Skupna izjava o kritičnih ranljivostih PHP

Ranljivosti, sledene kot CVE-2026-109618 in CVE-2026-109619, bi lahko napadalcem omogočile oddaljeno izvajanje zlonamerne kode na ranljivih strežnikih brez avtentikacije. Varnostna skupina PHP je posodobitve izdala 21. oktobra 2026 ob 13:40 UTC. Izdaji so priložene vse tehnične podrobnosti teh posodobitev ter prizadete in fiksne različice.

Svetovanje o varnosti PHP je na voljo na: https://www.php.net/archive/2026.php

Organizacije bi morale opredeliti svoje aplikacije, ki temeljijo na PHP, se usklajevati s ponudniki gostovanja in storitev ter uporabljati izdane varnostne posodobitve. Prednost je treba dati internetnim sistemom. Kadar takojšnja sanacija ni izvedljiva, razmislite o izolaciji izpostavljenih aplikacij iz javnih omrežij, dokler ni mogoče uporabiti popravkov.

Številni komercialni in odprtokodni izdelki se v ozadju zanašajo na PHP. Posledično lahko te ranljivosti vplivajo na nekatere, tudi če se zdi, da PHP ne uporabljajo neposredno. Priporočamo, da preverite repozitorij NCSC-NL GitHub za informacije o programski opremi tretjih oseb, ki vključuje PHP in na katero lahko vpliva: https://github.com/NCSC-NL/php2shell

Najnovejša svetovanja, ki so jih objavili člani mreže skupin CSIRT, so na voljo v njihovih ustreznih uradnih komunikacijskih kanalih. Organizacije se lahko sklicujejo tudi na smernice CERT-EU. Agencija ENISA vzdržuje svetovalno zbirko na naslovu: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md

Agencija ENISA in vsi ustrezni akterji EU bodo še naprej spremljali to grožnjo, da bi prispevali k splošnemu situacijskemu zavedanju na ravni Unije.

Politika EU

Organizacije bi se morale tudi zavedati, da morajo proizvajalci izdelkov strojne in programske opreme od 11. septembra 2026 o aktivno izrabljenih ranljivostih poročati prek enotne platforme za poročanje bonitetnih agencij v skladu z Uredbo (EU) 2024/2847 (akt o kibernetski odpornosti). Več informacij je na voljo na: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting in https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp

Glavne zahteve glede kibernetske varnosti iz akta o kibernetski odpornosti se bodo uporabljale od 11. decembra 2027. V skladu z njimi bodo morali proizvajalci izdelkov strojne in programske opreme (v nadaljnjem besedilu: izdelki z digitalnimi elementi) uvesti vgrajeno varnost in zagotoviti varnostno podporo v življenjskem ciklu takih izdelkov, vključno s takojšnjo odpravo ranljivosti.