Projekat PHP ispravio je dvije kritične ranjivosti koje bez prijave omogućavaju pokretanje koda na serveru

Projekat PHP objavio je 21. oktobra 2026. verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35, koje ispravljaju dvije kritične ranjivosti. Obje mogu da omoguće izvršavanje udaljenog koda, odnosno da napadač na serveru pokrene sopstveni program, i nijedna ne traži prijavu. Projekat poziva sve korisnike PHP-a da odmah ažuriraju, a isto traži i američka agencija za sajber bezbjednost CISA.

Šta omogućavaju dvije ranjivosti

Prva, CVE-2026-109618, nalazi se u načinu na koji PHP postupa kad ostane bez memorije. Ako zahtjev dostigne granicu memory_limit u pogrešnom trenutku, interni podaci zahtjeva ostaju djelimično pripremljeni, a PHP ih kasnije tretira kao ispravne. Fondacija PHP navodi da na Apacheu s modulom mod_php zahtjev bez prijave pokreće grešku prije ijedne linije koda aplikacije. Izvršavanje koda je tamo pokazano uz podrazumijevana podešavanja, a na PHP-FPM-u je potvrđeno kroz kod same aplikacije.

Druga, CVE-2026-109619, je greška korišćenja već oslobođene memorije. Interno stanje jednog zahtjeva ostaje i pošto je njegova memorija oslobođena, pa ga sljedeći zahtjev u istom radnom procesu upotrijebi. Istraživač koji je grešku prijavio pokazao je izvršavanje koda na stvarnoj aplikaciji koja radi na modulu mod_php.

Savjet na sajtu php.net kao pogođene navodi PHP-FPM, Apache s modulom mod_php, php-cgi, FrankenPHP i LiteSpeed. Najveći rizik projekat vidi kod modula mod_php.

Ko mora da ažurira

Linux distribucije i firme koje daju dugoročnu podršku dobile su ispravke unaprijed, pa ažurirane pakete treba tražiti od njih. Verzije 8.1 i starije od projekta ne dobijaju izdanja. Zbog ozbiljnosti grešaka bezbjednosni tim je ipak objavio minimalne ispravke izvornog koda za 7.4, 8.0 i 8.1, namijenjene onima koji PHP sami prevode iz izvornog koda.

CISA ide korak dalje kad je riječ o sistemima koji se ne mogu ažurirati. Prema njenom upozorenju, organizacije koje ne mogu da ažuriraju ili koriste PHP 8.1 i starije treba da takve sisteme isključe dok ih ne isprave. U trenutku objave upozorenja CISA nije zabilježila uspješno iskorišćavanje.

Ako ažuriranje mora da sačeka

Projekat navodi podešavanja koja sužavaju pojedine puteve napada i izričito kaže da nijedno od njih instalaciju ne čini bezbjednom:

• memory_limit=-1 se postavlja na mjestu koje aplikacija ne može da promijeni, na primjer kroz php_admin_value u FPM grupi ili u podešavanjima Apachea.
• post_max_size se spušta na 8M za aplikacije bez slanja datoteka, odnosno na 32M kad je slanje potrebno.
• session.upload_progress.enabled=0 se postavlja u php.ini ili u podešavanjima grupe, a zatim se ponovo pokreće svaki radni proces.
• Na verziji 8.5 se postavlja fatal_error_backtraces=0 i ponovo pokreće svaki radni proces.

Napadi su počeli prije ispravke

Amazonova služba za praćenje prijetnji navodi da je jedan od njenih mamaca u mreži MadPot zabilježio pokušaj napada četiri dana prije javne objave, 17. oktobra 2026. Pokušaj je došao iz mreže za prikrivanje adresa, a Amazon kaže da nije jasno kako je napadač došao do pojedinosti. Primjeri koda za napad pojavili su se na dan objave, a Amazon sada bilježi široke pokušaje iskorišćavanja.

Amazon preporučuje da istraga počne od 17. oktobra, a ne od dana objave. Predlaže i da se u zapisima servera traže POST zahtjevi s poljem PHP_SESSION_UPLOAD_PROGRESS.

Projekat je 23. oktobra 2026. dodao informativni savjet o ranjivosti CVE-2026-115560. Ona se tiče samo neuobičajenog podešavanja, a projekat predlaže da podešavanje session.upload_progress.enabled=0 ostane na snazi do sljedećeg redovnog izdanja.

Zašto je ispravka trajala dvije godine

Prvi znaci problema s memorijom nađeni su 2024, tokom spoljne provjere koda koju je izvela firma Quarkslab. Fondacija PHP piše da tada nije bio poznat konkretan put napada, da je svako predloženo rješenje imalo nedostatke i da je rad mjesecima zastajao. Bezbjednosna firma Calif počela je novu provjeru 30. jula 2026. Izvršavanje koda bez ikakvih uslova prijavila je 11. avgusta 2026. OpenAI i Wiz prijavili su dodatne puteve napada u avgustu i septembru.