PHP2Shell: kritične rupe u PHP-u – zašto ažuriranje dodataka ovaj put nije dovoljno
Večernje AI vijesti · video i članak na hrvatskom
U večernjem izdanju AI vijesti: uz pomoć umjetne inteligencije otkrivene su dvije kritične ranjivosti u samom PHP-u, jeziku na kojem radi WordPress. Zakrpe (PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35) izašle su 21. listopada 2026., a Cloudflare je već zabilježio napadački promet. Ažurirati treba PHP na serveru, ne samo dodatke.
Što se dogodilo
PHP projekt objavio je 21. listopada 2026. sigurnosne zakrpe za sve podržane verzije, od 8.2 do 8.5: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. One ispravljaju dvije kritične ranjivosti (CVE-2026-109618 i CVE-2026-109619) s ocjenom težine do 9,2 od 10. Pod određenim uvjetima napadač bez ikakve prijave može na neažuriranom serveru pokrenuti vlastiti kod.
Prema tvrtki Wiz, pogođene su sve verzije PHP-a iz posljednjeg desetljeća, unatrag do verzije 5.4. Istraživači su pokazali napad bez prijave na WordPress, Drupal i Joomlu, a napadač može i iz memorije servera pročitati lozinke, tokene i API ključeve. Wiz i OpenAI navode da je napredna umjetna inteligencija pomogla pronaći ove godinama skrivene greške.
Oznake ranjivosti procurile su dan prije objave. Cloudflare javlja da je već vidio napadački promet prema svojim korisnicima; njegov vatrozid za web aplikacije (WAF), i u besplatnom paketu, automatski štiti od 21. listopada u 05:02 po našem vremenu. PHP Foundation poručuje svima koji koriste PHP: ažurirajte odmah.
Što to znači za male i srednje firme u Hrvatskoj i Njemačkoj? Greška je u samom PHP-u, ispod WordPressa, Joomle ili Drupala. Zato ažuriranje dodataka i teme ovdje nije dovoljno. Ažurirati treba PHP na serveru, a na dijeljenom hostingu to obično radi vaš hosting. Zakrpe su izašle za podržane verzije, od 8.2 do 8.5. Ako vaša stranica radi na starijoj verziji, pitajte hosting za prelazak na podržanu verziju. Ako ne znate tko održava vašu stranicu, to je prvo pitanje: tko ima pristup serveru, tko radi ažuriranja i gdje se čuvaju sigurnosne kopije.
Pet koraka za danas
- Pitajte hosting koju verziju PHP-a koristi vaša stranica i je li već zakrpana.
- Napravite sigurnosnu kopiju stranice i baze podataka.
- Ažurirajte PHP ili zatražite da to odmah napravi hosting.
- Nakon ažuriranja promijenite administratorske lozinke, lozinku baze i API ključeve.
- Razmislite o besplatnom Cloudflare vatrozidu kao dodatnoj zaštiti, a ne kao zamjeni za ažuriranje.
Brza provjera u 2 točke
Niste sigurni koliko je vaša stranica izložena ili što AI asistenti i tražilice na njoj vide? Pošaljite mi link. U roku od 24 sata dobivate jedan nalaz o stranici, jedan o vidljivosti na Googleu i u AI pretrazi te preporučeni sljedeći korak. Za male firme i obrte, bez obveze.
Tjedni AI pregled za male firme
Jednom tjedno: AI vijesti i što znače za vašu firmu ili obrt.
Podijeli vijest
Izvori
- The PHP Foundation · 21. 10. 2026.
- Wiz Research · 21. 10. 2026.
- Cloudflare · 21. 10. 2026.
- OpenAI na X-u · 21. 10. 2026.
Sigurnosna vijest i preporučeni koraci za vlasnike web stranica. WAF je dodatna zaštita, ne zamjena za sigurnosnu zakrpu PHP-a.