To je PHP2Shell, greška koja prijeti sedam od deset web stranica.

Dvije kritične ranjivosti u PHP programskom jeziku, zajednički nazvane PHP2Shell, ugrožavaju otprilike 70 posto svih web stranica čiji je skriptni jezik na strani poslužitelja poznat. PHP projekat je objavio fiksne verzije u srijedu, uz neobično upozorenje da nijedna konfiguracija ne nudi potpunu zaštitu. Korisnici moraju ažurirati na najnovije verzije jezika kako bi osigurali svoje sustave, što je zadatak koji mnoge organizacije mogu teško obaviti brzo. Ove greške omogućuju napadačima da pošalju zahtjeve web poslužitelju i izvrše proizvoljni kod izravno na host stroju bez potrebe za valjanim korisničkim podacima ili lozinkama.

Ova sposobnost omogućuje daljinski pristup shell-u, omogućavajući potpunu kompromitiranost pogođene infrastrukture. Ranjivosti utječu na upravljanje osnovnom memorijom i mehanizme obrade grešaka PHP-a. Prva greška, identificirana kao CVE-2026-109618, javlja se kada prevoditelj dostigne ograničenje konfigurirane memorije tijekom obrade zahtjeva. Kada se dostigne ta granica, PHP naglo zaustavlja izvršavanje. Ako se taj prekid dogodi tijekom izgradnje unutarnjih struktura podataka, one ostaju djelomično izgrađene. Tijekom sljedeće faze čišćenja, sustav tretira ove nepotpune strukture kao potpuno formirane.

Napadači mogu pokrenuti ovo stanje koristeći zahtjeve s nedeclariranim veličinama ili drugim metodama koje zasiću proces i oštećuju memoriju, što dovodi do izvršenja zlonamjernog koda. Druga ranjivost, CVE-2026-109619, iskorištava činjenicu da PHP često ponovno koristi isti proces za uzastopne zahtjeve. Ako greška prekine zahtjev u određenom trenutku, preostali podaci, kao što su informacije o sesiji ili stanja grešaka, mogu ukazivati na memoriju koja je već oslobođena. Sljedeći dolazni zahtjev koristi ove zastarjele pokazivače prije nego što se ispravno očiste. Uz pažljivu manipulaciju sjećanjem, napadač može iskoristiti ovo stanje da izvrši neovlaštene komande.

2 od 10, što ukazuje na ozbiljan rizik. Iako iskorištavanje nije trivijalno i može zahtijevati tisuće pokušaja da bi bilo uspješno, potencijalni utjecaj omogućuje potpuno preuzimanje servera, krađu podataka i narušavanje web stranice. Tri nezavisna tima otkrila su bugove između kraja srpnja i kolovoza 2026. Nedostaci su postojali u PHP bazi više od deset godina. Sve tri skupine koristile su alate umjetne inteligencije u svom procesu otkrića. Wiz, u vlasništvu Googlea, kombinirao je taj model s Gemini 4 Argonom i vlasničkim alatom. Prema Wiz-u, korištenje AI-a omogućilo je jednom istraživaču da u jednom tjednu postigne ono što bi prethodno potrajalo mjesecima za specijalizirani tim.

Otkrića su bila povjerljiva dok je PHP tim razvio zakrpe. Međutim, poruka objavljena na Hacker News forumu u utorak je otkrila postojanje grešaka, prisiljavajući PHP projekt da ubrza objavljivanje ispravki za jedan dan. Sigurnosni stručnjaci upozorili su da je situacija hitna jer umjetna inteligencija značajno smanjuje vrijeme između otkrivanja ranjivosti i uvođenja napada. Cloudflare je izvijestio o otkrivanju ranih pokušaja iskorištavanja slabosti čak i prije nego što su službene zakrpe bile dostupne.

Dane Knecht, glavni tehnološki direktor u Cloudflareu, izjavio je da tvrtka promatra nove napade i ažurira strategije ublažavanja kako se pojavljuju novi vektori napada. Uobičajeno je da mnoge aplikacije, osobito poslovni softver, pokreću starije, nepodržane verzije. Vladine agencije i velike institucije brzo su reagirale na prijetnju. Njemački Savezni ured za informacijsku sigurnost izdao je službeno upozorenje o kibernetičkoj sigurnosti, klasificirajući razinu rizika kao iznimno visoku.

Agencija je savjetovala operaterima da privremeno isključe servere s interneta ako nije moguće odmah popraviti. Slično upozorenje izdali su i dužnosnici u Australiji, Japanu i nekoliko europskih zemalja. Neke vladine web stranice su bile isključene kako bi se spriječilo potencijalno kršenje. Na primjer, web stranica policijske prefekture u Parizu u Francuskoj je onemogućena nakon otkrivanja kritične ranjivosti. Sveučilište u Barceloni je zatvorilo svoje internetove veze kao mjere opreza. Zaklada Wikimedia, koja upravlja Wikipedijom, izjavila je da je obustavila nekoliko sustava dok se ne mogu sigurno popraviti.

Široko općenito oslanjanje na PHP čini opseg problema ogromnim. Glavni sustavi za upravljanje sadržajem, uključujući WordPress, Drupal, Joomla, Moodle i TYPO3, ovise o jeziku. Stručnjaci procjenjuju da između 400 i 500 milijuna web stranica u svijetu radi samo na WordPressu. Druge popularne platforme poput Magenta također koriste PHP. Zaklada PHP pozvala je sve korisnike da se odmah ažuriraju, naglašavajući da je pokretanje trenutne verzije imperativ. Izdanje naglašava rastuću ulogu automatiziranih alata u pronalaženju i iskorištavanju složenih softverskih nedostataka. Dok organizacije žure da primjene ažuriranja, prozor za izlaganje ostaje otvoren za one koji ne mogu odmah djelovati.

Incident služi kao testni slučaj kako se moderne prijetnje mogu brzo širiti kroz temeljne web tehnologije.