# Kako PHP projekt obrađuje sigurnosne ranjivosti

> Kako PHP projekt obrađuje sigurnosne ranjivosti: prijava putem GitHuba ili security@php.net, razvrstavanje, ispravak u izdanju i što operateri iz toga izvode.

Izvor: https://phpsos.de/hr/php/php-sicherheitsprozess/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Sigurnosne ranjivosti u PHP-u prijavljuju se povjerljivo, poželjno putem privatnog advisory obrasca u GitHub repozitoriju `php/php-src`, alternativno na security@php.net. PHP programeri nalaz razvrstavaju kao visok, srednji ili nizak; teške se pogreške ispravljaju u zasebnom sigurnosnom repozitoriju i objavljuju tek s izdanjem, zajedno s GitHub Security Advisoryjem i najčešće CVE brojem. Kod PHP2Shella taj je proces tekao ubrzano: prethodna najava 20. 10. 2026., zakrpe 21. 10. 2026., dopunska napomena 23. 10. 2026.

## Tko se u PHP-u brine o sigurnosti?

PHP je projekt otvorenog koda. Sigurnosne smjernice u wikiju opisuju ga kao projekt dobrovoljaca bez proračuna za nagrade. Za svaku verziju postoje release manageri koji odgovaraju za objave. Tu je i PHP Foundation, koja prema vlastitom prikazu angažira tim programera s pola i punog radnog vremena koji radi na održavanju, sigurnosti i novim funkcijama PHP-a.

Za poduzeća to znači: nema proizvođača s ugovorom, telefonskom linijom ili zajamčenim vremenima odziva. Tko treba obvezujuća jamstva, dobiva ih od svoje Linux distribucije, svog hostera ili pružatelja dugoročne podrške, a ne od samog PHP projekta. Taj opskrbni lanac trebali biste poznavati.

## Kako se ranjivost prijavljuje

Put je opisan u sigurnosnim smjernicama na GitHubu:

1. **Prijaviti:** putem privatnog obrasca za Security Advisorye u repozitoriju `php/php-src`. Tko to ne može koristiti ili želi razgovarati o temi koja nije izvješće o pogrešci, piše na security@php.net.
2. **Opisati sažeto:** Poželjan je kratak primjer koji pokazuje pogrešku, a ne dugo izvješće o mogućim posljedicama. Tako tim brže može pregledati.
3. **Povjerljivost:** Prijava ostaje privatna do objave.
4. **Navođenje:** Prijavitelji se prema sustavu zasluga MITRE-a navode kao suradnici.

Starija wiki stranica uz to navodi klasični tracker pogrešaka s tipom „Security“. Mjerodavan je danas put preko GitHuba.

## Što PHP projekt smatra sigurnosnom ranjivošću

Nije svaki pad sigurnosna ranjivost. Wiki navodi četiri kriterija: pogreška omogućuje neovlaštene radnje, prekoračuje sigurnosne granice, otvara pristup tuđim podacima ili teško narušava dostupnost ili performanse. Razvrstava se u tri razine:

| Razina | Značenje prema smjernicama | CVE broj |
|---|---|---|
| Visoka | treće strane mogu kompromitirati većinu instalacija, izvršavati kod ili čitati datoteke | u pravilu da |
| Srednja | slično djelovanje, ali samo pod rjeđim uvjetima, primjerice rijetka ekstenzija ili konfiguracija | uglavnom da |
| Niska | teoretski moguće, u praksi vrlo teško iskoristivo | uglavnom ne |

Jednako je poučan popis onoga što izričito nije sigurnosna ranjivost: zlonamjeran kod koji se namjerno izvršava, zaobilaženja `open_basedir` i `disable_functions`, zlonamjerni unosi u `unserialize()`, uporaba FFI-ja i običan prekid zbog memorije u kojem `memory_limit` djeluje i završava samo tekući zahtjev. Za operatere to znači: [disable_functions](https://phpsos.de/hr/ratgeber/disable-functions/) smisleno je ojačavanje, ali nije zaštitni bedem.

## Od ispravka do objave

Ispravci za visoke i srednje ranjivosti prema wikiju unose se u zasebni sigurnosni repozitorij prije izrade izdanja. Pogreške niske razine prolaze kao obični ispravci pogrešaka. Ranjivost se objavljuje po načelu odgovornog otkrivanja: najprije ispravak, zatim detalji. Izdanja se prema wikiju većinom pojavljuju četvrtkom, često u okviru redovitih mjesečnih objava.

S izdanjem se pojavljuje GitHub Security Advisory s vlastitom oznakom (GHSA) i stupnjem ozbiljnosti. U repozitoriju se, primjerice, 24. 9. 2026. pojavilo nekoliko advisoryja o stream wrapperima, FastCGI-ju i filtrima sa stupnjevima ozbiljnosti od niskog do visokog. Izvorni paketi na php.net nude se sa SHA-256 kontrolnim zbrojevima i GPG potpisima release managera; Git tagovi su potpisani. Koje grane verzija uopće još dobivaju sigurnosne ispravke, pokazuje stranica o [PHP verzijama i ciklusu izdanja](https://phpsos.de/hr/php/release-zyklus/).

