# Kako projekt PHP obravnava varnostne vrzeli

> Kako projekt PHP obravnava varnostne vrzeli: prijava prek GitHub ali security@php.net, uvrstitev, popravek v izdaji in kaj iz tega izpeljejo upravljavci.

Vir: https://phpsos.de/sl/php/php-sicherheitsprozess/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Varnostne vrzeli v PHP se prijavljajo zaupno, najbolje prek zasebnega obrazca za advisory v repozitoriju GitHub `php/php-src`, druga možnost je e-pošta na security@php.net. Razvijalci PHP najdbo uvrstijo kot visoko, srednjo ali nizko; hude napake se popravijo v ločenem varnostnem repozitoriju in se objavijo šele z izdajo skupaj z GitHub Security Advisory in praviloma številko CVE. Pri PHP2Shell je ta postopek stekel v naglici: predhodna napoved 20. 10. 2026, popravki 21. 10. 2026, dopolnilno obvestilo 23. 10. 2026.

## Kdo skrbi za varnost pri PHP?

PHP je odprtokodni projekt. Varnostna politika na wikiju ga opisuje kot projekt prostovoljcev brez proračuna za nagrade. Za vsako različico obstajajo upravljavci izdaj (release manager), ki odgovarjajo za objave. K temu pride PHP Foundation, ki po lastnem opisu najema ekipo razvijalcev s krajšim in polnim delovnim časom, ki dela na vzdrževanju, varnosti in novih funkcijah PHP.

Za podjetja to pomeni: ni proizvajalca s pogodbo, telefonsko številko za pomoč ali zagotovljenimi odzivnimi časi. Kdor potrebuje zavezujoče zagotovilo, ga dobi od svoje distribucije Linux, ponudnika gostovanja ali ponudnika dolgoročne podpore, ne od samega projekta PHP. To dobavno verigo je dobro poznati.

## Kako se vrzel prijavi

Pot je opisana v varnostni politiki na GitHub:

1. **Prijaviti:** prek zasebnega obrazca za Security Advisories v repozitoriju `php/php-src`. Kdor tega ne more uporabiti ali želi obravnavati temo, ki ni poročilo o napaki, piše na security@php.net.
2. **Opisati jedrnato:** zaželen je kratek primer, ki napako pokaže, ne dolgo poročilo o možnih posledicah. Tako ekipa hitreje pregleda.
3. **Zaupnost:** prijava ostane do objave zasebna.
4. **Navedba:** prijavitelji so po sistemu zaslug MITRE navedeni kot sodelavci.

Starejša stran wikija dodatno navaja klasični sledilnik napak z vrsto „Security“. Merodajna je danes pot prek GitHub.

## Kaj projekt PHP uvršča med varnostne vrzeli

Vsak sesutje ni varnostna vrzel. Wiki navaja štiri merila: napaka omogoča nepooblaščena dejanja, presega varnostne meje, odpira dostop do tujih podatkov ali hudo ovira razpoložljivost ali zmogljivost. Uvrščanje poteka v treh stopnjah:

| Stopnja | Pomen po politiki | Številka CVE |
|---|---|---|
| Visoka | tretje osebe lahko ogrozijo večino namestitev, izvedejo kodo ali berejo datoteke | praviloma da |
| Srednja | podoben učinek, a samo pod redkejšimi pogoji, na primer pri redki razširitvi ali konfiguraciji | večinoma da |
| Nizka | teoretično mogoče, v praksi zelo težko izkoristljivo | večinoma ne |

Prav tako poučen je seznam tega, kar izrecno ni varnostna vrzel: zlonamerna koda, ki se namerno izvaja, zaobhodi `open_basedir` in `disable_functions`, zlonamerni vnosi v `unserialize()`, uporaba FFI in običajna prekinitev zaradi pomnilnika, pri kateri zadrži `memory_limit` in se konča samo trenutna zahteva. Za upravljavce to pomeni: [disable_functions](https://phpsos.de/sl/ratgeber/disable-functions/) je smiselno utrjevanje, ne pa zaščitni zid.

## Od popravka do objave

Popravki za visoke in srednje vrzeli se po wikiju vnesejo v ločen varnostni repozitorij, preden se ustvari izdaja. Nizko uvrščene napake tečejo kot običajni popravki napak. Vrzel se objavi po načelu odgovornega razkritja: najprej popravek, nato podrobnosti. Izdaje po wikiju izhajajo večinoma ob četrtkih, pogosto v okviru rednih mesečnih objav.

