CERT Srpske upozorava: Mogući hakerski napadi

CERT Republike Srpske (CERT RS) obavještava institucije, organizacije i administratore informacionih sistema da je PHP razvojni tim objavio hitne bezbjednosne zakrpe za dvije kritične ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, koje mogu omogućiti udaljeno izvršavanje proizvoljnog programskog koda (Remote Code Execution – RCE) bez prethodne autentifikacije.

Prosto rečeno, to znači da su hakeri otkrili ozbiljnu rupu u sistemu kroz koju mogu da preuzmu kontrolu nad sajtovima i serverima koji koriste PHP, i to bez ikakve lozinke ili prijavljivanja. Pošto napadači već pokušavaju da iskoriste ovu ranjivost, vlasnici sajtova i administratori moraju odmah da ažuriraju svoje sisteme kako bi sprečili upad i krađu podataka.

Obje ranjivosti ocijenjene su sa 9,2 od maksimalnih 10 bodova prema CVSS v4.0 metodologiji, što ih svrstava u kategoriju kritičnih bezbjednosnih propusta.

Prema dostupnim informacijama, već su zabilježeni pokušaji njihovog iskorišćavanja, zbog čega se svim organizacijama koje koriste PHP preporučuje da bez odlaganja izvrše provjeru i ažuriranje svojih sistema.

Potencijalni bezbjednosni rizici

Navedene ranjivosti prisutne su u osnovnim komponentama PHP-a, koji se široko koristi za razvoj i izvršavanje veb aplikacija i internet servisa.

Njihovo uspješno iskorišćavanje, zavisno od konfiguracije sistema, može omogućiti napadačima:

1. neovlašćeno izvršavanje programskog koda na pogođenim serverima;
2. kompromitaciju veb aplikacija i informacionih sistema;
3. neovlašćen pristup povjerljivim podacima;
4. narušavanje integriteta i dostupnosti servisa;
5. dalje širenje napada unutar informacione infrastrukture.

Riziku su izložene PHP instalacije koje obrađuju veb zahtjeve, uključujući okruženja koja koriste Apache mod_php, PHP-FPM, php-cgi, FrankenPHP i LiteSpeed.

Posebnu pažnju potrebno je posvetiti javno dostupnim veb servisima, kao i sistemima koji obrađuju osjetljive podatke.

Objavljene bezbjednosne zakrpe

PHP razvojni tim je 21. oktobra 2026. godine objavio sljedeće ispravljene verzije:

PHP verzija Ispravljena verzija

PHP 8.2 8.2.35

PHP 8.3 8.3.36

PHP 8.4 8.4.27

PHP 8.5 8.5.12

Korisnicima starijih verzija PHP-a preporučuje se prelazak na podržane verzije ili primjena odgovarajućih bezbjednosnih zakrpa koje obezbjeđuje dobavljač operativnog sistema ili softverske distribucije.

CERT RS preporučuje svim institucijama, organizacijama i administratorima informacionih sistema da prioritetno sprovedu sljedeće mjere:

1. Identifikacija potencijalno pogođenih sistema

Izvršiti provjeru svih servera, veb portala, aplikacija i servisa koji koriste PHP, uključujući sisteme koje održavaju eksterni dobavljači.

1. Provjera instaliranih verzija

Utvrditi verzije PHP-a koje se koriste i provjeriti dostupnost odgovarajućih bezbjednosnih ispravki.

1. Hitna primjena zakrpa

Bez odlaganja izvršiti ažuriranje pogođenih sistema na ispravljene verzije PHP-a ili instalirati odgovarajuće bezbjednosne pakete dobavljača. Nakon ažuriranja potrebno je ponovo pokrenuti odgovarajuće servise i potvrditi da se koristi ispravljena verzija.

1. Privremeno ograničavanje pristupa

U slučajevima kada nije moguće odmah izvršiti ažuriranje, razmotriti privremeno ograničavanje pristupa pogođenim servisima, naročito onima koji su dostupni putem interneta. Ove mjere ne predstavljaju potpunu zamjenu za instaliranje zakrpa.

1. Pojačan bezbjednosni nadzor

Izvršiti analizu sistemskih i aplikacionih evidencija, pratiti neuobičajene zahtjeve prema veb serverima i provjeriti eventualne pokazatelje kompromitacije.

1. Provjera sistema koje održavaju treća lica

Od ugovorenih dobavljača, hosting provajdera i pružalaca usluga održavanja zatražiti potvrdu da su izvršene potrebne provjere i primijenjene odgovarajuće bezbjednosne mjere.

"CERT RS nastavlja da prati razvoj situacije i preporučuje svim korisnicima PHP tehnologija da redovno prate zvanična bezbjednosna saopštenja i blagovremeno primjenjuju dostupne zakrpe", zaključuju iz CERT-a.