Dve kritične ranjivosti u PHP-u, otkrivene u oktobru 2026. godine, ponovo su ukazale na značaj pravovremenog upravljanja bezbednosnim propustima. Za kompanije, ovaj slučaj predstavlja podsetnik da ranjivost u široko korišćenoj tehnologiji može postati ozbiljan poslovni rizik ukoliko se ne prepozna i ne otkloni na vreme.
Šta su PHP2Shell ranjivosti i zašto su važne?
PHP je programski jezik koji se široko koristi za razvoj veb-sajtova i aplikacija. Budući da se nalazi u osnovi velikog broja digitalnih servisa (veb-sajtova, internet prodavnica, korisničkih portala, sistema za upravljanje sadržajem i poslovnih aplikacija), bezbednosni propusti u ovoj tehnologiji mogu imati posledice daleko izvan pojedinačnog sajta ili aplikacije.
Dana 21. oktobra 2026. godine objavljene su bezbednosne ispravke za dve kritične ranjivosti u PHP-u, identifikovane oznakama CVE-2026-109618 i CVE-2026-109619, zajednički poznate kao PHP2Shell. Prema zvaničnom upozorenju PHP razvojnog tima, ranjivosti mogu omogućiti udaljeno izvršavanje koda bez prethodne autentifikacije.Obe ranjivosti ocenjene su sa 9,2 od 10 prema sistemu za ocenjivanje ozbiljnosti bezbednosnih propusta CVSS v4.0, što ih svrstava u kategoriju kritičnih ranjivosti.
Ranjivosti mogu omogućiti udaljeno izvršavanje proizvoljnog koda (Remote Code Execution – RCE) bez prethodne autentifikacije. To znači da napadač, u određenim ranjivim konfiguracijama, može da izvrši zlonamerne komande na pogođenom serveru, bez potrebe da prethodno poseduje korisnički nalog.
Propusti su povezani sa načinom na koji PHP obrađuje određene greške i upravlja internim stanjem i memorijom tokom obrade zahteva. Iako se tehnički mehanizmi razlikuju, zajednički rizik je mogućnost narušavanja bezbednosti sistema koji koriste ranjive verzije PHP-a.
Evropska agencija za sajber bezbednost (ENISA), CERT-EU i Nacionalni CERT Republike Srbije objavili su upozorenja i preporuke za hitno postupanje.
Šta PHP2Shell znači za kompanije?
Za kompanije, značaj ovog događaja nije samo u ozbiljnosti same ranjivosti već i u potencijalnim posledicama po poslovanje.
- Rizik od neovlašćenog pristupa sistemima
Ukoliko napadač uspešno iskoristi ranjivost, može dobiti mogućnost izvršavanja koda na pogođenom serveru. U zavisnosti od konfiguracije, privilegija procesa i dostupnih resursa, to može otvoriti put ka daljim napadima na sisteme i infrastrukturu kompanije.
- Ugrožavanje poverljivih podataka
Kompromitovanje servera može dovesti do neovlašćenog pristupa podacima kojima taj sistem raspolaže. Posledice zavise od toga koji su podaci dostupni, kako su zaštićeni i da li postoje dodatne bezbednosne kontrole.
- Prekid rada digitalnih servisa
Napad na veb-aplikaciju ili server može ugroziti dostupnost servisa, izazvati prekide u poslovnim procesima i zahtevati dodatne resurse za oporavak sistema.
- Finansijske i reputacione posledice
Pored troškova sanacije incidenta, kompanije se mogu suočiti sa gubitkom prihoda, narušavanjem poverenja korisnika i partnera, kao i regulatornim obavezama ukoliko dođe do zloupotrebe podataka.
Važno je naglasiti da postojanje ranjivosti ne znači automatski da je sistem kompromitovan. Ipak, kada propust omogućava udaljeno izvršavanje koda bez autentifikacije, potencijalni uticaj opravdava hitnu procenu i odgovarajuće mere zaštite.
Zašto je pravovremena primena bezbednosnih zakrpa ključna?
Objavljivanje bezbednosne zakrpe predstavlja važan korak u otklanjanju ranjivosti, ali ne znači da su svi sistemi automatski zaštićeni.
Kompanije moraju da utvrde gde se ranjiva tehnologija koristi, koje sisteme je potrebno ažurirati i da li su bezbednosne ispravke uspešno primenjene. Ovaj zadatak može biti složeniji u okruženjima koja obuhvataju veliki broj servera, aplikacija, razvojnih okruženja i eksternih dobavljača.
Dodatni izazov predstavlja činjenica da kompanija ne mora uvek imati neposrednu kontrolu nad svim komponentama koje koristi. PHP može biti deo aplikacije ili softverskog proizvoda koji održava treća strana, zbog čega je važno koordinisati aktivnosti sa hosting provajderima, dobavljačima i internim IT timovima.
