PHP2Shell: dvije kritične PHP ranjivosti (CVSS 9.2) i hitno sigurnosno izdanje

PHP je za srijedu, 21. listopada 2026., u 14:00 UTC (16:00 u BiH) zakazao izvanredno sigurnosno izdanje kojim popravlja dvije kritične ranjivosti. Obje je ocijenio s 9.2 po CVSS-u v4.0, a istraživači tvrtke watchTowr navode da napadaču omogućuju udaljeno izvršavanje koda (RCE). PHP još nije objavio tehnički opis, a napadi za sada nisu zabilježeni. Par ranjivosti već ima i nadimak: "php2shell".

Što znamo, a što ne

PHP-ova najava, objavljena 20. listopada, vrlo je kratka. Navodi termin izdanja, kaže da se popravljaju dvije kritične ranjivosti ocijenjene s 9.2 po CVSS-u v4.0 te obećava da će detalje, zahvaćene i ispravljene verzije objaviti tek s izdanjem. Upozorava i da izdanje može doći ranije ako ranjivosti postanu javne ili se počnu iskorištavati. CVE oznaka u najavi nema.

Najava je uslijedila nakon curenja. Objava na forumu news.ycombinator.com od 20. listopada tvrdila je da će 22. listopada biti otkrivene dvije PHP RCE ranjivosti s ocjenom 10.0, koje sežu sve do PHP-a 5; autor za to nije ponudio dokaz. Tvrtka watchTowr zatim je na mreži X poručila da je curenje istinito i da su ranjivosti pod embargom. PHP je izdanje potom zakazao dan ranije od datuma iz objave. Curenje je donijelo ocjenu, datum i dvije CVE oznake, ali ne i tehničko objašnjenje. Zato je korisno razlikovati potvrđeno od onoga što se samo prepričava:

Još je otvoreno koje su verzije zahvaćene, o kojem je dijelu PHP-a riječ i treba li za napad posebna konfiguracija, način pokretanja ili prijava. Odgovori se očekuju uz izdanje.

Tko je izložen

Ispravke se očekuju samo za četiri podržane grane, PHP 8.2 do 8.5. Stanje podrške prema php.net:

Sve starije grane, od 8.1 naniže, nemaju podršku proizvođača pa će, ako se pokaže da su zahvaćene, ostati bez službenih zakrpa. Koliko ih ima, naznačuje Malloryjevo brojanje na tražilici Shodan od 20. listopada: oko 884.000 javno dostupnih poslužitelja u bannerima navodi PHP 8.1 ili stariji, što je 59% od otprilike 1,5 milijuna koji uopće prikazuju verziju. Banner ne dokazuje da je sustav ranjiv, pa broj treba čitati kao grubu naznaku, a ne kao popis ranjivih računala.

Što napraviti: popis za pripremu

PHP nije objavio zaobilazno rješenje (workaround), pa je priprema ponajprije organizacijska. Popis uglavnom prati smjernice tvrtke Huntress, uz savjet o izolaciji agencije CERT-EU i alat Floriana Rotha (prema sažetku portala The Hacker News).

Prije izdanja

1. Pronađite svaki PHP u svojoj okolini, ne samo na web poslužiteljima: vlastiti PHP često nose uređaji, Windows aplikacije i upravljačke ploče (primjerice cPanel i Plesk).
2. Odredite redoslijed. Najprije sustavi dostupni s interneta. Pitajte proizvođača Linux distribucije ili hosting providera hoće li zakrpe biti prenesene (backport) na verziju koju koristite.
3. Za stare grane nadogradite ih, maknite ih s javnog interneta ili ispred njih postavite VPN ili web application firewall (WAF) dok ne nadogradite. Ako zakrpu ne možete primijeniti odmah, CERT-EU savjetuje razmotriti izolaciju aplikacija dostupnih s interneta od javnih mreža dok zakrpa ne bude dostupna.

