CERT Republike Srpske (CERT RS) obavjestio je institucije, organizacije i administratore informacionih sistema da je otkrio kritičnu bezbjednosnu ranjivost u programskom jeziku PHP.
Kako su saopštili iz CERT-a, urađene su hitne bezbjednosne zakrpe za dvije kritične ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, koje mogu omogućiti udaljeno izvršavanje proizvoljnog programskog koda (Remote Code Execution – RCE) bez prethodne autentifikacije.
Obje ranjivosti, kako navode iz CERT-a, ocijenjene su sa 9,2 od maksimalnih 10 bodova prema CVSS v4.0 metodologiji, što ih svrstava u kategoriju kritičnih bezbjednosnih propusta.
“Prema dostupnim informacijama, već su zabilježeni pokušaji njihovog iskorištavanja, zbog čega se svim organizacijama koje koriste PHP preporučuje da bez odlaganja izvrše provjeru i ažuriranje svojih sistema”, ističu iz CERT-a i dodaju:
“Navedene ranjivosti prisutne su u osnovnim komponentama PHP-a, koji se široko koristi za razvoj i izvršavanje web aplikacija i internet servisa”.
Njihovo uspješno iskorištavanje, zavisno od konfiguracije sistema, može omogućiti napadačima:
– neovlašćeno izvršavanje programskog koda na pogođenim serverima;
– kompromitaciju web aplikacija i informacionih sistema;
– neovlašćen pristup povjerljivim podacima;
– narušavanje integriteta i dostupnosti servisa;
– dalje širenje napada unutar informacione infrastrukture.
“Riziku su izložene PHP instalacije koje obrađuju web zahtjeve, uključujući okruženja koja koriste Apache mod_php, PHP-FPM, php-cgi, FrankenPHP i LiteSpeed”, objašnjavaju iz CERT-a i nastavljaju:
“Posebnu pažnju potrebno je posvetiti javno dostupnim web servisima, kao i sistemima koji obrađuju osjetljive podatke”.