2026. u 16:00 sati (14:00 UTC). Pozivaju sve PHP korisnike na hitnu primjenu zakrpi. Prije slu\u017ebene objave procurile su informacije o dvjema kriti\u010dnim ranjivostima u jezgri PHP-a koje napada\u010du putem web zahtjeva omogu\u0107uju preuzimanje poslu\u017eitelja. Uspje\u0161no iskori\u0161tavanje ranjivosti napada\u010du [&hellip;]<\/p>\n","protected":false},"author":3,"featured_media":1114,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":[],"meta":{"_acf_changed":false,"footnotes":""},"categories":[27,23],"tags":[],"tema":[],"class_list":["post-723","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ranjivosti","category-upozorenja"],"acf":[],"_links":{"self":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts\/723","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/comments?post=723"}],"version-history":[{"count":2,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts\/723\/revisions"}],"predecessor-version":[{"id":1709,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/posts\/723\/revisions\/1709"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/media\/1114"}],"wp:attachment":[{"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/media?parent=723"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/categories?post=723"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/tags?post=723"},{"taxonomy":"tema","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/tema?post=723"},{"taxonomy":"format","embeddable":true,"href":"https:\/\/cert.hr\/en\/wp-json\/wp\/v2\/format?post=723"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}