Kod PHP2Shell ranjivosti, ispravljene su verzije PHP-a 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Organizacije koje koriste druge ili starije grane PHP-a treba da provere zvanične bezbednosne preporuke i dostupnost odgovarajućih ispravki, posebno kada je reč o verzijama kojima je istekla podrška.
Samo ažuriranje, međutim, nije zamena za procenu mogućeg kompromitovanja. Ako postoji sumnja da je ranjivost iskorišćena pre primene zakrpe, potrebno je dodatno ispitati bezbednosne događaje i aktivnosti na pogođenim sistemima.
Kako kompanije treba da odgovore na kritične softverske ranjivosti?
Slučaj PHP2Shell pokazuje zašto upravljanje ranjivostima mora biti kontinuiran proces, a ne aktivnost koja se sprovodi samo kada se pojavi hitno upozorenje.
Kompanije bi trebalo da preduzmu sledeće korake:
- Identifikovati pogođene sisteme. Utvrditi koje aplikacije, serveri i softverski proizvodi koriste ranjive verzije PHP-a, sa posebnim fokusom na sisteme dostupne putem interneta.
- Procеniti rizik i prioritizovati aktivnosti. Uzimajući u obzir ozbiljnost ranjivosti, izloženost sistema i potencijalni poslovni uticaj, odrediti redosled sanacije.
- Primeniti odgovarajuće bezbednosne ispravke. Ažurirati pogođene sisteme u skladu sa zvaničnim preporukama proizvođača i proveriti da li je ažuriranje uspešno završeno.
- Proveriti moguće znakove kompromitovanja. Analizirati relevantne zapise, bezbednosne događaje i druge dostupne indikatore koji mogu ukazivati na pokušaj ili uspešnu eksploataciju ranjivosti.
- Uključiti dobavljače i partnere. Potvrditi da su odgovarajuće mere sprovedene i u sistemima koje održavaju eksterni pružaoci usluga.
- Unaprediti proces upravljanja ranjivostima. Definisati odgovornosti, procedure za hitne zakrpe, rokove za reagovanje i način provere efikasnosti primenjenih mera.
Ako hitna zakrpa nije odmah dostupna ili se ne može bezbedno primeniti, kompanije treba da prate zvanične preporuke za privremeno smanjenje izloženosti. Takve mere mogu uključivati izolaciju pogođenih sistema, ali ne treba ih smatrati trajnom zamenom za otklanjanje ranjivosti.
Od reaktivnog odgovora do sajber otpornosti
Kritične ranjivosti poput PHP2Shell podsećaju nas da bezbednost digitalne infrastrukture zavisi od mnogo više od pojedinačnih tehnoloških rešenja.
Efikasna zaštita zahteva pregled nad IT imovinom, kontinuirano praćenje pretnji, pravovremenu procenu rizika i jasno definisane procedure za odgovor na bezbednosne događaje. Jednako je važno da kompanije mogu da utvrde da li je primenjena mera zaista rešila problem i da li postoje dodatni rizici koje treba obraditi.
Upravo je u tome značaj sajber otpornosti: ne samo u sposobnosti da se pretnje spreče, već i u spremnosti da se rizici prepoznaju, incidenti pravovremeno otkriju i poslovanje zaštiti od dugoročnih posledica.
PHP2Shell je konkretan primer kako tehnički propust u široko korišćenoj tehnologiji može prerasti u pitanje poslovne bezbednosti. Za kompanije, ključna poruka je jasna, pravovremeno reagovanje, kontinuirano upravljanje ranjivostima i proaktivni pristup sajber bezbednosti predstavljaju važan deo očuvanja poslovnog kontinuiteta i poverenja, o čemu je bilo mnogo reči na ovogodišnjoj konferenciji Pulse360.
Upravljanje sajber rizicima počinje razumevanjem izloženosti, ali se ne završava primenom zakrpe. Ono zahteva kontinuiran nadzor, proveru i spremnost na odgovor.
Bezbednosne ranjivosti nisu samo tehnički izazov, one mogu predstavljati i rizik za kontinuitet poslovanja, zloupotrebu podataka i rizik od gubitka poverenja korisnika. Zato je važno da kompanije redovno procenjuju bezbednost svojih digitalnih sistema i prepoznaju slabosti pre nego što budu zloupotrebljene.
PULSEC kroz usluge penetracionog testiranja pomaže organizacijama da sagledaju trenutno stanje bezbednosti svojih sistema iz perspektive potencijalnog napadača i identifikuju oblasti u kojima je potrebno unaprediti zaštitu.
Procenite bezbednost svojih sistema uz podršku PULSEC stručnjaka.
