PHP2Shell: kritični ranljivosti ogrožata spletne strani in poslovne aplikacije

Dve novi kritični ranljivosti v programskem jeziku PHP sta sprožili varnostna opozorila po vsem svetu. Evropske in nacionalne institucije pozivajo k takojšnjemu ukrepanju, saj bi napadalci lahko prevzeli nadzor nad ranljivimi spletnimi strežniki. V Sloveniji je Urad Vlade RS za informacijsko varnost oceno kibernetske ogroženosti zvišal na visoko.

Na kratko

• Kaj: dve kritični ranljivosti v PHP (CVE-2026-109618 in CVE-2026-109619, CVSS 9,2/10).
• Popravljene različice: PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35.
• Kaj storiti zdaj: preverite različico PHP na svojih strežnikih in čim prej namestite popravke.

Zakaj je to pomembno za skoraj vsak spletni posel?

PHP je eden najbolj razširjenih programskih jezikov za delovanje spletnih strani in aplikacij. Uporabljajo ga številni sistemi, od spletnih strani na platformi WordPress do spletnih trgovin, uporabniških portalov in poslovnih aplikacij.

Po podatkih W3Techs z dne 21. oktobra 2026 PHP uporablja 69,3 % spletnih mest, pri katerih je mogoče prepoznati strežniški programski jezik.

To ne pomeni, da je skoraj 70 % interneta že napadenega. Pomeni pa, da ima lahko ranljivost v tako razširjeni tehnologiji izjemno velik vpliv na podjetja in organizacije po vsem svetu.

Dve ranljivosti z oceno 9,2 od 10

Ranljivosti, označeni kot CVE-2026-109618 in CVE-2026-109619, sta znani tudi pod skupnim imenom PHP2Shell.

Obe imata kritično oceno CVSS 9,2/10. Povezani sta z nepravilnim upravljanjem pomnilnika v PHP in lahko napadalcu v določenih okoliščinah omogočita oddaljeno izvajanje zlonamerne kode brez predhodne prijave.

Uspešen napad bi lahko povzročil nepooblaščen dostop do podatkov, spremembe na spletni strani, motnje poslovanja ali prevzem ranljivega strežniškega procesa.

Posebej pomembno je, da gre za ranljivosti v samem PHP, ne zgolj v posameznem vtičniku ali aplikaciji. Zato samo posodobitev WordPressa ali njegovega vtičnika ni dovolj, če strežnik še vedno uporablja ranljivo različico PHP.

Varnostne institucije pozivajo k takojšnjemu ukrepanju

Resnost dogodka potrjujejo tudi odzivi nacionalnih in mednarodnih institucij.

Slovenski Urad Vlade RS za informacijsko varnost (URSIV) je 21. oktobra objavil odredbo o nujnih ukrepih zaradi ranljivosti PHP. Oceno ogroženosti omrežij in informacijskih sistemov zavezancev po Zakonu o informacijski varnosti (ZInfV-1) je zvišal na visoko.

Evropski CERT-EU in ENISA priporočata takojšnjo namestitev varnostnih popravkov ter prednostno obravnavo sistemov, dostopnih prek interneta.

Tudi ameriška Agencija za nacionalno varnost (NSA) je organizacije opozorila, naj prizadete sisteme posodobijo. Kjer takojšnja posodobitev ni mogoča, svetuje začasen umik sistema iz delovanja, dokler tveganja ni mogoče ustrezno odpraviti.

Ponudnik Cloudflare je medtem potrdil zaznane poskuse napadov in uvedel dodatna pravila spletne požarne pregrade (WAF). Ta lahko zmanjšajo izpostavljenost, vendar ne nadomeščajo varnostnih popravkov.

Katere različice PHP je treba posodobiti?

Razvojna ekipa PHP je 21. oktobra 2026 izdala varnostne popravke. Za trenutno podprte veje so popravljene naslednje različice:

Različice PHP 8.1 in starejše ne prejemajo več rednih varnostnih posodobitev neposredno od projekta PHP. Za nekatere starejše sisteme so lahko na voljo posebni popravki ponudnikov distribucij ali dolgoročne podpore, kar je treba preveriti za posamezno okolje.

