Stručnjaci upozoravaju da bi hakeri iskorišćavanjem ovih ranjivosti mogli da preuzmu kontrolu nad nezaštićenim serverima, pristupe povjerljivim podacima ili izmijene sadržaj internet stranica.

Evropske institucije za sajber bezbjednost pozvale su organizacije da hitno ažuriraju ugrožene sisteme, a tamo gdje to nije moguće, da ih privremeno izoluju od javnog interneta.

Propusti ugrožavaju veliki dio interneta

PHP je programski jezik koji se koristi za pokretanje brojnih internet stranica i aplikacija.

Prema podacima servisa W3Techs, koristi se na gotovo 70 odsto internet stranica čiji je serverski programski jezik moguće identifikovati.

Na njemu se zasniva i WordPress, jedna od najpopularnijih platformi za izradu internet stranica, koju koriste informativni portali, kompanije, internet prodavnice i brojne institucije.

Zbog njegove široke zastupljenosti, otkrivanje ozbiljnih ranjivosti izazvalo je zabrinutost među stručnjacima za sajber bezbjednost.

Hakeri mogu da napadnu server bez lozinke

Dva otkrivena propusta, označena kao CVE-2026-109618 i CVE-2026-109619, dobila su ocjenu ozbiljnosti 9,2 od maksimalnih 10 bodova prema međunarodnoj skali CVSS.

Prema upozorenju evropskog tima za odgovor na računarske bezbjednosne incidente CERT-EU, ranjivosti mogu omogućiti izvršavanje zlonamjernog koda na ugroženim serverima bez prethodne prijave korisničkim imenom i lozinkom.

To znači da napadači, ukoliko uspješno iskoriste propust, mogu ugroziti podatke, izmijeniti sadržaj stranice ili preuzeti kontrolu nad dijelom sistema.

Kompanija Cloudflare potvrdila je da su već uočeni prvi pokušaji napada povezani sa otkrivenim ranjivostima.

Evropske institucije pozvale na hitne mjere

Evropska agencija za sajber bezbjednost ENISA, CERT-EU i druge nadležne institucije pozvale su organizacije da hitno provjere da li koriste ugrožene verzije PHP-a.

Bezbjednosne ispravke objavljene su 21. oktobra, a dostupne su za podržane verzije ovog programskog jezika.

Organizacijama se preporučuje da ažuriraju softver i posebnu pažnju posvete sistemima koji su direktno dostupni putem interneta.

Ukoliko ažuriranje nije odmah moguće, savjetuje se privremeno ograničavanje pristupa ugroženim aplikacijama.

Pojedine evropske institucije već su preduzele preventivne mjere.

Tako je Letonija privremeno ograničila pristup određenim državnim digitalnim servisima iz inostranstva, kako bi smanjila rizik od potencijalnih napada.

Vještačka inteligencija pomogla u otkrivanju propusta

Posebnu pažnju privukla je činjenica da su ozbiljne ranjivosti otkrivene uz pomoć vještačke inteligencije.

Bezbjednosna kompanija Calif identifikovala je jedan od propusta koristeći OpenAI model GPT-5.6 Sol, dok je kompanija Wiz nezavisno otkrila i prijavila ranjivosti koristeći alate zasnovane na vještačkoj inteligenciji.

U istraživanju i pripremi zaštitnih mjera učestvovale su i druge tehnološke kompanije, među kojima je Cloudflare.

Prema navodima istraživača, određeni problemi u programskom kodu postojali su godinama, ali je njihovo iskorišćavanje bilo izuzetno složeno.

Napredak vještačke inteligencije omogućio je istraživačima da efikasnije analiziraju velike količine programskog koda i otkriju ranjivosti koje su ranije ostajale neprimijećene.

Najveći izazov za manje internet stranice

Poseban problem predstavljaju manje organizacije koje nemaju vlastite stručnjake za sajber bezbjednost.

Mnoge internet stranice koriste usluge zajedničkog hostinga, zbog čega njihovi vlasnici često nemaju direktnu kontrolu nad ažuriranjem serverskog softvera.

Zato se preporučuje da provjere sa svojim hosting provajderima da li su neophodne ispravke već instalirane.

Stručnjaci upozoravaju da automatsko ažuriranje WordPress dodataka i tema nije zamjena za ažuriranje samog PHP-a na serveru.