DVA OZBILJNA sigurnosna propusta u programskom jeziku PHP, koji koriste brojne internetske stranice i aplikacije, mogla bi hakerima omogućiti preuzimanje kontrole nad poslužiteljima bez potrebe za prijavom u sustav.

Na opasnost upozorava Nacionalni CERT, koji poziva administratore da što prije instaliraju sigurnosne nadogradnje. Zbog otkrivenih propusta u nekoliko europskih država privremeno su ugašene i internetske stranice državnih institucija.

PHP je programski jezik na kojem se temelje brojne internetske stranice, internetske trgovine i poslovne aplikacije. Koriste ga i sustavi javnih ustanova te privatnih tvrtki.

Otkriveni propusti posebno su opasni jer bi napadač mogao poslati posebno pripremljen zahtjev internetskoj stranici i tako pokrenuti vlastiti program na poslužitelju, bez korisničkog imena i lozinke.

Uspješan napad mogao bi omogućiti krađu podataka, izmjenu sadržaja stranice ili instaliranje zlonamjernog softvera.

Napadačima ne treba ni lozinka

Riječ je o dvjema ranjivostima označenima kao CVE-2026-109618 i CVE-2026-109619. Obje su ocijenjene s 9.2 od mogućih 10 bodova na ljestvici ozbiljnosti sigurnosnih propusta.

Ranjivosti su povezane s pogreškama u upravljanju memorijom tijekom obrade internetskih zahtjeva.

Posebno su ugroženi poslužitelji koji koriste PHP kao dio sustava za obradu zahtjeva posjetitelja internetskih stranica.

Stručnjaci upozoravaju da za iskorištavanje ranjivosti u određenim konfiguracijama nije potrebna nikakva prethodna prijava. Napadač može pokušati iskoristiti propust prije nego što aplikacija uopće počne izvršavati vlastiti programski kod.

U Nizozemskoj preventivno ugasili državne stranice

Zbog opasnosti od napada pojedine europske zemlje u srijedu su privremeno isključile internetske stranice državnih institucija.

Nizozemska vlada potvrdila je da je iz predostrožnosti ugasila više stranica, među kojima su Overheid.nl, MijnOverheid.nl i DigiD, sustav koji građani koriste za elektroničku identifikaciju i pristup javnim uslugama.

Nizozemski Nacionalni centar za kibernetičku sigurnost tada je izvijestio da nema potvrdu aktivnog iskorištavanja ranjivosti, ali je preporučio preventivne mjere zbog ozbiljnosti mogućih posljedica.

Privremena isključenja internetskih stranica prijavljena su i u drugim europskim državama.

Zakrpe su već objavljene

Razvojni tim PHP-a u srijedu, 21. listopada, objavio je sigurnosne nadogradnje kojima se uklanjaju otkriveni propusti.

Zaštićene verzije su PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.

Sve starije verzije unutar tih razvojnih grana potrebno je nadograditi. Poseban problem predstavljaju još starije verzije PHP-a koje više nemaju službenu podršku i za koje nisu objavljene redovite sigurnosne zakrpe.

Iz razvojnog tima upozoravaju da je nadogradnja jedino potpuno rješenje za otkrivene ranjivosti.

CERT upozorava: Prvo zaštitite sustave dostupne s interneta

Nacionalni CERT preporučuje tvrtkama i ustanovama da utvrde koji njihovi sustavi koriste PHP te ih nadograde čim prije.

Prednost bi trebali imati poslužitelji kojima se može pristupiti izravno putem interneta jer su oni najizloženiji mogućim napadima.

Ako nadogradnja nije odmah moguća, preporučuje se privremeno ograničiti pristup ranjivim sustavima ili ih, prema procjeni rizika, isključiti s interneta.

Administratori bi trebali provjeriti i koriste li njihove aplikacije zastarjele verzije PHP-a koje više ne dobivaju sigurnosne nadogradnje.

Što ako je poslužitelj već napadnut?

Ako postoji sumnja da je napadač već iskoristio propust, CERT preporučuje izoliranje zahvaćenog poslužitelja od mreže.

Važno je sačuvati zapise o radu sustava i provjeriti postoje li nepoznate ili nedavno dodane datoteke, neobični programi i druge promjene koje bi mogle upućivati na neovlašten pristup.

Sama naknadna instalacija zakrpe ne uklanja zlonamjerni program koji je napadač možda već postavio na poslužitelj.

Europska agencija za kibernetičku sigurnost ENISA, CERT-EU i Europol također su pozvali organizacije da odmah provjere svoje sustave i primijene dostupne sigurnosne nadogradnje.