Kaj priporočamo podjetjem?

Če vaše podjetje uporablja spletno stran, trgovino ali poslovno aplikacijo, ki temelji na PHP, priporočamo naslednje korake:

1. Preverite različico PHP, ki dejansko poganja posamezno spletno stran ali aplikacijo. Ne pozabite na stare portale, testne sisteme in aplikacije zunanjih ponudnikov.
2. Namestite ustrezen varnostni popravek. Pred nadgradnjo preverite združljivost aplikacije in pripravite ustrezno varnostno kopijo.
3. Če posodobitev ni takoj mogoča, omejite izpostavljenost. Po oceni vpliva na poslovanje začasno omejite javni dostop ali uvedite druge ukrepe, ki jih priporoča proizvajalec.
4. Preverite varnostna opozorila in dnevnike. Spremljajte sumljive zahtevke, neobičajno obnašanje strežnika in morebitne znake nepooblaščenega dostopa.
5. Uskladite ukrepanje s ponudnikom gostovanja. Pri upravljanih strežnikih ali gostovanju mora biti jasno, kdo je odgovoren za posodobitev PHP.

Različico PHP najpogosteje preverite v nadzorni plošči gostovanja (na primer cPanel ali Plesk), v orodju Zdravje strani v WordPressu ali pa jo preprosto zahtevate od svojega ponudnika gostovanja oziroma razvijalca.

Če uporabljate Cloudflare ali drugo spletno požarno pregrado, naj ta ostane vključena kot dodatna zaščita. Sama po sebi še ne pomeni, da je ranljivost odpravljena.

Varnostni pregled spletne aplikacijeKaj vključuje pregled in kdaj ga je smiselno izvesti.

Kako lahko pomaga VitaliT?

Za podjetje ni vedno preprosto ugotoviti, katere aplikacije uporabljajo PHP, ali je posodobitev že nameščena in ali lahko nadgradnja vpliva na poslovanje.

Pri VitaliT pomagamo pri tehničnem pregledu spletnih in strežniških okolij, preverjanju različic PHP, oceni izpostavljenosti ter usklajevanju potrebnih varnostnih ukrepov. Več o tem na strani Kibernetska varnost.

Po potrebi sodelujemo tudi s ponudniki gostovanja in razvijalci aplikacij, da je mogoče popravke izvesti nadzorovano in preveriti rezultat.

Uradni viri in dodatne informacije

Ali sem ogrožen, če uporabljam WordPress?

Lahko. Ranljivosti sta v samem PHP, ne v WordPressu ali vtičnikih. Če strežnik uporablja ranljivo različico PHP, posodobitev WordPressa ne zadošča. Preveriti je treba različico PHP na strežniku.

Ali zadošča, da uporabljam Cloudflare ali drugo spletno požarno pregrado?

Ne. Dodatna pravila WAF lahko zmanjšajo izpostavljenost, vendar ne nadomeščajo varnostnih popravkov. PHP je treba posodobiti na popravljeno različico.

Katere različice PHP so popravljene?

PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Različice 8.1 in starejše ne prejemajo več rednih varnostnih posodobitev projekta PHP, zato je treba za take sisteme preveriti možnosti pri ponudniku distribucije ali načrtovati nadgradnjo.

• PHP: Uradno varnostno opozorilo in popravki
• CERT-EU: Critical Vulnerabilities in PHP, 2026-018
• SI-CERT: Kritične ranljivosti v PHP
• URSIV: Odredba o nujnih ukrepih
• NSA: PHP Security Advisory
• Cloudflare: Zaščita pred ranljivostma PHP2Shell

Članek temelji na informacijah, objavljenih in preverjenih 21. oktobra 2026. Varnostne informacije se lahko ob nadaljnjih raziskavah in odzivih proizvajalcev dopolnjujejo.