Sigurnosni propusti u PHP-u, programskom jeziku koji pokreće veliki dio interneta, izazvali su uzbunu širom svijeta. Vlade, tehnološke kompanije i stručnjaci za cyber sigurnost upozoravaju na dvije kritične ranjivosti koje napadačima mogu omogućiti preuzimanje kontrole nad web-serverima i krađu osjetljivih podataka. Zbog ozbiljnosti prijetnje pojedine institucije privremeno su isključile svoje internetske servise.
Prema procjenama kompanije za cyber sigurnost Wiz, PHP se koristi na približno 70 posto svjetskih web-stranica. Međutim, taj podatak ne znači da je jednak procenat stranica kompromitovan, već ukazuje na razmjere moguće ugroženosti sistema koji koriste ranjive verzije ovog programskog jezika.
Među platformama koje koriste PHP nalaze se WordPress, Joomla i Drupal, kao i MediaWiki, softver na kojem radi Wikipedia. Zbog toga sigurnosni problem može zahvatiti veliki broj informativnih portala, internetskih trgovina, javnih institucija i drugih digitalnih servisa.
Šta omogućavaju sigurnosni propusti u PHP-u?
Otkrivene ranjivosti omogućavaju napadačima da u određenim okolnostima izvršavaju vlastiti programski kod na udaljenom serveru, čak i bez korisničkog imena i lozinke.
To znači da bi hakeri mogli pristupiti povjerljivim informacijama, ukrasti lozinke, preuzeti osjetljive podatke ili instalirati zlonamjerni softver.
Posebno zabrinjava činjenica da se propusti nalaze u samom PHP-u, a ne nužno u aplikacijama koje ga koriste. Zbog toga i web-stranice koje redovno ažuriraju svoje dodatke i sisteme za upravljanje sadržajem mogu biti ugrožene ako koriste ranjivu verziju PHP-a.
Kompanija Wiz navodi da su pojedine slabosti postojale godinama, ali ih je bilo izuzetno teško otkriti i iskoristiti. Napredni alati umjetne inteligencije omogućili su istraživačima da analiziraju programski kod i razviju načine iskorištavanja ranjivosti znatno brže nego ranije.
Pojedine institucije privremeno ugasile web-stranice
Nakon objavljivanja informacija o ranjivostima, više evropskih institucija poduzelo je preventivne mjere.
Finska je privremeno isključila pojedine državne internetske servise, dok su i nadležne institucije u Nizozemskoj poduzele slične korake. Fondacija Wikimedia, koja upravlja Wikipedijom, također je privremeno isključila dio svojih sistema dok se ne provedu potrebne sigurnosne mjere.
Sigurnosne agencije u Sjedinjenim Američkim Državama, Ujedinjenom Kraljevstvu i Evropskoj uniji pozvale su administratore web-stranica da hitno instaliraju dostupne zakrpe.
U slučajevima kada to nije moguće učiniti odmah, preporučuje se razmatranje privremenog isključivanja ugroženih servisa.
Objavljene sigurnosne nadogradnje, šta trebaju uraditi vlasnici stranica?
Razvojni tim PHP-a objavio je 21. oktobra sigurnosne nadogradnje kojima se otklanjaju dvije kritične ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619.
Dostupne su ispravljene verzije PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Korisnicima starijih verzija preporučuje se prelazak na podržanu verziju ili provjera dostupnosti odgovarajućih sigurnosnih ispravki kod pružalaca hosting usluga.
Vlasnicima web-stranica, uključujući one koje koriste WordPress, savjetuje se da provjere verziju PHP-a na serveru i kontaktiraju hosting kompaniju ukoliko nisu sigurni jesu li potrebne nadogradnje instalirane.
Stručnjaci upozoravaju da sigurnosni propusti u PHP-u predstavljaju ozbiljan rizik jer mogu omogućiti napade bez prethodne prijave korisnika na sistem.
Kompanija OpenAI, čija je tehnologija korištena tokom istraživanja, ocijenila je otkriće jednim od najznačajnijih sigurnosnih problema u posljednje vrijeme. Iz kompanije ističu da umjetna inteligencija može ubrzati otkrivanje i otklanjanje ranjivosti, ali da iste mogućnosti mogu koristiti i cyber kriminalci.
