Пријави инцидент
Пријави инцидент
Преглед на приватноста

Оваа веб-страница користи колачиња за да ви обезбеди најдобро можно корисничко искуство. Информациите за колачињата се складираат во вашиот прелистувач и извршуваат функции како препознавање кога се враќате на нашата веб-страница и им помагаат на нашите програмери да разберат кои делови од веб-страницата ви се најинтересни и најкорисни.

Строго неопходни колачиња

Строго неопходните колачиња треба да бидат овозможени во секое време за да можеме да ги зачуваме вашите поставки за колачиња.

Powered by  GDPR Cookie Compliance (opens in a new tab)

Критична ранливост во PHP овозможува далечинско извршување на злонамерен код без автентикација

Објавено: 21.10.2026

Датум: 21.10.2026 година

Ниво на ризик: Критично (CVSS 9.2)

Националниот центар за одговор на компјутерски инциденти MKD-CIRT информира за откриена критична безбедносна ранливост во програмскиот јазик PHP, идентификувана како CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), која може да овозможи далечинско извршување на произволен код (Remote Code Execution – RCE) без потреба од претходна автентикација.

Ранливоста произлегува од неправилно управување со меморијата при состојби на недостиг на достапна меморија (Out-of-Memory – OOM). Во одредени околности, ова може да доведе до обработка на невалидни мемориски структури и да овозможи извршување на злонамерен код во контекст на корисничката сметка под која работи веб-серверот.

Според официјалното безбедносно известување, ранливоста може да биде искористена преку специјално подготвени HTTP-барања, без интеракција од корисникот. Успешната експлоатација може да доведе до неовластен пристап, нарушување на доверливоста и интегритетот на податоците, како и компромитирање на засегнатите системи.

Засегнати системи и верзии

Ранливоста ги засега PHP-инсталациите што користат верзии постари од следните безбедносни изданија:

  • PHP 8.2.35
  • PHP 8.3.36
  • PHP 8.4.27
  • PHP 8.5.12

Потенцијално засегнати се веб-сервери и апликации што користат PHP преку Apache mod_php, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.

Особено висок ризик е идентификуван кај конфигурациите со Apache mod_php, каде што е потврдена можноста за далечинско извршување на код пред започнувањето на извршувањето на апликацискиот код.

Препораки за заштита

MKD-CIRT препорачува итно преземање на следните мерки:

  1. Ажурирање на PHP до соодветната безбедносна верзија: 8.2.35, 8.3.36, 8.4.27 или 8.5.12, односно инсталирање на соодветните безбедносни исправки од добавувачот.
  2. Проверка на сите сервери, веб-апликации и инфраструктурни компоненти што користат PHP, вклучително и виртуелизирани и контејнеризирани околини.
  3. Приоритетно ажурирање на јавно достапните веб-сервери и системите што обработуваат HTTP-барања од интернет.
  4. Проверка на системските и безбедносните логови за невообичаени активности, неочекувани прекини на PHP-процеси и потенцијални индикатори за компромитирање.
  5. Примена на дополнителни мерки за ограничување на пристапот и следење на сомнителни HTTP-барања до завршување на ажурирањето.

За системите кај кои ажурирањето не може веднаш да се спроведе, производителот наведува привремени мерки за намалување на изложеноста. Сепак, овие мерки не обезбедуваат целосна заштита и не претставуваат замена за инсталирање на безбедносните исправки.

Дополнително, PHP објави и поврзана критична ранливост, CVE-2026-109619, која исто така може да овозможи далечинско извршување на код и е отстранета во истите безбедносни изданија.

MKD-CIRT ги повикува администраторите на информациски системи, институциите, компаниите и давателите на хостинг-услуги навремено да ја проверат својата инфраструктура и да ги применат достапните безбедносни исправки.

Извори и дополнителни информации