Poštovani,
PHP projekt je 21. listopada 2026. objavio hitna sigurnosna ažuriranja koja ispravljaju dvije kritične ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619. Obje imaju ocjenu ozbiljnosti CVSS 9.2. Napadač ih može iskoristiti za udaljeno izvršavanje koda na serveru bez ikakve prijave, putem posebno oblikovanih zahtjeva za slanje obrazaca i datoteka. Pokušaji iskorištavanja ovih ranjivosti zabilježeni su već prije službene objave zakrpa.
Što smo poduzeli:
- Na svim našim serverima instalirali smo zakrpljene PHP verzije (alt-php i ea-php) odmah po njihovoj objavi te ponovno pokrenuli PHP servise.
- Imunify360 vatrozid (WAF) na našim serverima blokirao je poznate obrasce napada i prije objave zakrpa, a pravila zaštite i dalje se automatski ažuriraju.
- Nastavljamo pratiti situaciju i primijenit ćemo sva daljnja ažuriranja čim postanu dostupna.
Što trebate učiniti:
Korisnici web hostinga i reseller paketa ne trebaju poduzeti ništa. Vaše web stranice zaštićene su bez ikakvih prekida u radu.
Ako koristite vlastiti VPS ili dedicirani server kojim sami upravljate, preporučujemo da što prije ažurirate sve instalirane PHP verzije (yum update ili apt upgrade) te ponovno pokrenete web server i PHP servise (Apache, PHP-FPM ili LSAPI). Ako vam je potrebna pomoć oko ažuriranja, otvorite zahtjev za podršku i rado ćemo vam pomoći.
Više tehničkih detalja i status ažuriranja možete pratiti na stranici CloudLinuxa:
https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5
Za sva pitanja stojimo vam na raspolaganju.
Vaš xhosting.hr tim
Thursday, October 22, 2026
