Ukratko: Sigurnosne ranjivosti u PHP-u prijavljuju se povjerljivo, poželjno putem privatnog advisory obrasca u GitHub repozitoriju php/php-src, alternativno na security@php.net. PHP programeri nalaz razvrstavaju kao visok, srednji ili nizak; teške se pogreške ispravljaju u zasebnom sigurnosnom repozitoriju i objavljuju tek s izdanjem, zajedno s GitHub Security Advisoryjem i najčešće CVE brojem. Kod PHP2Shella taj je proces tekao ubrzano: prethodna najava 20. 10. 2026., zakrpe 21. 10. 2026., dopunska napomena 23. 10. 2026.
Tko se u PHP-u brine o sigurnosti?
PHP je projekt otvorenog koda. Sigurnosne smjernice u wikiju opisuju ga kao projekt dobrovoljaca bez proračuna za nagrade. Za svaku verziju postoje release manageri koji odgovaraju za objave. Tu je i PHP Foundation, koja prema vlastitom prikazu angažira tim programera s pola i punog radnog vremena koji radi na održavanju, sigurnosti i novim funkcijama PHP-a.
Za poduzeća to znači: nema proizvođača s ugovorom, telefonskom linijom ili zajamčenim vremenima odziva. Tko treba obvezujuća jamstva, dobiva ih od svoje Linux distribucije, svog hostera ili pružatelja dugoročne podrške, a ne od samog PHP projekta. Taj opskrbni lanac trebali biste poznavati.
Kako se ranjivost prijavljuje
Put je opisan u sigurnosnim smjernicama na GitHubu:
- Prijaviti: putem privatnog obrasca za Security Advisorye u repozitoriju
php/php-src. Tko to ne može koristiti ili želi razgovarati o temi koja nije izvješće o pogrešci, piše na security@php.net. - Opisati sažeto: Poželjan je kratak primjer koji pokazuje pogrešku, a ne dugo izvješće o mogućim posljedicama. Tako tim brže može pregledati.
- Povjerljivost: Prijava ostaje privatna do objave.
- Navođenje: Prijavitelji se prema sustavu zasluga MITRE-a navode kao suradnici.
Starija wiki stranica uz to navodi klasični tracker pogrešaka s tipom „Security“. Mjerodavan je danas put preko GitHuba.
Što PHP projekt smatra sigurnosnom ranjivošću
Nije svaki pad sigurnosna ranjivost. Wiki navodi četiri kriterija: pogreška omogućuje neovlaštene radnje, prekoračuje sigurnosne granice, otvara pristup tuđim podacima ili teško narušava dostupnost ili performanse. Razvrstava se u tri razine:
| Razina | Značenje prema smjernicama | CVE broj |
|---|---|---|
| Visoka | treće strane mogu kompromitirati većinu instalacija, izvršavati kod ili čitati datoteke | u pravilu da |
| Srednja | slično djelovanje, ali samo pod rjeđim uvjetima, primjerice rijetka ekstenzija ili konfiguracija | uglavnom da |
| Niska | teoretski moguće, u praksi vrlo teško iskoristivo | uglavnom ne |
Jednako je poučan popis onoga što izričito nije sigurnosna ranjivost: zlonamjeran kod koji se namjerno izvršava, zaobilaženja open_basedir i disable_functions, zlonamjerni unosi u unserialize(), uporaba FFI-ja i običan prekid zbog memorije u kojem memory_limit djeluje i završava samo tekući zahtjev. Za operatere to znači: disable_functions smisleno je ojačavanje, ali nije zaštitni bedem.
Od ispravka do objave
Ispravci za visoke i srednje ranjivosti prema wikiju unose se u zasebni sigurnosni repozitorij prije izrade izdanja. Pogreške niske razine prolaze kao obični ispravci pogrešaka. Ranjivost se objavljuje po načelu odgovornog otkrivanja: najprije ispravak, zatim detalji. Izdanja se prema wikiju većinom pojavljuju četvrtkom, često u okviru redovitih mjesečnih objava.
