Slijedi hitna nadogradnja: PHP krpa opasnu rupu koja prijeti milijunima stranica
Svi oni koji imaju bilo kakve servise ili web aplikacije na PHP-u, morali bi biti u stanju pripravnosti. Otkrivena su dva vrlo ozbiljna propusta, objava zakrpa stiže, a ubrzo nakon nje očekuju se i napadi
Sigurnosni tim programskog jezika PHP izdao je na stranici PHP.net službeno upozorenje o nadolazećem izvanrednom izdanju zakrpa zakazanom za srijedu, 21. listopada 2026. godine u 14:00 UTC (16:00 po našem vremenu). Zakrpa obuhvaća otklanjanje dviju kritičnih ranjivosti, od kojih su obje prema sustavu CVSS v4.0 procijenjene visokom ocjenom opasnosti 9,2 od mogućih 10. Budući da PHP pokreće web stranice i aplikacije diljem svijeta, svim se korisnicima i administratorima savjetuje hitna priprema kako bi nadogradnju primijenili čim postane dostupna.
Nužna zakrpa
Iz PHP zajendice napominju kako detalji o tome koje su verzije točno zahvaćene, same ranjivosti te popravljene verzije još nisu objavljeni, već će biti obznanjeni u trenutku samog izdavanja zakrpa. Unatoč tome, uz obavijest je procurila snimka zaslona alata za eksploataciju pod nazivom PHP2Shell, pripisanog grupi Calif.IO. Prema navodima iz tog alata, sigurnosni propust obuhvaća sva izdanja PHP-a od verzije 5.4.0 nadalje, što znači da su ugroženi svi web poslužitelji s tim verzijama.
Doseg ovih ranjivosti iznimno je širok jer je na PHP-u izgrađen i WordPress. Zbog toga je ovo izdanje važno za sve vlasnike web stranica na WordPressu, neovisno o tome koje priključke ili teme koriste, a rizik obuhvaća i brojne platforme za internetske trgovine.
Sigurnosni problem povezan s alatom PHP2Shell ne može se otkloniti unutar koda samih web trgovina ili aplikacija, već isključivo na razini infrastrukture nadogradnjom PHP-a na poslužiteljima. Vlasnicima web stranica koji sami ne upravljaju poslužiteljskim sustavom preporučuje se da se bez odgode obrate svojim pružateljima hosting usluga, kako bi bili u pripravnosti i primijenili nadogradnju odmah po objavi.
Procjenjuje se da bi masovni napadi na sustave mogli započeti već unutar 15 minuta od objave zakrpa, stoga – poslijepodne bi moglo biti vrlo intenzivno u svijetu PHP-a.
