Visoka ogroženost se nanaša tudi na druge organe in organizacije, ki uporabljajo PHP ali programsko opremo, ki PHP vsebuje oziroma je od njega odvisna. Ocena velja do preklica.

URSIV je oceno posodobil na podlagi prvega in petega odstavka 37. člena ZInfV-1. Na podlagi objavljenih analiz in pridobljenih informacij ter v sodelovanju z drugimi pristojnimi organi in organizacijami je ugotovil, da bi odkriti ranljivosti lahko resno vplivali na varnost informacijskih sistemov in omrežij zavezancev ter drugih organizacij.

Ranljivosti omogočata oddaljeno izvajanje poljubne kode brez predhodne avtentikacije, s pravicami procesa spletnega strežnika. Obe sta ocenjeni z oceno CVSS v4.0 9,2 od 10. Napadalcem lahko omogočita prevzem nadzora nad ranljivimi spletnimi sistemi ter povzročita resne posledice za delovanje organizacij in varnost podatkov.

PHP sodi med najbolj razširjene strežniške skriptne jezike za razvoj spletnih aplikacij in je podlaga številnim sistemom za upravljanje vsebin, spletnim portalom ter drugim rešitvam v javnem in zasebnem sektorju. Zaradi njegove široke uporabe bi ranljivosti lahko pomembno vplivali tudi na centralni državni informacijsko-komunikacijski sistem, organizacije javnega sektorja in širše.

Razvijalci PHP so 21. oktobra 2026 izdali varnostne popravke v različicah PHP 8.2.35, 8.3.36, 8.4.27 in 8.5.12. Ranljive so vse predhodne različice, vključno s tistimi, ki jim je podpora že potekla. URSIV organizacijam priporoča takojšnjo namestitev ustreznih popravkov. Namestitev popravkov je edini ukrep, ki ranljivosti v celoti odpravi; začasni konfiguracijski ukrepi tveganje le zmanjšajo.

Posamezni varnostni ponudniki so 21. oktobra poročali o prvih poskusih izkoriščanja, drugi tega pri svojih strankah niso zaznali. Projekt PHP izkoriščanja ni potrdil, ranljivosti pa ob pripravi ocene še nista bili uvrščeni na seznam aktivno izkoriščanih ranljivosti CISA. Navedbe o odtekli kodi za izkoriščanje niso neodvisno potrjene.

Zavezanci po ZInfV-1 morajo v skladu s petim odstavkom 37. člena nemudoma začeti izvajati predpisane dodatne varnostne ukrepe in jih izvajati do preklica. URSIV bo na podlagi devetega odstavka istega člena za zmanjšanje visoke ogroženosti ter preprečitev nastanka krize oziroma njeno obvladovanje izdal pisno odredbo z nujnimi ukrepi in z njo seznanil zavezance. Nadaljnje dogajanje bo pozorno spremljal ter po potrebi nemudoma sprejel dodatne sorazmerne ukrepe in o njih po potrebi obvestil širšo javnost.

Organizacijam, ki uporabljajo PHP ali programsko opremo z vgrajenim PHP, URSIV priporoča, da preverijo izpostavljenost svojih sistemov in nemudoma namestijo ustrezne popravke. Če posodobitev zagotavlja proizvajalec programske opreme, naj od njega zahtevajo rok za izdajo popravka, do takrat pa uvedejo začasne zaščitne ukrepe in omejijo izpostavljenost prizadete storitve iz interneta.

Dodatne informacije in priporočila za skrbnike sistemov

Popravljene in starejše različice

Popravki so vključeni v PHP 8.2.35, 8.3.36, 8.4.27 in 8.5.12. Za PHP 8.1 in starejše rednih izdaj ni več. Zaradi resnosti ranljivosti je varnostna ekipa PHP objavila minimalne izvorne popravke za PHP 7.4, 8.0 in 8.1. Popravljene pakete pripravljajo tudi distribucije in ponudniki podaljšane podpore, zato naj se uporabniki obrnejo na svojega ponudnika. Pri načrtovanju nadgradenj je treba upoštevati, da se podpora za PHP 8.2 izteče 31. decembra 2026.

Narava ranljivosti in izpostavljene namestitve

CVE-2026-109618 izhaja iz neustrezne obravnave pomanjkanja pomnilnika (OOM), zaradi katere PHP pri zaključevanju zahteve obdela le delno inicializirane podatke. CVE-2026-109619 izhaja iz notranjega stanja, ki po zaključku zahteve ostane v delovnem procesu in ga lahko naslednja zahteva uporabi po sprostitvi pomnilnika.

Izvedljivost izkoriščanja je bila potrjena na izvedbi Apache mod_php, pri CVE-2026-109619 tudi na PHP-FPM. To ne pomeni, da druge izvedbe niso izpostavljene. Po navedbah projekta PHP je ogrožena vsaka namestitev, ki streže spletne zahteve, vključno s PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed. Najvišje tveganje je pri mod_php, kjer se napad sproži še pred izvedbo aplikacijske kode.

Začasni ukrepi do namestitve popravkov

Za CVE-2026-109618 podpisana ocena navaja nastavitev memory_limit=-1, po možnosti prek php_admin_value v nastavitvi sklada FPM ali strežnika Apache, ob hkratni omejitvi pomnilnika na ravni vsebnika ali cgroup. Omejitev naj bo po možnosti urejena tako, da se ob prekoračitvi prekine le prizadeti delovni proces. Omejitev RLIMIT_AS in RLIMIT_DATA se ne uporablja, ker ob dosegu meje sproži prav ranljivo izvajalno pot.

Dodatno ocena navaja nizko vrednost post_max_size, vrednost upload_max_filesize pod njo ter omejevanje velikosti zahtev na strežniku ali posredniku. Pri programski opremi z vgrajenim PHP je treba od proizvajalca zahtevati rok za popravek, do takrat pa uveljaviti navedene začasne ukrepe in omejiti izpostavljenost prizadete storitve iz interneta. Ti ukrepi ne nadomestijo namestitve popravkov.

Okoliščine objave popravkov

Razvijalci PHP so izdajo varnostnih popravkov napovedali 20. oktobra 2026 in si pridržali možnost zgodnejše izdaje, če bi podrobnosti ranljivosti postale javne ali bi se pokazalo izkoriščanje. Posamezni varnostni ponudniki navajajo, da so podrobnosti pred načrtovanim usklajenim razkritjem odtekle v javnost; projekt PHP tega v svoji objavi ne navaja.

Podlaga: ocena ogroženosti URSIV št. 386-62/2026-1544-1 z dne 21. oktobra 2026, ki jo je elektronsko podpisal dr. Niko Gamulin, v. d. direktorja urada. Navedbe o stanju izkoriščanja se nanašajo na čas priprave ocene.

• Stanje povečane ogroženosti kibernetske varnosti

  • URSIV Stanje povecane ogrozenosti PHP 21102026 (pdf, 177 KB)