## PHP2Shell kao primjer kriznog slučaja

PHP2Shell pokazuje kako proces teče pod pritiskom:

- **20. 10. 2026.:** php.net najavljuje kritično sigurnosno izdanje za 21. 10. 2026. u 14:00 UTC i pridržava pravo ranije objave ako detalji postanu javni ili se pojave napadi. Prema više izvješća detalji su doista postali poznati prije isteka roka zabrane; pozadinu osvjetljava članak [Zašto je PHP ranjivost postala poznata prije zakrpe](https://phpsos.de/hr/blog/php-luecke-vorzeitig-bekannt/).
- **21. 10. 2026.:** Izlaze PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, uz advisoryje GHSA-w8hw-w9fx-j79w (CVE-2026-109618) i GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), oba razvrstana kao kritična. Prema php.net Linux distribucije i pružatelji dugoročne podrške dobili su ispravke unaprijed. Za 7.4, 8.0 i 8.1 postoje minimalni backportovi.
- **23. 10. 2026.:** Informativna napomena o CVE-2026-115560 preporučuje `session.upload_progress.enabled=0`; potpuni advisory slijedi sa sljedećim izdanjem.

## Što operateri iz toga izvode

1. **Pretplatiti se na izvore:** php.net, GitHub advisoryje repozitorija `php/php-src` i sigurnosne obavijesti Vaše distribucije.
2. **Poznavati opskrbni lanac:** Tko isporučuje Vaš PHP paket i koliko brzo ondje stižu backportovi?
3. **Planirati vremenski prozor:** Kritična izdanja mogu stići izvan uobičajenog ritma; prozor za zakrpe mora biti moguć u kratkom roku.
4. **Planirati ponovno pokretanje:** Ažuriranje djeluje tek kad se ponovno pokrenu svi PHP procesi.
5. **Osigurati dokaz:** Dokumentirati verziju, stanje paketa i trenutak.

## Kako PHP SOS konkretno pomaže?

Putem [PHP patch servisa](https://phpsos.de/hr/leistungen/php-patch-service/) preuzimamo dio koji je kod Vas:

- **Pratiti obavijesti:** Promatramo php.net, advisoryje i obavijesti distribucija te procjenjujemo jesu li Vaši sustavi pogođeni.
- **Provesti zakrpu:** Ažuriranje iz odgovarajućeg izvora, ponovno pokretanje svih procesa, provjera pokrenute verzije.
- **Osigurati prijelaz:** Gdje ažuriranje zapne, provodimo službene prijelazne mjere.
- **Dokumentirati:** Dobivate dokaz s verzijama, stanjima paketa i trenucima.


## Česta pitanja

**Kako se prijavljuje sigurnosna ranjivost u PHP-u?**  
Poželjno putem privatnog obrasca za prijavu Security Advisoryja u GitHub repozitoriju php/php-src. Tko to ne može koristiti, piše na security@php.net. Prijava ostaje povjerljiva do objave.

**Isplaćuje li PHP projekt nagradu za pronađene ranjivosti?**  
Ne. Prema sigurnosnim smjernicama PHP je projekt dobrovoljaca bez novca za bug bounty. Prijavitelji se ipak navode kao suradnici.

**Je li zaobilaženje disable_functions sigurnosna ranjivost?**  
Prema smjernicama PHP projekta nije. Zaobilaženja open_basedir i disable_functions ne smatraju se sigurnosnim problemom PHP-a. Te su postavke ojačavanje, ali nisu pouzdana sigurnosna granica.

**Gdje saznajem o novim PHP sigurnosnim ranjivostima?**  
Na početnoj stranici php.net s obavijestima o izdanjima te u Security Advisoryjima GitHub repozitorija php/php-src. Tko PHP dobiva iz distribucije, dodatno prati njezine sigurnosne obavijesti.

**Zašto je PHP2Shell objavljen u srijedu?**  
Izdanja se prema wikiju većinom pojavljuju četvrtkom. Za PHP2Shell php.net je 20. 10. 2026. najavio sigurnosno izdanje za srijedu, 21. 10. 2026., u 14:00 UTC i pridržao pravo ranije objave ako detalji postanu javni.

## Izvori

- [php-src: Sigurnosne smjernice i advisoryji (GitHub)](https://github.com/php/php-src/security)
- [PHP Wiki: Sigurnosne smjernice](https://wiki.php.net/security)
- [php.net: Obavijesti od 20. do 23. 10. 2026.](https://www.php.net/)
- [php.net: Podržane verzije](https://www.php.net/supported-versions.php)