Luknji v PHP-ju, Evropa umika spletne strani, v Sloveniji 1.004 strežnikov brez podpore

Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je v sredo zvečer odredil, da morajo zavezanci po Zakonu o informacijski varnosti (ZInfV-1) na sistemih, dostopnih prek interneta, v 48 urah zakrpati dve kritični luknji v programskem jeziku PHP, zaradi katerih je več evropskih vlad s spleta umaknilo del svojih strani. Pregled odzivnega centra SIGOV-CERT, ki deluje v okviru urada, je isti dan v Sloveniji med 1.320 javno dostopnimi strežniki PHP zaznal 1.004 takšnih, ki tečejo na različicah brez podpore.

Ranljivosti z oznakama CVE-2026-109618 in CVE-2026-109619 je varnostna skupina PHP ocenila kot kritični, z oceno CVSS 9,2 od 10, ker napadalcu brez predhodne avtentikacije omogočata oddaljeno izvajanje poljubne kode s pravicami procesa spletnega strežnika. Pri prvi se ob pomanjkanju pomnilnika med razčlenjevanjem zahteve notranji podatki pripravijo le delno, poznejše čiščenje pa jih obravnava kot veljavne, opisuje družba Red Hat. Drugo ranljivost po navedbah odredbe sprožijo usodne napake in prekoračitve časa izvajanja, kadar jih lahko izzove napadalec. Projekt PHP je v sredo izdal popravke v različicah 8.2.35, 8.3.36, 8.4.27 in 8.5.12, ranljive pa so vse starejše različice, vključno s tistimi, ki jim je podpora potekla.

Vse aplikacije ter omrežne in informacijske sisteme, ki temeljijo na PHP-ju, morajo zavezanci identificirati v 24 urah od seznanitve z odredbo, popravke na sistemih, ki niso dostopni prek interneta, pa namestiti v sedmih dneh. Pristojni skupini CSIRT morajo o izvedbi ukrepov poročati v 72 urah in nato ob vsaki spremembi stanja. Kjer popravka ni mogoče namestiti takoj, morajo uvesti začasne zaščitne ukrepe, če ti ne zadoščajo, pa izpostavljene aplikacije do namestitve popravkov izolirati od javnih omrežij. Odredba velja za zavezance po ZInfV-1 in varnostno-operativne centre organov državne uprave, visoka ogroženost pa se po oceni URSIV-a nanaša tudi na druge organe in organizacije, ki uporabljajo PHP ali programsko opremo, ki ga vsebuje.

Od 1.320 strežnikov, ki jih je zaznal SIGOV-CERT, jih 316 teče na podprtih vejah od 8.2 do 8.5, a na različicah, starejših od popravljenih. Delež strežnikov na različicah brez podpore je po izračunu Lider.si (1.004 od 1.320) 76,1 odstotka. Urad opozarja, da pregled zajema le storitve, ki različico PHP razkrivajo navzven, zato je dejanska izpostavljenost lahko višja.

Raziskovalna enota Unit 42 družbe Palo Alto Networks navaja, da je sistem Cortex Xpanse na internetu zaznal več kot 22,6 milijona javno dostopnih instanc, potencialno izpostavljenih obema ranljivostma. Nemški zvezni ponudnik informacijskih storitev ITZBund je zaradi ranljivosti s spleta umaknil več spletnih strani, je za Reuters povedal tiskovni predstavnik nemškega ministrstva za digitalizacijo. Francosko ministrstvo za notranje zadeve je do izdaje popravka začasno izklopilo spletne strani prefektur, na Nizozemskem pa so po zgledu nacionalnega centra za kibernetsko varnost s spleta umaknili vladni portal Overheid.nl in stran pristanišča Rotterdam, poroča Reuters. Kombit, družba za informacijske storitve danskih občin, je zaustavil več storitev, med njimi nacionalno platformo za šolsko komunikacijo, je za Reuters povedal njegov tiskovni predstavnik.

Varnostno podjetje Calif je prvo od obeh napak projektu PHP prijavilo 11. avgusta, potem ko jo je po lastnih navedbah v sodelovanju z družbo OpenAI odkrilo z modelom GPT-5.6 Sol, poroča Reuters. Po navedbah posameznih varnostnih ponudnikov so podrobnosti pred usklajenim razkritjem odtekle v javnost, varnostna skupina PHP pa tega v svojih objavah ne navaja. Ob izdaji popravkov so o prvih poskusih izkoriščanja poročali nekateri ponudniki, drugi pa jih niso zaznali. Projekt PHP izkoriščanja ni potrdil, URSIV pa kljub temu ocenjuje, da je izkoriščanje nezakrpanih sistemov verjetno, ker so bile podrobnosti po navedbah ponudnikov javno dostopne že pred izdajo popravkov.

Pri strežnikih Apache z modulom mod_php se napad po navedbah varnostne skupine PHP sproži, še preden se izvede koda aplikacije. Varnostno podjetje Sansec navaja, da so raziskovalci oddaljeno izvajanje kode brez avtentikacije potrdili pri Magentu 2.4.9 in desetih drugih aplikacijah PHP. Spletne trgovine Magento, Shopware in WooCommerce so po oceni Sanseca izpostavljene, tudi kadar je njihova lastna koda brez napak. Majhne spletne strani po opisu Reutersa večinoma vodijo lastniki brez varnostnega osebja, ki pogosto najemajo gostovanje pri ponudniku in strežnika ne upravljajo sami. Wordfence, varnostni vtičnik za WordPress, je po poročanju Reutersa opozoril, da običajne samodejne posodobitve tega popravka ne bodo namestile. Nacionalni odzivni center SI-CERT dodaja, da izklop nastavitve session.upload_progress.enabled po zdaj znanih podatkih izkoriščanja ne prepreči, URSIV pa izklop navaja kot enega od več začasnih ukrepov, ki namestitve popravkov ne nadomeščajo.

Ameriška družba Red Hat je ranljivosti CVE-2026-109618 pripisala stopnjo resnosti “pomembna” (Important), drugo najvišjo na svoji lestvici. Po navedbah družbe standardne namestitve sistema Red Hat Enterprise Linux uporabljajo PHP-FPM namesto mod_php, oddaljeno izvajanje kode pa je v praksi težavno in običajno zahteva nestandardno delovanje aplikacije. Tudi URSIV v obrazložitvi navaja, da je napad v oceni CVSS ovrednoten kot tehnično zahtevnejši in da nujnost ukrepov izhaja predvsem iz potrjene izvedljivosti izkoriščanja. Pri ranljivosti CVE-2026-109619 je varnostna skupina PHP izvajanje kode poleg strežnikov z modulom mod_php potrdila tudi za PHP-FPM, in sicer prek privzeto omogočene funkcije za spremljanje napredka nalaganja datotek v seji.

Za sisteme s PHP 8.1 ali starejšim odredba zahteva popravke distributerja, ponudnika podaljšane podpore ali projekta PHP, sicer nadgradnjo na podprto različico, do takrat pa izolacijo od javnih omrežij. Projekt PHP je za veje 7.4, 8.0 in 8.1 objavil minimalne popravke izvorne kode, rednih izdaj zanje pa ni.