Ministarstvo upozorava na bezbjednosne propuste: Hitno ažurirati internet stranice
Ministarstvo javne uprave (MJU) pozvalo je danas državne institucije, kompanije, pružaoce hosting usluga i administratore internet stranica da hitno provjere i ažuriraju PHP, tehnologiju na kojoj se zasniva veliki broj sajtova i digitalnih servisa, zbog otkrivanja kritičnih bezbjednosnih propusta koji mogu omogućiti hakerske napade i ugroziti podatke korisnika.
Direkcija za informacionu bezbjednost, odnosno CIRT državne uprave, upozorila je da su u PHP-u otkrivene dvije kritične ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, čijim iskorišćavanjem napadači mogu da izvršavaju zlonamjerni programski kod na serverima bez prethodne prijave na sistem.
Takvi napadi mogu dovesti do ugrožavanja podataka, ali i prekida rada internet stranica i digitalnih usluga.
“Razvojni tim PHP-a objavio je 21. oktobra 2026. godine bezbjednosna ažuriranja koja otklanjaju ove dvije ranjivosti. S obzirom na zabilježene pokušaje njihovog iskorišćavanja, potrebno je dati prioritet zaštiti izloženih sistema”, navodi se u saopštenju.
CNN je juče objavio da su vlade i kompanije širom svijeta užurbano rade na otklanjanju bezbjednosnih propusta koje je otkrila vještačka inteligencija (AI), a koji bi mogli da utiču na 70 odsto svjetskih veb-sajtova. Neki sajtovi i internet servisi privremeno su prestali da rade nakon što je u srijedu objavljeno otkriće ovih ranjivosti.
Propusti, zajednički nazvani PHP2Shell, mogli bi omogućiti napadačima da neovlašćeno pristupe veb-sajtovima i čitaju podatke iz memorije, među kojima mogu biti i osjetljive informacije poput lozinki.
Fondacija PHP (PHP Foundation), organizacija koja stoji iza ovog programskog jezika, objavila je bezbjednosnu zakrpu za propuste koji su godinama bili skriveni u njenom softveru i pozvala operatere veb-sajtova da odmah ažuriraju svoje sisteme.
Ugroženi i sajtovi na WordPressu, Joomli i Drupalu
Iz MJU su istakli da se upozorenje odnosi na servere koji koriste ranjive verzije PHP-a za obradu web zahtjeva, uključujući sajtove izrađene na popularnim platformama kao što su WordPress, Joomla i Drupal.
Naglašavaju da ažuriranje samog sajta, njegove platforme ili dodataka ne znači nužno da je ažurirana i verzija PHP-a na serveru.
Zato je, poručuju, neophodno provjeriti bezbjednost serverskog okruženja, odnosno od pružaoca hosting usluge zatražiti potvrdu da su potrebne ispravke instalirane.
Prema objavljenim preporukama, bezbjednosne ispravke dostupne su u verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
“Potrebno je primijeniti navedenu ili noviju verziju sa odgovarajućim ispravkama, odnosno bezbjednosno ažuriranje koje obezbjeđuje dobavljač operativnog sistema ili hosting platforme”, kazali su iz MJU.
Ističi da starije verzije PHP-a, od 8.1 naniže, više nijesu obuhvaćene redovnom podrškom, zbog čega organizacije koje ih koriste treba da provjere mogućnost dodatnih bezbjednosnih ispravki i što prije pređu na podržane verzije.
Provjeriti i da li je već bilo neovlašćenih upada
Ministarstvo preporučuje da se prioritet da serverima koji su javno dostupni putem interneta, a da administratori nakon ažuriranja provjere da li sistemi koriste ispravljenu verziju PHP-a i da li sve usluge funkcionišu pravilno.
U slučajevima kada ažuriranje nije odmah moguće, preporučuje se primjena privremenih zaštitnih mjera i razmatranje ograničavanja javnog pristupa ranjivim servisima.
Ipak, iz Ministarstva naglašavaju da takve mjere nijesu zamjena za instaliranje bezbjednosnih ispravki.
Administratori se pozivaju i da pregledaju evidencije događaja i provjere postoje li tragovi neovlašćenog pristupa sistemima.
„Ažuriranje otklanja navedene ranjivosti, ali samo po sebi ne uklanja posljedice eventualnog ranijeg upada“, upozorili su iz Ministarstva.
Otkriven još jedan bezbjednosni propust
PHP projekat je 23. oktobra objavio i dodatno upozorenje o ranjivosti CVE-2026-115560, koja se javlja pri određenoj kombinaciji konfiguracije servera i programskog koda aplikacije.
Dok ne bude objavljena odgovarajuća ispravka, administratorima se preporučuje privremena promjena podešavanja session.upload_progress.enabled=0, uz ponovno pokretanje svih PHP radnih procesa.
“Ovu preporuku treba provjeriti i na već ažuriranim sistemima. Ona dopunjuje prethodne mjere i ne zamjenjuje obavezno ažuriranje”, navodi se u saopštenju.
Iz Ministarstva javne uprave poručuju da pravovremeno ažuriranje i saradnja državnih institucija, administratora i pružalaca digitalnih usluga mogu značajno smanjiti bezbjednosne rizike, zaštititi podatke i obezbijediti pouzdaniji rad internet servisa.