S izdanjem se pojavljuje GitHub Security Advisory s vlastitom oznakom (GHSA) i stupnjem ozbiljnosti. U repozitoriju se, primjerice, 24. 9. 2026. pojavilo nekoliko advisoryja o stream wrapperima, FastCGI-ju i filtrima sa stupnjevima ozbiljnosti od niskog do visokog. Izvorni paketi na php.net nude se sa SHA-256 kontrolnim zbrojevima i GPG potpisima release managera; Git tagovi su potpisani. Koje grane verzija uopće još dobivaju sigurnosne ispravke, pokazuje stranica o PHP verzijama i ciklusu izdanja.
PHP2Shell kao primjer kriznog slučaja
PHP2Shell pokazuje kako proces teče pod pritiskom:
- 20. 10. 2026.: php.net najavljuje kritično sigurnosno izdanje za 21. 10. 2026. u 14:00 UTC i pridržava pravo ranije objave ako detalji postanu javni ili se pojave napadi. Prema više izvješća detalji su doista postali poznati prije isteka roka zabrane; pozadinu osvjetljava članak Zašto je PHP ranjivost postala poznata prije zakrpe.
- 21. 10. 2026.: Izlaze PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, uz advisoryje GHSA-w8hw-w9fx-j79w (CVE-2026-109618) i GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), oba razvrstana kao kritična. Prema php.net Linux distribucije i pružatelji dugoročne podrške dobili su ispravke unaprijed. Za 7.4, 8.0 i 8.1 postoje minimalni backportovi.
- 23. 10. 2026.: Informativna napomena o CVE-2026-115560 preporučuje
session.upload_progress.enabled=0; potpuni advisory slijedi sa sljedećim izdanjem.
Što operateri iz toga izvode
- Pretplatiti se na izvore: php.net, GitHub advisoryje repozitorija
php/php-srci sigurnosne obavijesti Vaše distribucije. - Poznavati opskrbni lanac: Tko isporučuje Vaš PHP paket i koliko brzo ondje stižu backportovi?
- Planirati vremenski prozor: Kritična izdanja mogu stići izvan uobičajenog ritma; prozor za zakrpe mora biti moguć u kratkom roku.
- Planirati ponovno pokretanje: Ažuriranje djeluje tek kad se ponovno pokrenu svi PHP procesi.
- Osigurati dokaz: Dokumentirati verziju, stanje paketa i trenutak.
Kako PHP SOS konkretno pomaže?
Putem PHP patch servisa preuzimamo dio koji je kod Vas:
- Pratiti obavijesti: Promatramo php.net, advisoryje i obavijesti distribucija te procjenjujemo jesu li Vaši sustavi pogođeni.
- Provesti zakrpu: Ažuriranje iz odgovarajućeg izvora, ponovno pokretanje svih procesa, provjera pokrenute verzije.
- Osigurati prijelaz: Gdje ažuriranje zapne, provodimo službene prijelazne mjere.
- Dokumentirati: Dobivate dokaz s verzijama, stanjima paketa i trenucima.
Česta pitanja
Kako se prijavljuje sigurnosna ranjivost u PHP-u?
Poželjno putem privatnog obrasca za prijavu Security Advisoryja u GitHub repozitoriju php/php-src. Tko to ne može koristiti, piše na security@php.net. Prijava ostaje povjerljiva do objave.
Isplaćuje li PHP projekt nagradu za pronađene ranjivosti?
Ne. Prema sigurnosnim smjernicama PHP je projekt dobrovoljaca bez novca za bug bounty. Prijavitelji se ipak navode kao suradnici.
Je li zaobilaženje disable_functions sigurnosna ranjivost?
Prema smjernicama PHP projekta nije. Zaobilaženja open_basedir i disable_functions ne smatraju se sigurnosnim problemom PHP-a. Te su postavke ojačavanje, ali nisu pouzdana sigurnosna granica.
Gdje saznajem o novim PHP sigurnosnim ranjivostima?
Na početnoj stranici php.net s obavijestima o izdanjima te u Security Advisoryjima GitHub repozitorija php/php-src. Tko PHP dobiva iz distribucije, dodatno prati njezine sigurnosne obavijesti.
Zašto je PHP2Shell objavljen u srijedu?
Izdanja se prema wikiju većinom pojavljuju četvrtkom. Za PHP2Shell php.net je 20. 10. 2026. najavio sigurnosno izdanje za srijedu, 21. 10. 2026., u 14:00 UTC i pridržao pravo ranije objave ako detalji postanu javni.