Dve ozbiljne bezbednosne ranjivosti u programskom jeziku PHP pokrenule su međunarodnu reakciju stručnjaka za sajber-bezbednost. Propusti bi napadačima mogli da omoguće izvršavanje zlonamernog koda na ranjivim serverima bez prethodne autentifikacije, što otvara mogućnost neovlašćenog pristupa sistemima i krađe osetljivih podataka.
Problem je posebno značajan zbog rasprostranjenosti PHP-a. Prema podacima kompanije Wiz i analitičkog servisa W3Techs, ovaj jezik koristi se na velikom delu interneta, uključujući platforme zasnovane na WordPressu, kao i sisteme na kojima rade Wikipedia, Drupal i Joomla.
Istraživači bezbednosnih kompanija Wiz i Calif otkrili su ranjivosti uz pomoć naprednih AI alata. Nakon koordinacije sa razvojnim timom PHP-a i drugim tehnološkim kompanijama, bezbednosne ispravke objavljene su 21. oktobra 2026. godine.
Dostupnost zakrpa ne znači da su svi sistemi automatski zaštićeni. Organizacije moraju da utvrde da li koriste pogođene verzije softvera i da primene odgovarajuće ispravke.
NSA i britanski NCSC pozvali na hitnu reakciju
Američka Nacionalna bezbednosna agencija (NSA) upozorila je organizacije koje koriste PHP da bez odlaganja zaštite svoje sisteme. Prema izveštaju BBC-ja, agencija je preporučila privremeno isključivanje sistema u slučajevima kada bezbednosne ispravke ne mogu odmah da budu primenjene.
Britanski Nacionalni centar za sajber-bezbednost (NCSC) izdao je slično upozorenje. Organizacijama je preporučeno da identifikuju sve sisteme koji koriste PHP, daju prioritet javno dostupnim serverima, primene zakrpe i prate eventualne znakove neovlašćenog pristupa.
Posebno je važno proveriti da li su napadači eventualno ostavili takozvana zadnja vrata (backdoors), odnosno načine da ponovo pristupe sistemu čak i nakon što je početna ranjivost otklonjena.
Upozorenja su stigla i od evropskih i drugih međunarodnih tela za sajber-bezbednost. Evropski tim za odgovor na računarske incidente (CERT-EU) pozvao je organizacije koje ne mogu pravovremeno da primene zaštitne mere da razmotre privremeno isključivanje pogođenih javno dostupnih sistema.
Pojedini sajtovi privremeno su isključeni
Reakcija na otkrivene ranjivosti dovela je do privremenog gašenja pojedinih internet stranica i servisa. Među organizacijama koje su preduzele takve mere našli su se Wikimedia fondacija, pojedine finske državne službe, gradska uprava Edinburga i druge javne institucije.
Wikimedia fondacija, organizacija koja upravlja Wikipedijom, privremeno je isključila deo svojih sistema iz predostrožnosti. Pojedine institucije u Škotskoj takođe su privremeno obustavile rad svojih veb-sajtova.
Takve mere ne znače nužno da su sistemi već bili napadnuti. Privremeno isključivanje može da bude preventivna odluka kojom se smanjuje mogućnost iskorišćavanja ranjivosti dok se ne primene zakrpe i ne provere bezbednosni uslovi.
Stručnjaci upozoravaju da bi manje organizacije mogle da budu posebno izložene riziku jer često nemaju sopstvene timove za sajber-bezbednost, a održavanje servera prepuštaju hosting provajderima.
Šta je PHP i zašto je ranjivost toliko ozbiljna?
PHP je programski jezik koji se prvenstveno koristi za obradu podataka na serveru i generisanje dinamičkog sadržaja veb-stranica. Kada otvorite internet stranicu, server može da koristi PHP za obradu zahteva, komunikaciju sa bazom podataka i pripremu sadržaja koji se prikazuje u pregledaču.
Ovaj jezik predstavlja osnovu velikog broja veb-aplikacija i sistema za upravljanje sadržajem. Zbog toga problem u samom PHP okruženju može da utiče na različite sajtove, čak i kada njihovi vlasnici nisu napravili grešku u sopstvenom programskom kodu.
