{"id":1791,"date":"2026-10-21T06:45:14","date_gmt":"2026-10-21T06:45:14","guid":{"rendered":"https:\/\/www.spletnogostovanje.biz\/index.php\/2026\/10\/21\/kriticni-ranljivosti-php-php2shell-21-oktober-2026\/"},"modified":"2026-10-21T06:45:14","modified_gmt":"2026-10-21T06:45:14","slug":"kriticni-ranljivosti-php-php2shell-21-oktober-2026","status":"publish","type":"post","link":"https:\/\/www.spletnogostovanje.biz\/index.php\/2026\/10\/21\/kriticni-ranljivosti-php-php2shell-21-oktober-2026\/","title":{"rendered":"Kriti\u010dni ranljivosti PHP (PHP2Shell): danes ob 16. uri nujni varnostni popravki"},"content":{"rendered":"<p><strong>21. oktober 2026, dopoldne:<\/strong> Razvijalci PHP so za danes ob 16.00 po slovenskem \u010dasu napovedali izredno varnostno izdajo zaradi dveh kriti\u010dnih ranljivosti. V javnih poro\u010dilih sta ozna\u010deni kot CVE-2026-109618 in CVE-2026-109619, pojavlja pa se tudi ime PHP2Shell. Obe imata oceno resnosti 9,2 po CVSS 4.0. \u010ce va\u0161a spletna stran uporablja PHP, je smiselno na posodobitev pripraviti stre\u017enik \u017ee zdaj.<\/p>\n<h2>Kaj se je zgodilo?<\/h2>\n<p>Varnostna ekipa PHP je 20. oktobra 2026 izdala predhodno opozorilo o dveh kriti\u010dnih varnostnih te\u017eavah v samem PHP. Uradna objava popravkov je predvidena za sredo, 21. oktobra, ob 14.00 UTC oziroma ob 16.00 v Sloveniji. Ekipa je opozorila, da lahko popravke izda tudi pred\u010dasno, \u010de bi pri\u0161lo do javnega razkritja podrobnosti ali zaznanih napadov.<\/p>\n<p>Varnostni raziskovalci poro\u010dajo o mo\u017enosti oddaljenega izvajanja kode (RCE), kar pomeni, da bi napadalec pod dolo\u010denimi pogoji lahko izvajal ukaze na ranljivem stre\u017eniku. Natan\u010dni tehni\u010dni pogoji, seznam prizadetih razli\u010dic in popravljene izdaje v \u010dasu priprave tega \u010dlanka \u0161e niso bili uradno objavljeni. Zato ni pravilno trditi, da je ranljiva prav vsaka namestitev PHP ali da je napad \u017ee potrjeno raz\u0161irjen.<\/p>\n<h2>Zakaj je opozorilo pomembno za WordPress in spletne trgovine?<\/h2>\n<p>PHP poganja veliko spletnih strani, tudi sisteme WordPress, WooCommerce ter \u0161tevilne druge spletne aplikacije. \u010ce je te\u017eava v samem PHP, samo posodobitev WordPressa, vti\u010dnikov ali teme morda ne bo dovolj. Pomembna je tudi razli\u010dica PHP, ki dejansko obdeluje zahteve spletne strani, in konfiguracija stre\u017enika.<\/p>\n<p>Ranljivost ne pomeni samodejno, da je bila va\u0161a spletna stran napadena. Pomeni pa, da mora skrbnik preveriti, katere razli\u010dice PHP uporablja in kako bo namestil ustrezne popravke, ko bodo na voljo.<\/p>\n<h2>Kaj lahko naredite \u017ee pred 16. uro?<\/h2>\n<ul>\n<li>Preverite, katero razli\u010dico PHP uporablja posamezna spletna stran. Na istem stre\u017eniku jih lahko deluje ve\u010d.<\/li>\n<li>Preverite, kdo skrbi za varnostne posodobitve: ponudnik gostovanja, sistemski administrator ali vi sami.<\/li>\n<li>Pripravite aktualno varnostno kopijo spletne strani in podatkovne baze ter preverite mo\u017enost obnove.<\/li>\n<li>Pripravite na\u010drt za posodobitev PHP in preverjanje delovanja spletne strani po njej.<\/li>\n<li>\u010ce uporabljate zastarele razli\u010dice PHP, na\u010drtujte prehod na podprto vejo oziroma pri ponudniku preverite mo\u017enost posebnih varnostnih popravkov.<\/li>\n<li>Pri posebej izpostavljenih sistemih ocenite za\u010dasno omejitev dostopa, dokler niso name\u0161\u010deni popravki.<\/li>\n<\/ul>\n<h2>Ali pomaga izklop session.upload_progress?<\/h2>\n<p>Med predlogi za za\u010dasno omejitev tveganja se pojavlja izklop funkcije, ki spremlja napredek nalaganja datotek. V ustrezni konfiguraciji PHP se nastavi:<\/p>\n<pre><code>session.upload_progress.enabled = 0<\/code><\/pre>\n<p>PHP-jeva uradna dokumentacija \u017ee sicer opozarja na varnostna tveganja te funkcije v dolo\u010denih okoli\u0161\u010dinah. Nekateri raziskovalci menijo, da bi njena izklju\u010ditev lahko zmanj\u0161ala izpostavljenost vsaj eni od novih ranljivosti. Vendar <strong>to ni uradno potrjena za\u0161\u010dita pred obema ranljivostma in ni nadomestilo za varnostno posodobitev<\/strong>. Pred spremembo je treba preveriti, ali spletna aplikacija funkcijo uporablja, v kateri datoteki oziroma upravljavskem vmesniku je nastavitev u\u010dinkovita in ali je sprememba dejansko za\u010dela veljati.