21. oktobar 2026 | PHP | IT bezbednost
Dana 21. oktobra 2026. PHP bezbednosni tim objavio je ažuriranja za sve još podržane PHP verzije. Ona zatvaraju dve kritične ranjivosti poznate kao PHP2Shell. BSI je o tome izdao upozorenje i zahteva da se pogođeni sistemi bez odlaganja zakrpe. Ko vodi veb-server sa PHP-om, treba da deluje još danas. To važi i za sve koji „samo“ vode WordPress, Nextcloud ili Joomla, jer te aplikacije rade na PHP-u.
Ovaj članak rezimira šta se dogodilo, koje PHP verzije su pogođene, koja verzija vam je sada potrebna i kako za nekoliko minuta možete proveriti da li je vaš server obezbeđen.
Sadržaj ovog članka
Šta se dogodilo? Vremenski tok
PHP bezbednosni tim je unapred najavio objavljivanje ispravki, kako bi hosteri i administratori imali vremena da se pripreme. Samo objavljivanje je obavljeno 21. oktobra 2026. BSI je istog dana izdao svoje upozorenje (verzija 1.1).
- 20. oktobar 2026: Prethodno upozorenje PHP bezbednosnog tima da će sledećeg dana izaći bezbednosna ažuriranja.
- 21. oktobar 2026, 14:00 UTC (16:00 po srednjoevropskom letnjem vremenu): Objavljuju se zakrpe za PHP 8.5, 8.4, 8.3 i 8.2.
- 21. oktobar 2026: BSI upozorava na „kritične ranjivosti koje ugrožavaju veb-aplikacije širom sveta“ i preporučuje da se zakrpi bez odlaganja. Prema navodima BSI, veliki hosting provajderi su delimično preventivno isključili servere s mreže.
Dve PHP ranjivosti ukratko
Radi se o dve odvojene greške u PHP jezgru: CVE-2026-109618 i CVE-2026-109619. Obe, prema navodima PHP bezbednosnog tima, mogu dovesti do toga da napadač izvrši programski kod na serveru bez prijavljivanja (unauthenticated Remote Code Execution). Ranjivosti su ocenjene sa CVSS v4.0: 9,2 (kritično).
| Obeležje | Značenje |
|---|---|
| Oznake | CVE-2026-109618 i CVE-2026-109619 |
| Ocena | CVSS v4.0: 9,2 — kritično |
| Posledica | Izvršavanje koda na serveru (Remote Code Execution), bez prijavljivanja |
| Uzrok 1 | Oštećena memorija kada PHP tokom obrade ostane bez radne memorije (Out-of-Memory) |
| Uzrok 2 | Zastarelo globalno stanje koje između zahteva ostaje u memoriji |
| Posebno ugroženo | Apache sa mod_php |
Prema proceni BSI-ja, u trenutku objavljivanja nije bilo potvrđenih napada, ali je bilo nepotvrđenih naznaka pokušaja iskorišćavanja. Kod kritičnih ranjivosti u tako rasprostranjenom softveru, iskustvo govori da treba računati s tim da napadači analiziraju ispravke i pripremaju automatizovane napade. Vremenski prozor za zakrpe je zato kratak.
Ko je pogođen?
Pogođen je u načelu svaki server na kome radi PHP, nezavisno od toga kako je PHP povezan: PHP-FPM, mod_php u Apache-u, php-cgi, FrankenPHP ili LiteSpeed. Prema PHP bezbednosnom timu, rizik je najviši kod Apache-a sa mod_php.
BSI izričito navodi aplikacije koje se zasnivaju na PHP-u i zato mogu biti takođe pogođene:
- Sistemi za upravljanje sadržajem: WordPress, Drupal, TYPO3, Joomla
- Sistemi za prodavnice: Magento
- Oblak i skladištenje datoteka: Nextcloud
- Interfejsi zaštitnih zidova: pfSense, OPNsense
Sama aplikacija pritom ne mora biti neispravna. Ranjivost je u PHP-u, zato samo ažuriranje WordPress-a, Nextcloud-a & Co. ne pomaže. Mora se ažurirati PHP verzija na serveru. Kod zaštitnih zidova kao što su pfSense i OPNsense, ispravljena PHP verzija stiže preko odgovarajućeg ažuriranja firmvera proizvođača.
Ove PHP verzije su bezbedne
Ranjivosti su otklonjene u sledećim verzijama. Sve ispod toga važi kao ranjivo.
| PHP grana | Najmanje potrebno | Napomena |
|---|---|---|
| PHP 8.5 | 8.5.12 | aktuelna grana |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Podrška se završava 31. decembra 2026. |
| PHP 8.1 i starije | nema zvaničnog ažuriranja, vidi dole | |
Ovako proveravate i ažurirate svoj server
1. Utvrditi instaliranu PHP verziju
Na komandnoj liniji servera php -v prikazuje verziju PHP-a za komandnu liniju. Veb-server može koristiti drugu PHP verziju. Zato proverite i verziju PHP-FPM odnosno Apache modula, na primer sa php-fpm8.3 -v ili preko stranice koja ispisuje phpinfo() (nju zatim odmah ponovo uklonite).
