Hitne zakrpe za PHP: administratori sajtova upozoreni da se spreme za hitan update

Administratori širom svijeta upućeni su da se bez odlaganja pripreme za nadogradnju programskog jezika PHP, koji pokreće veliki dio web sajtova i aplikacija. Održavaoci PHP-a najavili su u ponedjeljak dvije zakrpe, a čija je objava zakazana za nešto više od 12 sati od objave najave.

U savjetodavnom upozorenju navedeno je da se svi korisnici PHP-a trebaju pripremiti kako bi mogli nadograditi sistem čim zakrpe budu objavljene. Održavaoci su dodali da zadržavaju pravo da zakrpe objave i ranije, ako se detalji o ranjivostima pojave u javnosti ili ako se ukažu dokazi o aktivnom iskorištavanju.

Objava uslijedila nakon navodnog curenja informacija

Upozorenje je uslijedilo nakon navodnog curenja detalja o ranjivostima, koje još nije potvrđeno. Prema pisanju izvještaja čiji sadržaj kruži javno, prikazan je video alata nazvanog PHP2Shell koji izvršava kod na serverima koji pokreću WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symfony 8.1.9, Drupal 11.4.10 i WHMCS 9.0.9 — sve platforme izgrađene na PHP-u. Sam izvještaj, međutim, nije bilo moguće pronaći.

Sigurnosna firma watchTowr saopćila je da curenje, prema navodima, pogađa sve verzije PHP-a počevši od PHP 5 iz 2004. godine. Ta firma je također potvrdila da su ranjivosti, kojima je ocijenjena ozbiljnost 9.2 na skali do 10, a označene su kao CVE-2026-109618 i CVE-2026-109619, stvarne.

Upozorenja sigurnosnih firmi

Istraživači firme Sansec izjavili su da očekuju da masovni napadi počnu u roku od 15 minuta nakon objave zakrpa. Firma Webfence također je pozvala administratore da se odmah pripreme, a i firma Huntress objavila je vlastito upozorenje.

Među preporučenim koracima pripreme su:

• utvrđivanje ko je u organizaciji odgovoran za PHP;
• popis svih aplikacija izgrađenih na tom jeziku;
• planiranje termina održavanja od 14:00 UTC, s pripremljenim planom za raniju nadogradnju;
• pravljenje rezervnih kopija sajta i baze podataka;
• praćenje početne stranice PHP.net zbog eventualnih novih objava, uključujući ranije vrijeme objave.

Neki stručnjaci predlažu i isključivanje nebitnih sistema dok ne budu zakrpljeni.

PHP je opijen source jezik za izgradnju dinamičkih sajtova i web aplikacija i postao je jedan od temelja modernog interneta. Pored brojnih CMS platformi, pokreće i mnoge interne alate kompanija. Jedan sigurnosni istraživač procijenio je da bi moglo biti pogođeno oko 1,3 miliona uređaja povezanih na internet.

Ranjivosti ovakve ozbiljnosti mogu izazvati ozbiljnu štetu širom interneta, a administratori su upućeni da ostanu budni s obzirom na to da zakrpe mogu biti objavljene u svakom trenutku.