21. listopada 2026. projekt PHP objavio je ispravke za dvije kritične sigurnosne propuste koje omogućuju neautentificirano udaljeno izvršavanje koda na serverima. Zabilježeni su slučajevi aktivnog iskorištavanja istih sigurnosnih propusta na svjetskoj razini.
Zato smo izvršili nadogradnju PHP-a i kernela na svim našim web serverima. Nadogradnja se odnosi na sigurnosne propuste:
CVE-2026-109618: udaljeno izvršavanje koda putem oštećenja memorije (out-of-memory corruption)
CVE-2026-109619: udaljeno izvršavanje koda putem zastarjelog globalnog stanja (stale global state)
Oba sigurnosna propusta ocijenjena su s 9,2 (kritično) na ljestvici CVSS v4.0. Sve PHP instalacije koje obrađuju web zahtjeve su ugrožene (PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP, LiteSpeed). Rizik je najveći kod upotrebe mod_php-a. Potpuni detalji i obavijesti nalaze se u službenoj stranici PHP-a.
Dostupne ispravljene verzije PHP-a
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35 (podrška prestaje 31. prosinca 2026., stoga vas molimo da planirate nadogradnju vaših web stranica)
Za verzije PHP 8.1 i starije projekt PHP više ne izdaje ažuriranja. Ako koristite neku od tih verzija, molimo nadogradite sustav na verziju koja je još uvijek podržana ili provjerite postoje li naknadno primijenjeni ispravci (tzv. backports). Minimalni ispravci za izvorni kod dostupni su za verzije PHP 7.4, 8.0 i 8.1, ali isključivo za slučajeve kada sami kompajlirate PHP iz izvornog koda.
ICW tim!