2. Primeniti ažuriranje preko upravljanja paketima
Kod Debian-a, Ubuntu-a, RHEL-a i srodnih sistema ispravljena verzija stiže preko uobičajenog upravljanja paketima, na primer apt update && apt upgrade ili dnf upgrade. Kod spoljnih izvora kao što su Sury PPA ili Remi repozitorijum novi paketi se obično pojavljuju brzo.
apt changelog php8.3-fpm ili rpm -q --changelog php | grep CVE-2026-1096).
3. Ponovo pokrenuti PHP servis
Samo ažuriranje paketa nije dovoljno: pokrenuti PHP procesi zadržavaju stari kod u memoriji. Ponovo pokrenite PHP-FPM (systemctl restart php8.3-fpm) odnosno Apache (systemctl restart apache2), a zatim proverite da li su procesi pokrenuti nakon ažuriranja.
4. Hostovani veb-sajtovi
Kod shared hostinga ažurira, po pravilu, provajder. U korisničkom meniju se obično može podesiti PHP verzija po veb-sajtu. Izaberite tamo jednu od gore navedenih bezbednih verzija ili pitajte provajdera za stanje zakrpa. Prema navodima BSI-ja, pojedini provajderi su preventivno isključili servere s mreže. Ako vaš sajt kratko nije dostupan, to može biti uzrok.
PHP 8.1 i starije: nema zvaničnog ažuriranja
Za PHP 8.1 i starije više nema zvaničnih bezbednosnih ažuriranja. Operateri takvih sistema imaju dve mogućnosti:
- Preći na podržanu verziju (preporučeno). Što je verzija starija, to je veći napor prilagođavanja aplikacije i proširenja, zato prelazak treba prethodno testirati.
- Preneti ispravke unazad (backport). PHP bezbednosni tim je stavio ispravke na raspolaganje u razvojnim granama na GitHub-u. Ko PHP sam kompajlira, može ove izmene preneti u starije verzije. To je prelazno rešenje i zahteva stručno znanje.
I PHP 8.2 je podržan samo do 31. decembra 2026. Zato već sada planirajte prelazak na PHP 8.4 ili 8.5 i ne odlažite ga za kraj godine.
Privremene mere i pitanje „Isključiti server s mreže?“
PHP bezbednosni tim je uz najavu opisao i privremene zaštitne mere. One smanjuju rizik, ali ne zatvaraju ranjivosti u potpunosti. One ne zamenjuju ažuriranje i namenjene su samo premošćavanju vremena do ažuriranja.
Da li server do ažuriranja treba isključiti s mreže, zavisi od njegovog značaja i dostupnosti. BSI navodi da su veliki provajderi preduzeli ovaj korak. Kao praktično pravilo važi:
- Javno dostupan server, ažuriranje je sada moguće: odmah zakrpiti, isključivanje nije potrebno.
- Javno dostupan server, ažuriranje nije moguće u kratkom roku: ograničiti pristup (na primer preko zaštitnog zida samo za poznate adrese) ili privremeno isključiti servis, naročito kod
mod_php. - Server dostupan samo interno: zakrpiti u kratkom roku, hitnost je manja.
Česta pitanja
Da li moram da ažuriram WordPress, Joomla ili Nextcloud?
Ne zbog ove ranjivosti. Ona se nalazi u PHP-u, a ne u aplikaciji. Ažurirajte PHP verziju na serveru. Ažuriranje aplikacije je nezavisno od toga svakako preporučljivo.
Kako da prepoznam da li je neko već iskoristio ranjivost?
Pouzdanu procenu je teško dati. Sumnjivi su nepoznati PHP fajlovi u veb direktorijumu, neobični procesi pod korisnikom veb servera, novi korisnički nalozi ili cron poslovi i neobičan odlazni saobraćaj podataka. U slučaju konkretne sumnje sistem treba forenzički proveriti i, ako ima sumnje, ponovo postaviti.
Da li je dovoljan Web Application Firewall?
Firewall može da zaustavi poznate obrasce napada, ali nije zamena za ažuriranje. Više o saradnji više slojeva zaštite pročitajte u našem članku Zaštita Odoo 19: firewall, 2FA & Web RBL. Osnovna načela važe za svaku veb aplikaciju.
Da li je Odoo pogođen?
Ne. Odoo je napisan u Pythonu i ne radi na PHP-u. Pogođene bi bile samo PHP aplikacije koje rade na istom serveru.
Gde mogu da pronađem zvanične informacije?
Objavu PHP bezbednosnog tima možete pronaći u arhivi vesti na php.net (unos od 20. oktobra 2026), a verzije na php.net/downloads. Upozorenje BSI-ja nosi broj 2026-297981-1032 i objavljeno je na bsi.bund.de .
Podrška kompanije Biricon IT Services
Ako niste sigurni koja PHP verzija radi na vašem serveru ili vam je potrebna pomoć oko instaliranja zakrpa, rado ćemo vas podržati: pri popisu svih PHP sistema, pri instaliranju ažuriranja, pri prelasku na podržanu PHP verziju i pri proveri kompromitovanosti. Kao IT pružalac usluga brinemo o serverima, firewall-ovima i veb aplikacijama za mala i srednja preduzeća.
Stanje na dan: 21. oktobar 2026. Situacija se može brzo promeniti; merodavne su objave PHP bezbednosnog tima i BSI-ja.