KRITIČNO BEZBEDNOSNO UPOZORENJE: Otkrivene ozbiljne PHP ranjivosti koje ugrožavaju WordPress i milione veb-sajtova

Dve novootkrivene ranjivosti u PHP-u, sa ocenom ozbiljnosti 9,2 od 10, mogu omogućiti napadačima izvršavanje zlonamernog koda na veb-serverima bez prethodne prijave. Kompanija Roster Soft upozorava vlasnike WordPress sajtova i administratore servera da hitno provere PHP verzije i primene dostupne bezbednosne ispravke. Kao pomoć korisnicima, pripremili smo besplatan WordPress dodatak za proveru bezbednosnog stanja PHP okruženja.

Šta se dogodilo?

Dana 21. oktobra 2026. godine, razvojni tim programskog jezika PHP objavio je vanredne bezbednosne ispravke zbog dve kritične ranjivosti označene kao CVE-2026-109618 i CVE-2026-109619.

Obe ranjivosti ocenjene su sa 9,2 od maksimalnih 10 bodova prema međunarodnom CVSS v4.0 sistemu za procenu ozbiljnosti bezbednosnih propusta.

Posebno zabrinjava činjenica da određeni načini iskorišćavanja ovih ranjivosti mogu omogućiti napade na daljinu, bez potrebe za korisničkim nalogom ili administratorskim pristupom.

Problem se nalazi u samom PHP okruženju, koje predstavlja osnovu velikog broja internet prezentacija, portala, onlajn prodavnica i poslovnih aplikacija.

Zašto su WordPress sajtovi ugroženi?

WordPress je zasnovan na PHP programskom jeziku. To znači da bezbednost svakog WordPress sajta zavisi ne samo od njegovih dodataka i tema već i od PHP verzije instalirane na serveru.

Čak i potpuno ažuriran WordPress sa najnovijim dodacima može biti izložen riziku ukoliko server koristi ranjivu PHP verziju.

Problem može zahvatiti različita serverska okruženja, uključujući Apache, Nginx sa PHP-FPM konfiguracijom, LiteSpeed i druge sisteme koji obrađuju PHP zahteve.

Ove ranjivosti nisu greške u samom WordPress-u, ali mogu predstavljati ozbiljnu opasnost za sajtove koji ga koriste.

Kakve posledice može imati uspešan napad?

Ukoliko napadač uspe da iskoristi ranjivost, moguće posledice uključuju:

• Neovlašćeno izvršavanje koda na serveru, u okviru prava kompromitovanog PHP procesa.
• Krađu poverljivih podataka, uključujući informacije o korisnicima i pristupne podatke kojima aplikacija raspolaže.
• Izmenu sadržaja sajta, ubacivanje zlonamernih skripti ili preusmeravanje posetilaca.
• Kompromitovanje internet prodavnica, poslovnih aplikacija i povezanih sistema.
• Prekid rada sajta i potencijalni finansijski i reputacioni gubitak.

Ozbiljnost posledica zavisi od konfiguracije servera, nivoa pristupa PHP procesa i drugih primenjenih bezbednosnih kontrola.

Koje PHP verzije treba hitno ažurirati?

PHP razvojni tim objavio je bezbednosne verzije koje otklanjaju navedene ranjivosti.

PHP grana	Bezbednosna verzija
PHP 8.5	8.5.12 ili novija
PHP 8.4	8.4.27 ili novija
PHP 8.3	8.3.36 ili novija
PHP 8.2	8.2.35 ili novija

Korisnicima PHP 8.1 i starijih verzija preporučuje se prelazak na podržanu PHP verziju ili provera da li njihov hosting provajder obezbeđuje odgovarajuće bezbednosne zakrpe.

Važno: Instalacija novije WordPress verzije nije zamena za ažuriranje PHP-a.

Šta vlasnici sajtova treba odmah da urade?

Preporučujemo sledeće korake:

1. Proverite PHP verziju u WordPress administraciji, u odeljku Tools → Site Health → Info → Server.
2. Kontaktirajte hosting provajdera i proverite dostupnost najnovijih PHP bezbednosnih ispravki.
3. Pre ažuriranja napravite kompletnu rezervnu kopiju sajta i baze podataka.
4. Ažurirajte PHP na odgovarajuću bezbednosnu verziju, uz proveru kompatibilnosti sajta.
5. Ažurirajte WordPress, teme i dodatke.
6. Proverite bezbednosnu konfiguraciju servera, administratorske naloge i evidenciju sumnjivih aktivnosti.

Ukoliko koristite VPS ili namenski server, preporučuje se da proveru i ažuriranje obavi administrator sistema.

BESPLATNO: Roster Security Audit – WordPress bezbednosna provera

Kako bismo vlasnicima WordPress sajtova olakšali početnu proveru, kompanija Roster Soft pripremila je besplatan WordPress dodatak:

Roster Security Audit – PHP2Shell

Dodatak omogućava administratorima da iz WordPress kontrolne table pregledaju važne informacije o PHP okruženju, bez potrebe za SSH pristupom ili poznavanjem serverske administracije.

Šta plugin proverava?

• Instaliranu PHP verziju i njenu usklađenost sa objavljenim bezbednosnim verzijama.
• Način na koji server izvršava PHP.
• Status određenih PHP podešavanja povezanih sa objavljenim ranjivostima.
• Memorijska i upload ograničenja PHP okruženja.
• Preporuke za naredne bezbednosne korake.

Plugin ne menja konfiguraciju servera, ne prikuplja korisničke podatke i ne zahteva registraciju.

Besplatno preuzimanje: Roster Security Audit 1.0.0

Kako se instalira?

1. Preuzmite ZIP arhivu dodatka.
2. Otvorite WordPress administraciju.
3. Izaberite Plugins → Add New → Upload Plugin.
4. Instalirajte i aktivirajte dodatak.
5. Otvorite Tools → Roster Security Audit i pregledajte rezultate.

VAŽNO UPOZORENJE: Roster Security Audit je dijagnostički alat, a ne zamena za zvanične PHP bezbednosne zakrpe. Plugin može pomoći da prepoznate potencijalno rizičnu konfiguraciju, ali ne može samostalno otkloniti navedene ranjivosti. Za njihovo rešavanje neophodno je ažuriranje PHP-a ili instalacija odgovarajuće bezbednosne zakrpe hosting provajdera.

Roster Soft – Bezbednost vašeg sajta je naš prioritet

Internet bezbednost nije jednokratan posao već kontinuiran proces održavanja, nadzora i pravovremenog ažuriranja softvera.

U kompaniji Roster Soft smatramo da informacije o kritičnim bezbednosnim propustima i osnovni alati za proveru treba da budu dostupni što većem broju vlasnika internet prezentacija.

Zbog toga smo odlučili da naš alat Roster Security Audit ponudimo potpuno besplatno.

Ukoliko niste sigurni da li je vaš WordPress sajt bezbedan, ili vam je potrebna stručna pomoć prilikom ažuriranja PHP-a i podešavanja servera, naš tim vam može pomoći u proveri i unapređenju bezbednosti.

Roster Soft – Razvoj, održavanje i bezbednost veb-sistema.