Američka Agencija za nacionalnu bezbednost (NSA) poručila je 21. oktobra na Twitteru svim organizacijama koje koriste PHP da se pripreme za hitno ažuriranje. Sisteme koji ne mogu odmah da se ažuriraju savetuje da isključe sa interneta.
Nekoliko sati kasnije PHP tim je objavio verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35, koje zatvaraju dve kritične ranjivosti.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or…
— NSA Cyber (@NSACyber) October 21, 2026
NSA je obaveštajna služba američkog Ministarstva odbrane, reći ćemo to na lep način, prati komunikacije širom sveta i štiti američke državne mreže. Kroz ceo Hladni rat bila je najveća američka obaveštajna služba po broju zaposlenih i budžetu, a danas ima oko 32.000 ljudi.
Šta je ranjivo
Obe ranjivosti nose ocenu 9.2 od 10 i dozvoljavaju napadaču bez ikakvog naloga da na serveru pokrene sopstveni kod.
Ranjiv kod postoji još od PHP 5.4 iz 2012. godine, a pogođene su i podrazumevane postavke, od PHP-FPM do Apachea sa mod_php modulom.
Propuste su prijavili istraživači firmi Calif i Wiz i OpenAI tim, a napad bez prijave pokazali su na WordPressu, Laravelu i Magentu. Rupa je u samom PHP jezgru, pa je ranjiv i sajt čiji je sopstveni kod uredan.
Pošto je PHP osnova velikog dela sajtova i onlajn prodavnica koje se i kod nas prave i održavaju, ovo se tiče skoro svakog tima koji ima WordPress ili Laravel u produkciji.
Ugašeni sajtovi i starije verzije
Finska vlada i donji dom holandskog parlamenta skinuli su u sredu svoje sajtove sa interneta, a Francuska i Australija su privremeno ugasile deo državnih servisa dok ne primene zakrpu.
Ako vam to nije dovoljno, i japanska premijerka Sanae Takaiči zamolila je na Twitteru sve da još iste večeri provere da li njihovi javni sajtovi koriste PHP i da zakrpu primene čim izađe.
Ko to ne može brzo, njen savet je da sajt privremeno ugasi. Tvit je do večeri imao više od 34 miliona pregleda.
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。…— 高市早苗 (@takaichi_sanae) October 21, 2026
Detalji su procurili dan ranije, pa je Cloudflare prve napade zabeležio ujutru, pre nego što su zakrpe objavljene.
Za PHP 8.1 i starije verzije zvaničnih zakrpa nema: PHP tim je objavio samo minimalne ispravke za ručnu izgradnju verzija 7.4, 8.0 i 8.1, a ostali zavise od svog dobavljača ili prelaska na noviju verziju.
AI na obe strane
Jedan od dva propusta istraživač firme Calif našao je uz OpenAI model GPT-5.6 Sol, u okviru OpenAI programa za traženje i krpljenje ranjivosti u softveru otvorenog koda.
OpenAI procenjuje da je AI ove bagove našao pre napadača, ali i upozorava da ista sposobnost napadačima može da pomogne da brzo naprave alate za napad.
U junu smo pisali da je pristup modelu Fable ograničen upravo zato što je traženje ranjivosti uz AI počelo da radi.
To što NSA javno poručuje svima da zakrpe PHP ili ugase sajtove deluje kao jedan od zaštitnih znakova AI ere u kojoj živimo. Možda sva ona priča o sajber bezbednosti ipak nije bila samo hajp, a moguće je da će situacija od sada biti samo intenzivnija.
