Kritična ranljivost v PHP: kaj pomeni za vašo spletno stran
V sredo, 21. oktobra, so razvijalci PHP izdali nujne varnostne popravke za dve kritični ranljivosti, CVE-2026-109618 in CVE-2026-109619. PHP je jezik, na katerem teče WordPress in velika večina spletnih strani, zato novica zadeva skoraj vsakogar, ki ima svojo stran. Kaj se je zgodilo, kaj so naredili gostitelji in kaj je smiselno preveriti pri vaši strani.
Kaj se je zgodilo
Obe ranljivosti sta ocenjeni z 9,2 od 10 po lestvici CVSS. V določenih okoliščinah lahko napadalcu brez prijave omogočita, da na strežniku izvede svojo kodo. To je najhujša vrsta napake, ker ne gre za eno stran ali en vtičnik, ampak za podlago, na kateri tečejo vse strani na strežniku.
Popravljene so različice PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Za PHP 8.1 in starejše uradnega popravka ni, ker te različice razvijalci ne podpirajo več.
Kaj so naredili gostitelji
PHP na deljenem gostovanju posodablja gostitelj, ne lastnik strani. Gostitelji, pri katerih gostujejo strani naših strank, so ukrepali hitro. Neoserv je na primer v noči na 22. oktober namestil popravljene pakete za vse različice od PHP 5.6 naprej in dodal nova pravila v požarni zid. Pri takem načinu se številka različice pogosto ne spremeni, popravek je vgrajen v obstoječi paket. Ali je strežnik popravljen, zato ne pove številka različice, ampak datum izdelave paketa.
Kaj smo naredili pri strankah
Na gostovanjih, za katera skrbimo, smo preverili, ali je PHP popravljen. Strani, ki so še tekle na starejših različicah, kot sta 8.1 ali 7.4, smo, kjer imamo dostop, preklopili na podprto različico. Pred vsakim preklopom smo stran preizkusili na novi različici in primerjali izris, da se po menjavi nič ni spremenilo, ter naredili varnostno kopijo.
Kaj lahko preverite sami
- Katero različico PHP uporablja vaša stran. Vidi se v nadzorni plošči gostovanja ali v WordPressu pod Orodja → Zdravje spletnega mesta → Informacije → Strežnik.
- Ali je stran na različici 8.1 ali starejši. Takrat je dobro čim prej preveriti, ali deluje tudi na novejši, in jo preklopiti.
- Ali je gostitelj namestil popravek. Če ne veste, ga vprašajte. Resni ponudniki o tem objavijo obvestilo.
- Ali so posodobljeni WordPress, tema in vtičniki. Nov PHP pomaga le, če stran na njem deluje, starejši vtičniki pa so pogosto prav tisto, kar preklop zadržuje.
Zakaj star PHP ni samo vprašanje ene novice
Ta ranljivost je dobila veliko pozornosti, a ni izjema. Različica PHP, ki ne dobiva več popravkov, ostane odprta za vsako naslednjo napako, ki jo odkrijejo. Strani pogosto ostanejo na starem PHP, ker se nihče ne loti preverjanja, ali bo po menjavi vse delovalo. Prav to je delo, ki ga je dobro opraviti v miru, ne šele takrat, ko gori.
Vzdrževanje, da vas taka novica ne preseneti
Ko za stran redno skrbi nekdo, ki spremlja posodobitve, varnostne kopije in delovanje, tako novico praviloma preberete šele potem, ko je že urejena. Če nimate časa ali volje, da bi to spremljali sami, si poglejte naše vzdrževanje in podporo. Če niste prepričani, na kateri različici PHP teče vaša stran, nam pišite. Pogledamo brez obveznosti.
