Sve vesti
Foto iz članka: RTCGCIRT upozorio na kritične propuste: Hitno ažurirati PHP radi zaštite sajtova i podataka
Pregled vesti
Zajednički tekst
Nijednu rečenicu ne prenose bar dva medija; svaki tekst je napisan za sebe.
Ceo uporedni tekst50 samo u jednom
Tekst iz 2 članka. Nijednu rečenicu ne prenose svi.
Još 50 rečenica koje prenosi samo po jedan medij
Na snimcima koje je objavio Reuters vide se upozorenja američke Agencije za nacionalnu sigurnost (NSA) i britanskog Nacionalnog centra za cyber sigurnost (NCSC).
Tu su i obavještenja o prekidima rada stranica francuske i finske vlade te nedostupna stranica luke Rotterdam.
"Ulaz na kapiju, a onda slobodno po imanju"
Tomer Schwartz iz istraživačkog tima kompanije Wiz kaže da je riječ o propustu koji napadaču omogućava da bez ikakve prijave pokrene vlastiti kod na serveru.
"U krugovima cyber sigurnosti ovo je DEFCON 1. To znači da neko s druge strane žice može bez autentifikacije izvršiti bilo kakav kod, bilo kakve komande i preuzeti kontrolu nad drugom stranom", rekao je Schwartz.
DEFCON 1 je najviši stepen pripravnosti u američkoj vojsci.
Prema njegovim riječima, PHP pokreće oko 70 posto web stranica, a propust je neotkriven postojao 12 godina.
Ranjive su i stranice napravljene prije pet ili deset godina, čak i one koje su redovno ažurirane.
Ryan Austin, istraživač kompanije Calif, opasnost je opisao na primjeru kuće s dvorištem i garažom.
Napadač koji iskoristi propust na nečijoj stranici ulazi kroz kapiju i zatim se može slobodno kretati po cijeloj mreži.
"Ransomware je, po mom mišljenju, najgora stvar koju ljudi rade na internetu.
Ova vrsta ranjivosti je upravo ono što takvi napadači traže", rekao je Austin.
AI potvrdio sumnju za nekoliko dana
Austin kaže da se oslonio na iskustvo od 20 godina.
Imao je pretpostavku gdje bi propust mogao biti, a AI agenti su je potvrdili.
Da je umjetnu inteligenciju samo pitao da pronađe propust u PHP-u, dobio bi mnogo lažnih uzbuna koje zvuče opasno, a zapravo nisu.
Bez AI-ja bi ovakva provjera, kako kaže, trajala mjesecima, a oni su prve rezultate imali za pet ili šest dana.
Dodao je da su svi propusti koje su pronašli zakrpljeni, ali da će sada mnogi tražiti šta još postoji.
Thai Duong, direktor Califa, naglašava da su i dalje potrebni ljudska intuicija i stručnjak za tastaturom.
Za ispravke je, po njegovim riječima, timu PHP-a trebalo oko dva mjeseca rada tri osobe bez prestanka.
Procurilo dva dana ranije
Schwartz kaže da je PHP tim spojio nalaze Wiza, OpenAI-ja i Califa i zaključio da je problem u samoj arhitekturi PHP-a, osmišljenoj prije 12 godina.
Zakrpa je zato morala biti napravljena tako da ne zahtijeva promjene u cijelom ekosistemu, a zatim je testirana kako se ne bi mogla zaobići.
Plan objave je, međutim, poremećen jer su informacije o propustu procurile dva dana prije roka, pa je izdanje moralo biti ubrzano.
Schwartz objašnjava da napadači nakon objave zakrpe mogu analizirati izmjene i otkriti gdje je propust.
Zato su neke agencije, posebno vladine, odlučile da ne mogu tolerisati taj rizik.
Ipak, smatra da korisnici zbog ovoga ne bi trebali odustajati od PHP-a.
