Oct 22, 2026

PHP2Shell: kritične PHP RCE ranjivosti

Zakrpe dostupne, privremene mjere djelomične

Sažetak

PHP je objavio sigurnosna ažuriranja za CVE-2026-109618 i CVE-2026-109619, dvije kritične ranjivosti s CVSS v4.0 ocjenom 9.2 koje mogu omogućiti neautentificirano udaljeno izvršavanje koda. Pogođene su PHP instalacije koje obrađuju web zahtjeve, uključujući PHP-FPM, Apache s modulom mod_php, php-cgi, FrankenPHP i LiteSpeed. Rizik je posebno visok kod mod_php konfiguracije, za koju PHP navodi demonstrirani exploit koji se može aktivirati prije izvršavanja aplikacijskog koda.

Unit 42 navodi da je vidio proof of concept za ove ranjivosti te da je Cortex Xpanse identificirao više od 22,6 milijuna javno izloženih instanci koje bi mogle biti pogođene. U izvorima korištenima za ovu preporuku nema potvrde uspješnih kompromitacija u stvarnim napadima. PHP naglašava da ne postoji potpuno zaobilazno rješenje i da je nadogradnja jedina potpuna zaštita.

Detalji

CVE-2026-109618 povezan je s obradom stanja nedostatka memorije. U određenim okolnostima PHP može prekinuti obradu zahtjeva dok interni podaci još nisu potpuno inicijalizirani, nakon čega se neispravni podaci tijekom čišćenja zahtjeva mogu tretirati kao valjani. CVE-2026-109619 odnosi se na interno stanje zahtjeva koje može ostati dostupno nakon oslobađanja pripadajuće memorije i biti ponovno korišteno u kasnijem zahtjevu istog radnog procesa. Oba scenarija mogu dovesti do izvršavanja proizvoljnog koda.

Popravljene verzije su PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. PHP 8.1 i starije grane više ne primaju redovita sigurnosna ažuriranja od PHP projekta, potrebno je provjeriti nudi li distribucija ili LTS dobavljač backportanu zakrpu ili prijeći na podržanu verziju. Nadogradnja WordPressa, Laravela ili druge aplikacije ne nadograđuje sam PHP runtime i ne uklanja ove ranjivosti.

Ako nadogradnja nije odmah moguća, PHP preporučuje samo privremene mjere za smanjenje izloženosti. Za CVE-2026-109618 preporučuje se postaviti memory_limit=-1 na način koji aplikacija ne može nadjačati te ograničiti veličinu i složenost HTTP zahtjeva. Ograničenje POST zahtjeva nije potpuna zaštita i ne zamjenjuje zakrpu. Za CVE-2026-109619 preporučuje se session.upload_progress.enabled=0 i ponovno pokretanje svih PHP radnih procesa, ini_set() i FPM .user.ini nisu dovoljni. Na PHP-u 8.5 dodatno se može postaviti fatal_error_backtraces=0, također uz restart svih radnih procesa. CERT-EU preporučuje izolaciju internetski dostupnih PHP aplikacija ako ih nije moguće odmah zakrpati.

Preporuke

• Identificirati sve PHP instalacije koje obrađuju web zahtjeve i provjeriti stvarnu verziju PHP-a koju koristi web proces, ne samo verziju dostupnu iz naredbenog retka.

• Odmah nadograditi na PHP 8.5.12, 8.4.27, 8.3.36 ili 8.2.35, odnosno instalirati odgovarajući sigurnosni paket dobavljača operacijskog sustava.

• Provjeriti kontejnerske slike i druga okruženja koja mogu sadržavati vlastiti PHP runtime te ih ponovno izgraditi s ispravljenom verzijom.

• Ako nadogradnja nije odmah moguća, primijeniti privremene mjere iz službenog PHP advisoryja i, gdje je izvedivo, izolirati javno dostupne sustave do primjene zakrpe.

• Pregledati zapise web-poslužitelja, WAF-a i PHP-a te EDR telemetriju radi neuobičajenih zahtjeva i neočekivanog pokretanja procesa ili naredbi iz PHP radnih procesa.

• Smanjiti ovlasti korisničkog računa pod kojim PHP radi i ograničiti mu pristup datotekama, vjerodajnicama i drugim resursima koji mu nisu potrebni.