Kritični ranljivosti v PHP: priporočena čimprejšnja posodobitev sistemov

• Urad Vlade Republike Slovenije za informacijsko varnost

Obe kritični ranljivosti sta ocenjeni z oceno CVSS 9,2 od 10 in bi lahko omogočili oddaljeno izvajanje poljubne kode brez predhodne avtentikacije. Gre za ranljivosti z oznakama CVE-2026-109618 in CVE-2026-109619.

Tehnične podrobnosti o ranljivosti, seznam prizadetih različic PHP in različice s popravki ob napovedi še niso bili javno objavljeni. Predvidoma bodo objavljeni skupaj z varnostnimi popravki. Izdaja popravkov je napovedana za 21. oktober 2026 ob 16. uri po slovenskem času (UTC+2).

Priporočeni ukrepi

Uporabnikom in organizacijam priporočamo, da:

• čim prej identificirajo vse aplikacije, ki temeljijo na PHP, vključno z aplikacijami, ki so dostopne prek interneta;
• se pripravijo na namestitev varnostnih popravkov takoj, ko bodo na voljo;
• preverijo tudi aplikacije in rešitve, ki uporabljajo vgrajeno različico PHP oziroma so odvisne od PHP, ki ga vzdržuje proizvajalec druge programske opreme;
• če takojšnja namestitev popravkov ni mogoča, ocenijo tveganje in po potrebi začasno omejijo dostop do izpostavljenih aplikacij oziroma jih izolirajo od javnih omrežij ali uvedejo druge ustrezne zaščitne ukrepe.

Pri aplikacijah, ki uporabljajo vgrajeno različico PHP ali različico, ki jo vzdržuje drug proizvajalec, bo morda treba počakati na ustrezno posodobitev tega proizvajalca.

Po objavi popravkov priporočamo čimprejšnjo posodobitev vseh prizadetih sistemov, preverjanje uspešnosti namestitve ter spremljanje uradnih varnostnih obvestil in morebitnih znakov poskusov izkoriščanja ranljivosti.