Z izdajo se pojavi GitHub Security Advisory z lastno oznako (GHSA) in stopnjo resnosti. V repozitoriju se je na primer 24. 9. 2026 pojavilo več advisories o stream wrapperjih, FastCGI in filtrih s stopnjami resnosti od nizke do visoke. Izvorni paketi na php.net se ponujajo s kontrolnimi vsotami SHA-256 in podpisi GPG upravljavcev izdaj; oznake Git so podpisane. Katere veje različic sploh še prejemajo varnostne popravke, kaže stran o [različicah PHP in ciklu izdaj](https://phpsos.de/sl/php/release-zyklus/).

## PHP2Shell kot primer resnega primera

PHP2Shell kaže, kako postopek poteka pod pritiskom:

- **20. 10. 2026:** php.net napove kritično varnostno izdajo za 21. 10. 2026 ob 14:00 UTC in si pridržuje pravico objaviti prej, če podrobnosti postanejo javne ali se pojavijo napadi. Po več poročilih so podrobnosti dejansko postale znane pred potekom roka; ozadje osvetljuje [Zakaj je vrzel v PHP postala znana pred popravkom](https://phpsos.de/sl/blog/php-luecke-vorzeitig-bekannt/).
- **21. 10. 2026:** izidejo PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35, poleg tega advisories GHSA-w8hw-w9fx-j79w (CVE-2026-109618) in GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), obe uvrščeni kot kritični. Po php.net so distribucije Linux in ponudniki dolgoročne podpore popravke prejeli vnaprej. Za 7.4, 8.0 in 8.1 obstajajo minimalni backporti.
- **23. 10. 2026:** informativno obvestilo o CVE-2026-115560 priporoča `session.upload_progress.enabled=0`; popolni advisory sledi z naslednjo izdajo.

## Kaj iz tega izpeljejo upravljavci

1. **Naročiti se na vire:** php.net, GitHub advisories za `php/php-src` in varnostna obvestila vaše distribucije.
2. **Poznati dobavno verigo:** kdo dobavlja vaš paket PHP in kako hitro tam prispejo backporti?
3. **Načrtovati časovno okno:** kritične izdaje lahko pridejo zunaj običajnega ritma; okno za popravek mora biti mogoče pripraviti kratkoročno.
4. **Načrtovati ponovni zagon:** posodobitev učinkuje šele, ko so vsi procesi PHP znova zagnani.
5. **Zavarovati dokazilo:** dokumentirati različico, stanje paketov in čas.

## Kako PHP SOS pomaga konkretno?

S [storitvijo popravljanja PHP](https://phpsos.de/sl/leistungen/php-patch-service/) prevzamemo del, ki je pri vas:

- **Spremljati obvestila:** opazujemo php.net, advisories in obvestila distribucij ter ocenimo, ali so vaši sistemi prizadeti.
- **Izvesti popravek:** posodobitev iz ustreznega vira, ponovni zagon vseh procesov, kontrola tekoče različice.
- **Zavarovati prehod:** kjer posodobitev zastane, uvedemo uradne prehodne ukrepe.
- **Dokumentirati:** prejmete dokazilo z različicami, stanji paketov in časi.


## Pogosta vprašanja

**Kako se prijavi varnostna vrzel v PHP?**  
Najbolje prek zasebnega obrazca za Security Advisories v repozitoriju GitHub php/php-src. Kdor tega ne more uporabiti, piše na security@php.net. Prijava ostane do objave zaupna.

**Ali projekt PHP za najdene vrzeli plača nagrado?**  
Ne. Po varnostni politiki je PHP projekt prostovoljcev brez denarja za bug bounty. Prijavitelji pa so navedeni kot sodelavci.

**Ali je zaobid disable_functions varnostna vrzel?**  
Po politiki projekta PHP ne. Zaobhodi open_basedir in disable_functions se ne štejejo za varnostno težavo PHP. Nastavitvi sta utrjevanje, ne pa zanesljiva varnostna meja.

**Kje izvem za nove varnostne vrzeli PHP?**  
Na začetni strani php.net z obvestili o izdajah in v Security Advisories repozitorija GitHub php/php-src. Kdor PHP prejema iz distribucije, dodatno spremlja njena varnostna obvestila.

**Zakaj je bil PHP2Shell objavljen v sredo?**  
Izdaje po wikiju izhajajo večinoma ob četrtkih. Za PHP2Shell je php.net 20. 10. 2026 napovedal varnostno izdajo za sredo, 21. 10. 2026, ob 14:00 UTC in si pridržal pravico objaviti prej, če bi podrobnosti postale javne.

## Viri

- [php-src: varnostna politika in advisories (GitHub)](https://github.com/php/php-src/security)
- [PHP Wiki: varnostna politika](https://wiki.php.net/security)
- [php.net: obvestila od 20. do 23. 10. 2026](https://www.php.net/)
- [php.net: podprte različice](https://www.php.net/supported-versions.php)