Nakon izdanja

4. Primijenite zakrpu i potvrdite da radi nova verzija.
5. Tražite znakove napada: procese web poslužitelja (php-fpm, php-cgi, httpd, apache2) koji pokreću ljuske, skriptne interprete ili alate za preuzimanje. Na Linux poslužiteljima bez EDR-a može pomoći alat process-watcher Floriana Rotha, koji bilježi procese što ih pokreće PHP. Samo bilježi, ne blokira.
6. Ako nešto izgleda sumnjivo, izolirajte poslužitelj, sačuvajte logove web poslužitelja i PHP-a te provjerite ima li web shellova, novih datoteka u korijenskom direktoriju weba, novih cron i zakazanih zadataka te novih računa.

Javnih znakova iskorištavanja za sada nema: watchTowrov FAQ ih ne navodi, ranjivosti nisu na CISA-inu popisu KEV, a Huntress do 20. listopada nije vidio ništa u svojim partnerskim okruženjima niti zna za javni exploit kod. Povijest ipak ne opravdava opuštanje: nakon što je u lipnju 2024. postala javna ranjivost CVE-2024-4577 (PHP u CGI načinu rada na Windowsu), Akamai je napade na svoje honeypot sustave zabilježio za manje od 24 sata.

Što ovo znači za firme u BiH

PHP pokreće golem dio weba: WordPress, Joomla, Drupal, Magento i WooCommerce, ali i brojne namjenski izrađene poslovne aplikacije i portale. Prema našem iskustvu, mnoge firme u BiH PHP ne održavaju same, nego ga dobivaju preko hosting providera, web agencije ili proizvođača softvera, pa se često ne zna ni koja verzija radi ni tko je odgovoran za zakrpu. To je najveći rizik u danima nakon objave. Naša preporuka:

1. Odmah pitajte pružatelja hostinga i web agenciju koja se verzija PHP-a koristi na vašim sustavima, kada će zakrpa biti primijenjena i nude li prenesene (backport) pakete.
2. Provjerite jeste li na staroj grani. Ako aplikacija radi na PHP-u 8.1, 8.0 ili 7.x, plan nadogradnje je hitan jer za te grane zakrpe možda neće biti.
3. Osigurajte da netko prati sustave. Pokušaj iskorištavanja ostavlja tragove: neobične procese web poslužitelja, nove datoteke u korijenskom direktoriju weba, nepoznate cron zadatke. SOC nadzor 24/7 takve signale može brzo uočiti i pokrenuti reakciju, a penetration test web aplikacije pokazuje što napadač vidi izvana.

Zašto je brzo krpanje poznatih ranjivosti presudno, pokazuje i analiza napada na rumunjski zemljišni registar.

Često postavljana pitanja

Što je PHP2Shell?

Neslužbeni naziv koji su istraživači dali paru kritičnih RCE ranjivosti u PHP-u; sam PHP ga ne koristi. PHP je obje ocijenio s 9.2 po CVSS-u v4.0, a detalje objavljuje uz izdanje zakazano za 21. listopada 2026. u 14:00 UTC.

Koje su verzije PHP-a zahvaćene?

Još nije potvrđeno; PHP će ih navesti uz izdanje. Ispravke se očekuju samo za grane 8.2 do 8.5 (PHP zakrpe daje samo za podržane grane), a starije grane vjerojatno neće dobiti službenu zakrpu. Tvrdnja iz procurjele objave da su zahvaćene sve verzije od PHP-a 5 nije potvrđena.

Iskorištavaju li se ranjivosti i što treba napraviti odmah?

Na dan 21. listopada 2026. nema prijava o iskorištavanju. Popišite sve PHP instalacije, pripremite nadogradnju i najprije zakrpajte sustave dostupne s interneta; stare grane nadogradite ili zaštitite VPN-om ili WAF-om. Raniji slučajevi pokazuju da napadi mogu početi brzo, pa zakrpu ne treba odgađati.

Izvori i priznanja

Vijest se oslanja na izvještavanje portala The Hacker News (autorica Swati Khandelwal), kojem zahvaljujemo na izvještavanju, te na službenu najavu na php.net. Podaci o izloženosti dolaze od tvrtke Mallory, tehničke tvrdnje od tima watchTowr, a smjernice za pripremu od Huntressa i CERT-EU-a. Tekst je naša vlastita obrada, a ne prijevod izvornog članka.