<\/p>\n<h2>Kaj pa starej\u0161e razli\u010dice PHP?<\/h2>\n<p>Posebno pozornost zahtevajo aplikacije, ki \u0161e vedno uporabljajo PHP 7.4, 8.0, 8.1 ali druge nepodprte veje. Zanje obi\u010dajni uradni varnostni popravki niso ve\u010d zagotovljeni. Nekateri komercialni ponudniki, na primer za okolja CloudLinux in storitve podalj\u0161ane podpore, lahko zagotavljajo lo\u010dene popravke. Na njihovo razpolo\u017eljivost se ne smemo zana\u0161ati brez izrecne potrditve ponudnika.<\/p>\n<p>Pomembno: do objave tehni\u010dnih podrobnosti ni mogo\u010de zanesljivo potrditi, katere starej\u0161e razli\u010dice in konfiguracije sta ranljivosti dejansko prizadeli. Nadgradnja zastarelega PHP pa je v vsakem primeru priporo\u010dljiva zaradi drugih \u017ee znanih varnostnih tveganj.<\/p>\n<h2>Kako posodobiti PHP pri cPanel\/WHM in AlmaLinux?<\/h2>\n<p>Na stre\u017enikih z AlmaLinux in cPanel\/WHM se PHP pogosto upravlja z EasyApache 4, v nekaterih okoljih pa tudi z dodatnimi sistemi, kot je CloudLinux PHP Selector. Ukazi za Ubuntu, na primer <code>apt update<\/code>, niso univerzalno uporabni za tak\u0161no okolje. Samo izvajanje <code>dnf update<\/code> brez preverjanja name\u0161\u010denih paketov prav tako ni zagotovilo, da je bila posodobljena prava PHP razli\u010dica.<\/p>\n<p>Administrator mora ugotoviti, katere izdaje PHP so name\u0161\u010dene, katere uporabljajo posamezne domene, od katerega ponudnika prihajajo paketi in kdaj bodo na voljo popravljene izdaje. Po posodobitvi mora preveriti razli\u010dice, delovanje PHP-FPM oziroma drugih PHP na\u010dinov izvajanja ter pravilno delovanje spletnih strani.<\/p>\n<h2>Kaj storiti po objavi popravkov?<\/h2>\n<p>Ko bodo popravki uradno izdani, je treba najprej preveriti seznam prizadetih in popravljenih razli\u010dic. Nato je treba posodobiti vse uporabljene ranljive PHP izdaje, preveriti, da spletne aplikacije dejansko uporabljajo popravljene razli\u010dice, in opraviti funkcionalni preizkus strani, obrazcev, prijavnih postopkov ter spletnih trgovin.<\/p>\n<p><strong>\u010ce uporabljate deljeno spletno gostovanje<\/strong>, za posodobitev stre\u017eni\u0161kega PHP praviloma skrbi ponudnik gostovanja. \u010ce upravljate lasten VPS ali namenski stre\u017enik, morate ukrepanje uskladiti s svojim administratorjem. Pri obeh mo\u017enostih je pomembno, da uporabljate podprto in vzdr\u017eevano okolje.<\/p>\n<h2>Uradni viri in dodatne informacije<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-20-1\">Uradno opozorilo PHP Security Team<\/a><\/li>\n<li><a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/\">Varnostno opozorilo CERT-EU<\/a><\/li>\n<li><a href=\"https:\/\/cloudlinux.statuspage.io\/incidents\/zl0vt1yq3dj5\">Stanje pripravljenosti popravkov CloudLinux<\/a><\/li>\n<li><a href=\"https:\/\/www.php.net\/manual\/en\/session.configuration.php\">Dokumentacija PHP: nastavitve sej<\/a><\/li>\n<\/ul>\n<p><em>Opomba uredni\u0161tva: prispevek odra\u017ea informacije, ki so bile javno dostopne 21. oktobra 2026 dopoldne, pred napovedano objavo popravkov ob 16.00. Podatki o prizadetih razli\u010dicah in ustreznih popravkih se lahko po uradni objavi spremenijo.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>PHP je za 21. oktober 2026 ob 16.00 napovedal nujne popravke za dve kriti\u010dni ranljivosti (CVE-2026-109618 in CVE-2026-109619). Kaj morajo storiti lastniki WordPress strani in skrbniki stre\u017enikov?<\/p>\n","protected":false},"author":2,"featured_media":1792,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[18],"tags":[],"class_list":["post-1791","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-varnost"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts\/1791","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/comments?post=1791"}],"version-history":[{"count":0,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts\/1791\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/media\/1792"}],"wp:attachment":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/media?parent=1791"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/categories?post=1791"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/tags?post=1791"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}