Zajednička izjava o kritičnim ranjivostima PHP-a

Slabosti, praćene kao CVE-2026-109618 i CVE-2026-109619, mogle bi omogućiti napadačima daljinsko izvršavanje zlonamjernog koda na ranjivim poslužiteljima bez autentifikacije. Sigurnosni tim PHP-a objavio je ažuriranja 21. listopada 2026. u 13:40 UTC. Puno tehničke pojedinosti tih ažuriranja, kao i zahvaćene i fiksne verzije prate izdanje.

Sigurnosno savjetovanje o PHP-u dostupno je na: https://www.php.net/archive/2026.php

Organizacije bi trebale identificirati svoje aplikacije koje se temelje na PHP-u, koordinirati se s pružateljem usluga smještaja informacija na poslužitelju i pružateljem usluga te primjenjivati objavljena sigurnosna ažuriranja. Davanje prednosti sustavima usmjerenima na internet. Ako hitna sanacija nije izvediva, razmotriti izoliranje izloženih aplikacija od javnih mreža dok se ne mogu primijeniti popravci.

Mnogi komercijalni proizvodi i proizvodi otvorenog koda oslanjaju se na PHP u pozadini. Zbog toga te ranjivosti mogu utjecati na neke čak i ako se čini da ne upotrebljavaju izravno PHP. Preporučujemo da provjerite repozitorij NCSC-NL GitHub za informacije o softveru treće strane koji uključuje PHP i na koji bi se moglo utjecati: https://github.com/NCSC-NL/php2shell

Najnovije obavijesti koje su objavili članovi mreže CSIRT-ova mogu se pronaći u njihovim relevantnim službenim komunikacijskim kanalima. Organizacije se mogu pozvati i na smjernice CERT-EU-a. ENISA vodi savjetodavnu zbirku pod: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md

ENISA i svi relevantni akteri EU-a nastavit će pratiti tu prijetnju kako bi doprinijeli općoj informiranosti o stanju na razini Unije.

Politika EU-a

Organizacije bi nadalje trebale biti svjesne da od 11. rujna 2026. proizvođači hardverskih i softverskih proizvoda moraju izvješćivati o aktivno iskorištenim ranjivostima putem jedinstvene platforme za izvješćivanje o agencijama za kreditni rejting, u skladu s Uredbom (EU) 2024/2847 (Akt o kibernetičkoj otpornosti). Više informacija dostupno je na: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting i https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp

Glavni kibersigurnosni zahtjevi iz Akta o kiberotpornosti primjenjivat će se od 11. prosinca 2027. Njima će se od proizvođača hardverskih i softverskih proizvoda („proizvodi s digitalnim elementima”) zahtijevati da uvedu integriranu sigurnost i osiguraju sigurnosnu potporu tijekom životnog ciklusa takvih proizvoda, uključujući uklanjanje ranjivosti bez odgode.