KritičnoIT security noviceRanljivosti

SI-CERT opozarja na kritični ranljivosti v PHP, priporočena takojšnja posodobitev

PHP Foundation je izdala varnostne popravke za dve kritični ranljivosti, CVE-2026-109618 in CVE-2026-109619, ki omogočata oddaljeno izvajanje kode. SI-CERT, Arnes in URSIV pozivajo organizacije k nujni posodobitvi prizadetih sistemov.

CyberRadar ocena74 / 100
CVSS9,2
EPSS0,3 %
KEVNe
Ilustracija opozorilnega simbola nad kodo PHP, ki ponazarja kritično varnostno ranljivost

Kaj se je zgodilo

PHP Foundation je 20. oktobra 2026 napovedala izdajo varnostnih popravkov za dve kritični ranljivosti v programskem jeziku PHP, označeni kot CVE-2026-109618 in CVE-2026-109619. SI-CERT je dogodek objavil pod oznako SI-CERT 2026-07, obvestili pa sta tudi Arnes in URSIV (Urad vlade za informacijsko varnost).

Obe ranljivosti sta povezani z upravljanjem pomnilnika med obdelavo zahtev. Pri CVE-2026-109618 gre za napako pri uporabi funkcije longjmp() ob napakah pomanjkanja pomnilnika (OOM), kjer lahko nekateri konteksti pustijo pomnilnik zahteve v neinicializiranem stanju pred naslednjo dodelitvijo. Pri CVE-2026-109619 pa gre za napačno ponastavljanje globalnega stanja, ki lahko po sprostitvi pomnilnika še vedno kaže nanj, kar naslednje zahteve lahko preberejo ali na podlagi tega izvedejo nepredvideno vejitev. Po navedbah NVD lahko obe napaki privedeta do oddaljenega izvajanja kode (RCE).

NVD obe ranljivosti glede na CVSS 4.0 ocenjuje z oceno 9,2 (CRITICAL), proizvajalec PHP pa je kot vir iste ocene naveden kot sekundarni zapis. NVD hkrati vodi tudi primarno oceno po CVSS 3.1, ki za obe ranljivosti znaša 9,8 (CRITICAL). Ranljivosti prizadenejo PHP različice pred 8.2.35, 8.3.36, 8.4.27 in 8.5.12. Po navedbah URSIV lahko ranljivosti vplivajo na vse različice PHP od PHP 5 naprej, kar poudarja, kako razširjena je lahko izpostavljenost. CERT RS (BiH) navaja, da so bili zabeleženi poskusi izkoriščanja, vendar gre pri tem za navedbo posameznega vira, ki je zaenkrat ni mogoče neodvisno potrditi. V katalogu CISA KEV ranljivosti ob času objave nista zavedeni.

V istem obvestilu SI-CERT omenja tudi tretjo oznako, CVE-2026-10961, vendar podatki NVD kažejo, da ta CVE dejansko opisuje ločeno ranljivost tipa use-after-free v brskalniku Google Chrome za iOS, ne v PHP. Ocenjena je s CVSS 3.1 8,3 (HIGH), EPSS vrednost pa znaša 0,3 % (stanje na dan 21. 10. 2026). Gre torej za nepovezano ranljivost, ki z objavljenim PHP popravkom ni v neposredni zvezi.

PHP Foundation je izdajo popravkov pospešila in jih objavila 21. oktobra 2026 ob 15.00 (UTC+1), prvotno pa je bila predvidena za dan kasneje. Po navedbah SI-CERT je do prestavitve prišlo najverjetneje zaradi pojava določenih informacij v javnosti.

Kaj to pomeni za slovenska in evropska podjetja

PHP poganja velik delež spletnih aplikacij in strežniških storitev v Sloveniji in širše po Evropi, od spletnih mest do internih sistemov javne uprave in podjetij. Kritični ranljivosti, ki omogočata oddaljeno izvajanje kode brez predhodne avtentikacije, pomenita tveganje za vsak sistem, ki poganja prizadeto različico PHP in je dostopen iz javnega omrežja. Arnes je svoje storitve uspešno posodobil že 21. in 22. oktobra, pri čemer dostopnost storitev ni bila prekinjena, kar kaže, da je hitra sanacija izvedljiva brez večjih izpadov.

Priporočeni ukrepi

  • Identificirajte vse spletne aplikacije in storitve, ki temeljijo na PHP, ter preverite nameščeno različico.
  • Namestite popravljene različice PHP (8.2.35, 8.3.36, 8.4.27 ali 8.5.12 oziroma novejše) takoj, ko je to mogoče.
  • Kjer takojšnja namestitev popravkov ni izvedljiva, razmislite o izolaciji prizadetih spletnih aplikacij iz javnih omrežij, dokler popravek ni nameščen.
  • Spremljajte uradna obvestila SI-CERT, Arnesa in URSIV za morebitne dodatne informacije o ranljivostih.
  • Preverite dnevnike sistemov za morebitne sume nenavadne dejavnosti, zlasti če gre za javno dostopne strežnike.

Vprašanja in odgovori

Ali sta ranljivosti CVE-2026-109618 in CVE-2026-109619 že aktivno izkoriščani? CERT RS (BiH) navaja, da so bili zaznani poskusi izkoriščanja, vendar gre za navedbo posameznega vira. Ranljivosti ob objavi tega članka nista uvrščeni v katalog CISA KEV.

Kaj pomeni oznaka CVE-2026-10961 v tem kontekstu? Gre za ločeno ranljivost v brskalniku Google Chrome za iOS, ne v PHP. Omenjena je bila v izvirnem obvestilu SI-CERT, vendar po podatkih NVD ni povezana s prizadetimi PHP komponentami.

Katere različice PHP so prizadete? Po podatkih NVD gre za vse različice pred 8.2.35, 8.3.36, 8.4.27 in 8.5.12. URSIV dodaja, da bi lahko ranljivosti vplivale na vse različice PHP od PHP 5 naprej.

Pogosta vprašanja

Ali sta ranljivosti CVE-2026-109618 in CVE-2026-109619 že aktivno izkoriščani?

CERT RS (BiH) navaja poskuse izkoriščanja, vendar gre za navedbo posameznega vira. V katalogu CISA KEV ranljivosti ob objavi tega članka nista zavedeni.

Kaj pomeni oznaka CVE-2026-10961 v tem kontekstu?

Gre za ločeno ranljivost v brskalniku Google Chrome za iOS, ne v PHP, kljub temu da je bila omenjena v istem obvestilu SI-CERT.

Katere različice PHP so prizadete?

Po podatkih NVD različice pred 8.2.35, 8.3.36, 8.4.27 in 8.5.12. URSIV navaja, da bi lahko bile prizadete vse različice PHP od PHP 5 naprej.

Sorodne objave

Viri

Časovnica zgodbe

  2. Kritični ranljivosti v PHP: priporočena čimprejšnja posodobitev sistemovURSIV (Urad vlade za informacijsko varnost, novice na gov.si)

Povezane objave