SI-CERT: Kritična PHP ranljivost
Slovenski nacionalni odzivni center za kibernetsko varnost SI-CERT opozarja na dve kritični varnostni ranljivosti v programskem jeziku PHP, ki se uporablja za delovanje številnih spletnih strani in aplikacij.
Novica je bila objavljena 21. 10. 2026.
Ranljivosti bi lahko napadalcem omogočili prevzem nadzora nad prizadetimi sistemi, zato organizacijam priporočajo čimprejšnjo namestitev varnostnih popravkov.
Kaj se je zgodilo?
Razvijalci programskega jezika PHP so 20. oktobra 2026 napovedali izdajo nujnih varnostnih popravkov zaradi dveh odkritih ranljivosti, označenih kot CVE-2026-109618 in CVE-2026-109619. Obe sta ocenjeni z 9,2 od 10 možnih točk, kar pomeni, da gre za izjemno resni varnostni pomanjkljivosti.
PHP je programski jezik, ki omogoča delovanje številnih spletnih strani, spletnih trgovin in drugih spletnih aplikacij. Med drugim se uporablja tudi v priljubljenem sistemu WordPress, na katerem temeljijo številna spletna mesta.
Posebno skrb vzbuja dejstvo, da bi lahko napadalci ranljivosti izkoristili za izvajanje zlonamerne kode na daljavo, ne da bi za to potrebovali uporabniški račun ali geslo. To pomeni, da bi lahko ob uspešnem napadu pridobili nepooblaščen dostop do sistema, posegali v njegovo delovanje ali dostopali do podatkov, ki jih ta obdeluje.
Podrobnosti o načinu izkoriščanja ranljivosti za zdaj še niso javno znane. Prav tako še ni dokončno potrjeno, katere različice PHP so prizadete, po opozorilu SI-CERT pa bi lahko bile ranljive različice od PHP 5 naprej.
Zakaj je pomembno hitro ukrepanje?
Varnostna popravka naj bi bila objavljena danes, 21. oktobra 2026, ob 16. uri po slovenskem času.
SI-CERT opozarja, da lahko kmalu po objavi popravkov postanejo javno dostopne tudi informacije, s katerimi bo mogoče ranljivosti izkoriščati. Pričakujejo, da bodo napadalci v naslednjih dneh začeli množično preverjati spletne strežnike in iskati tiste, ki še niso ustrezno zaščiteni.
Organizacijam zato priporočajo, da čim prej preverijo, katere njihove spletne strani in aplikacije uporabljajo PHP, ter poskrbijo za namestitev popravkov takoj, ko bodo na voljo. Če takojšnja posodobitev ni mogoča, je smiselno razmisliti o začasni omejitvi dostopa do prizadetih aplikacij iz javnega interneta oziroma drugih ukrepih, ki bi lahko preprečili morebitne napade.
Kaj to pomeni z vidika varstva osebnih podatkov?
Uspešno izkoriščanje ranljivosti lahko predstavlja tudi tveganje za varnost osebnih podatkov. Če napadalec pridobi dostop do sistema, v katerem se obdelujejo osebni podatki, lahko pride do njihovega nepooblaščenega razkritja, spreminjanja, izgube ali uničenja.
GDPR od upravljavcev in obdelovalcev zahteva, da glede na tveganja zagotavljajo ustrezno raven varnosti osebnih podatkov, kar med drugim vključuje tudi redno vzdrževanje informacijskih sistemov, spremljanje varnostnih ranljivosti in pravočasno nameščanje varnostnih popravkov.
Za organizacije je zato pomembno, da preverijo, ali uporabljajo prizadete sisteme, in se s svojimi ponudniki gostovanja oziroma vzdrževalci spletnih strani dogovorijo za ustrezno ukrepanje. Tudi kadar tehnično vzdrževanje izvajajo zunanji izvajalci, mora upravljavec poskrbeti, da so tveganja za varnost osebnih podatkov ustrezno obravnavana.
Sama prisotnost ranljivosti sicer še ne pomeni, da je prišlo do kršitve varnosti osebnih podatkov. Če pa bi bila ranljivost uspešno izkoriščena, bi bilo treba preveriti tudi morebitne obveznosti glede prijave kršitve nadzornemu organu in obveščanja posameznikov.
Vir in dodatne informacije: Nacionalni odzivni center za kibernetsko varnost - SI-CERT, Kritične ranljivosti v PHP (21. 10. 2026); PHP, Upcoming Critical PHP Security Release.
Naslovna fotografija: Pexels
