To je PHP2Shell, napaka, ki grozi sedmih od desetih spletnih strani.

Dve kritični ranljivosti v programskem jeziku PHP, skupaj imenovani PHP2Shell, ogrožajo približno 70 odstotkov vseh spletnih mest, katerih skriptni jezik na strani strežnika je znan. Projekt PHP je v sredo izdal fiksne različice, ki jih spremlja nenavadno opozorilo, da nobena prilagoditev konfiguracije ne zagotavlja popolne zaščite. Uporabniki morajo posodobiti najnovejše različice jezika, da zaščitijo svoje sisteme, to pa je naloga, ki jo mnoge organizacije težko opravljajo hitro. Te pomanjkljivosti omogočajo napadalcem, da pošljejo zahteve na spletni strežnik in izvršijo samovoljno kodo neposredno na gostiteljskem računalniku, ne da bi potrebovali veljavne uporabniške podatke ali gesla.

Ta zmogljivost učinkovito zagotavlja oddaljen dostop do shell, kar omogoča popolno kompromitiranje prizadete infrastrukture. Ranljivosti vplivajo na osnovno upravljanje pomnilnika in mehanizme za obdelavo napak v PHP-ju. Prva napaka, identificirana kot CVE-2026-109618, se pojavi, ko tolmač med obdelavo zahtev doseže omejitev konfiguriranega pomnilnika. Ko doseže to mejo, PHP nenadoma ustavi izvajanje. Če se ta prekinitev zgodi med izgradnjo notranjih podatkovnih struktur, ostanejo delno zgrajene. Med naslednjo fazo čiščenja sistem obravnava te nepopolne strukture kot popolnoma oblikovane.

Napadalci lahko sprožijo to stanje z uporabo zahtev z nedeklariranimi velikostmi ali drugimi metodami, ki nasičijo proces in pokvarijo pomnilnik, kar vodi do izvedbe zlonamerne kode. Druga ranljivost, CVE-2026-109619, izkorišča dejstvo, da PHP pogosto ponovno uporablja isti postopek za zaporedne zahteve. Če napaka prekinja zahtevo v določenem trenutku, lahko preostali podatki, kot so informacije o seji ali stanja napak, kažejo na pomnilnik, ki je že bil sprostit. Naslednja vhodna zahteva uporablja te zastarele kazalce, preden se pravilno očistijo. Z skrbno manipulacijo s pomnilnikom lahko napadalec izkoristi to stanje, da izvrši nepooblaščene ukaze.

2 od 10, kar kaže na resno tveganje. Medtem ko izkoriščanje ni trivialno in lahko zahteva na tisoče poskusov za uspeh, potencialni vpliv omogoča popolno prevzemanje strežnika, krajo podatkov in poškodovanje spletne strani. Tri neodvisne ekipe so odkrile napake med koncem julija in avgustom 2026. Napake so obstajale v PHP-jevi bazi več kot desetletje. Vse tri skupine so v procesu odkritja uporabile orodja umetne inteligence. Wiz, ki je v lasti Googla, je kombiniral ta model z Gemini 4 Argonom in lastniškim orodjem. Po Wizovih besedah je uporaba umetne inteligence posameznemu raziskovalcu omogočila, da je v enem tednu opravil delo, ki bi ga strokovna ekipa pred tem opravila v mesecih.

Odkritja so bila zaupna, medtem ko je PHP ekipa razvijala popravke. Vendar pa je sporočilo, objavljeno na forumu Hacker News v torek, razkrilo obstoj napak, zaradi česar je bil projekt PHP prisiljen pospešiti objavo popravkov za en dan. Varnostni strokovnjaki so opozorili, da je situacija nujna, saj umetna inteligenca znatno skrajša čas med odkrivanjem ranljivosti in uvedbo napada. Cloudflare je poročal, da je odkril zgodnje poskuse izkoriščanja pomanjkljivosti, še preden so bile na voljo uradne popravke.

Dane Knecht, glavni tehnološki direktor pri Cloudflareu, je izjavil, da podjetje opazuje nastajajoče napade in posodablja strategije za ublažitev, ko se pojavijo novi vektorji napadov. Pogosto je, da številne aplikacije, zlasti poslovna programska oprema, izvajajo starejše, nepodprte različice. Vladne agencije in pomembne institucije so se hitro odzvale na grožnjo. Nemški zvezni urad za informacijsko varnost je izdal uradno opozorilo o kibernetski varnosti in stopnjo tveganja opredelil kot izjemno visoko.

Agencija je operaterjem svetovala, naj začasno odklopijo strežnike od interneta, če takojšnje popravljanje ni mogoče. Podobno opozorilo so izdale tudi oblasti v Avstraliji, na Japonskem in v več evropskih državah. Nekatere vladne spletne strani so bile izključene, da bi preprečili morebitne kršitve. Na primer, po odkritju kritične ranljivosti je bila onemogočena spletna stran policijske prefekture v Parizu v Franciji. Univerza v Barceloni je zaprla internetne povezave kot previdnostni ukrep. Fundacija Wikimedia, ki upravlja z Wikipedijo, je izjavila, da je odstranila več sistemov, dokler jih ni mogoče varno popraviti.

Široko razširjena odvisnost od PHP-ja poveča obseg problema. Glavni sistemi za upravljanje z vsebinami, vključno z WordPressom, Drupalom, Joomlo, Moodlom in TYPO3, so odvisni od jezika. Strokovnjaki ocenjujejo, da samo na WordPressu deluje od 400 do 500 milijonov spletnih strani po vsem svetu. Tudi druge priljubljene platforme, kot je Magento, uporabljajo PHP. Fundacija PHP je pozvala vse uporabnike, naj se takoj posodobijo, in poudarila, da je zagon trenutne različice nujno potreben. Izdaja poudarja vse večjo vlogo avtomatiziranih orodij pri iskanju in izkoriščanju kompleksnih napak v programski opremi. Medtem ko organizacije pospešujejo z uporabo posodobitev, ostaja okno za izpostavljenost odprto za tiste, ki ne morejo takoj ukrepati.

Incident služi kot testni primer za to, kako hitro se lahko sodobne grožnje širijo skozi temeljne spletne tehnologije.