Prema njegovim riječima, tim PHP-a je odgovorno reagovao i interes korisnika stavio na prvo mjesto.
PHP tim je u srijedu objavio verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35 i svim korisnicima preporučio hitno ažuriranje.
- Život po mjeri čovjeka
- Trofej Radija Crne Gore
CIRT upozorio na kritične propuste: Hitno ažurirati PHP radi zaštite sajtova i podataka
Institucije, kompanije, hosting provajderi i administratori internet stranica trebalo bi bez odlaganja da provjere koju verziju PHP-a koriste i instaliraju najnovija bezbjednosna ažuriranja, upozorio je tim za odgovor na računarske i sajber incidente državne uprave (CIRT).
CIRT državne uprave djeluje u okviru Ministarstva javne uprave.
Kako objašnjavaju, u toj tehnologiji, na kojoj radi veliki broj internet stranica i digitalnih servisa, otkrivene su dvije kritične ranjivosti koje napadačima mogu omogućiti da bez prijave na sistem izvrše zlonamjerni kod na serveru i ugroze podatke i dostupnost usluga.
Iz Ministarstva javne uprave – Direkcije za informacionu bezbjednost navode da su ranjivosti označene kao CVE-2026-109618 i CVE-2026-109619, a da je razvojni tim PHP-a 21. oktobra objavio bezbjednosne ispravke.
„Njihovo iskorišćavanje može omogućiti napadaču da bez prethodne prijave na sistem izvršava zlonamjerni kod na serveru, čime mogu biti ugroženi podaci i dostupnost usluga“, upozorili su iz CIRT-a.
Riziku su, kako objašnjavaju, izloženi serveri koji koriste ranjive verzije PHP-a za obradu internet zahtjeva.
To se odnosi i na sajtove napravljene na platformama WordPress, Joomla i Drupal, kao i na druge aplikacije koje koriste PHP.
Naglašavaju da samo ažuriranje sajta, njegove platforme ili dodataka ne znači da je ažurirana i verzija PHP-a na serveru.
„Zbog toga je potrebna provjera na nivou servera ili kod pružaoca hosting usluge“, navode iz CIRT-a.
Ispravke za dvije otkrivene ranjivosti sadržane su u verzijama PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, odnosno svim novijim verzijama koje sadrže odgovarajuće bezbjednosne zakrpe.
PHP 8.1 i starije verzije više nijesu u redovnoj podršci, pa organizacijama koje ih koriste preporučuju da provjere postoje li posebne ispravke kod dobavljača i što prije pređu na podržane verzije.
CIRT preporučuje da se PHP provjeri i ažurira na svim relevantnim serverima, prvenstveno onima koji su dostupni sa interneta, a od hosting kompanija treba zatražiti potvrdu da je ažurirano okruženje na kojem sajt radi.
Ukoliko ažuriranje nije moguće odmah, savjetuju primjenu privremenih zaštitnih mjera i, gdje je potrebno, ograničavanje javnog pristupa ranjivim servisima.
„Uz ažuriranje treba provjeriti evidencije događaja i sisteme na znake neovlašćenog pristupa.
Ažuriranje otklanja navedene ranjivosti, ali samo po sebi ne uklanja posljedice eventualnog ranijeg upada“, upozorili su iz CIRT-a.
PHP projekat je 23. oktobra objavio i dodatno upozorenje na ranjivost CVE-2026-115560, koja se pojavljuje pri specifičnoj kombinaciji konfiguracije servera i aplikativnog koda.
Dok ne bude objavljena odgovarajuća ispravka, administratorima se preporučuje privremeno podešavanje session.upload_progress.enabled=0 i ponovno pokretanje PHP procesa.
Iz CIRT-a poručuju da pravovremena ažuriranja i saradnja institucija, administratora i pružalaca usluga mogu značajno smanjiti rizik od napada i zaštititi podatke i pouzdanost digitalnih servisa.