Prema istraživanju kompanije Wiz, ranjivosti mogu da omoguće udaljeno izvršavanje koda bez autentifikacije, kao i čitanje osetljivih podataka iz memorije procesa. U zavisnosti od konfiguracije i načina na koji se propust iskoristi, posledice mogu da obuhvate pristup lozinkama, autentifikacionim tokenima i drugim poverljivim informacijama, ali i preuzimanje kontrole nad pogođenim serverom.
Ranjivosti su evidentirane pod oznakama CVE-2026-109618 i CVE-2026-109619, a njihova ozbiljnost ocenjena je sa 9,2 od maksimalnih 10 po standardu CVSS 4.0, prema podacima iz izveštaja kompanije Wiz i Reutersa.
To ne znači da je ceo internet hakovan niti da su svi sajtovi koji koriste PHP kompromitovani. Stvarni rizik zavisi od verzije softvera, konfiguracije servera, primenjenih zaštitnih mera i toga da li je sistem ažuriran.
Kako je veštačka inteligencija pomogla u otkrivanju propusta?
Posebnu pažnju privukla je uloga veštačke inteligencije u istraživanju. Istraživači su koristili napredne modele za analizu programskog koda, identifikovanje grešaka i ispitivanje načina na koje bi one mogle da budu iskorišćene.
OpenAI je 21. oktobra objavio da je model GPT-5.6 Sol korišćen u istraživanju u okviru inicijative Patch the Planet, usmerene na otkrivanje i otklanjanje kritičnih bezbednosnih problema. Kompanija Calif identifikovala je jedan od propusta uz pomoć tog modela, dok je Wiz nezavisno otkrio i prijavio ranjivosti.
Prema istraživačima, problem je postojao duže vreme, ali je za demonstraciju načina na koji se može iskoristiti bilo potrebno povezati više tehničkih slabosti. AI alati pomogli su da se taj proces ubrza.
Ovaj slučaj pokazuje i drugu stranu razvoja veštačke inteligencije. Isti alati koji stručnjacima mogu da pomognu da pronađu i poprave ranjivosti potencijalno mogu da olakšaju i razvoj napada. Zbog toga su, uz otkrivanje problema, važni i koordinacija sa proizvođačima softvera, brzo objavljivanje zakrpa i pravovremeno obaveštavanje korisnika.
Šta vlasnici sajtova treba da urade?
PHP tim objavio je bezbednosne ispravke 21. oktobra, a organizacijama je preporučeno da bez odlaganja provere koje verzije koriste i instaliraju odgovarajuće zakrpe.
Prioritet bi trebalo da budu serveri dostupni preko interneta, kao i sistemi koji obrađuju korisničke podatke ili imaju pristup osetljivim bazama.
Ako organizacija ne može odmah da primeni ispravku, trebalo bi da kontaktira hosting provajdera ili tim zadužen za održavanje infrastrukture i razmotri privremene mere zaštite. U slučaju da rizik ne može da se svede na prihvatljiv nivo, privremeno isključivanje pogođenog sistema može biti opravdano.
Nakon ažuriranja važno je proveriti i da li postoje indikatori ranijeg kompromitovanja. Sama instalacija zakrpe ne garantuje da sistem nije bio napadnut pre nego što je ranjivost otklonjena.
Za obične korisnike najvažnije je da prate zvanična obaveštenja servisa koje koriste i postupaju u skladu sa preporukama tih platformi. Takođe, treba biti oprezan sa porukama koje koriste aktuelnu bezbednosnu situaciju kao izgovor za traženje lozinki ili drugih osetljivih podataka.
Otkrivanje ranjivosti u PHP-u pokazuje koliko problem u jednoj široko rasprostranjenoj tehnologiji može da ima posledice po različite delove internet infrastrukture. Istovremeno, brzo objavljivanje zakrpa i koordinisana reakcija istraživača, proizvođača softvera i bezbednosnih agencija pokazuju koliko je važno da se ranjivosti otkriju i otklone pre nego što budu masovno iskorišćene.
