Kritični bezbednosni propusti u PHP-u ugrožavaju veliki broj WordPress sajtova. Dana 21. oktobra 2026. godine, PHP projekat objavio je hitna bezbednosna ažuriranja za dva ozbiljna propusta, CVE-2026-109618 i CVE-2026-109619, poznata pod zajedničkim nazivom „php2shell“. Oba imaju ocenu ozbiljnosti 9,2 od maksimalnih 10 i omogućavaju napadačima da pokrenu zlonamerni kod na serveru bez prethodne prijave.
Zbog ozbiljnosti pretnje, pojedine javne institucije u Evropi preventivno su isključile svoje sajtove dok bezbednosne zakrpe nisu postale dostupne.
Šta ovi PHP bezbednosni propusti znače za tvoj sajt?
Problem se nalazi u PHP-u, programskom jeziku na kojem radi WordPress. Dakle, propusti nisu u samom WordPress-u, temi ili dodacima koje koristiš.
Zato ažuriranje WordPress-a i njegovih dodataka neće rešiti problem. WordPress i svi njegovi dodaci rade na PHP-u, pa čak i potpuno ažuriran WordPress sajt može biti ugrožen ako koristi ranjivu PHP verziju. PHP mora da se ažurira direktno na serveru.
Prema PHP projektu, svi sajtovi koji koriste pogođene PHP verzije izloženi su riziku dok se ne primeni odgovarajuća zakrpa. To uključuje i veliki broj WordPress i WooCommerce sajtova, bez obzira na konfiguraciju servera.
Verzije koje sadrže bezbednosne ispravke:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Većina hosting provajdera i Linux distribucija dobila je bezbednosne zakrpe unapred, pa su mnogi serveri već ažurirani. Ipak, to ne znači da je i tvoj server zaštićen, zbog čega vredi proveriti.
Ako tvoj sajt koristi PHP 8.1 ili stariju verziju, PHP projekat više ne obezbeđuje zvanična bezbednosna ažuriranja za te verzije. Pojedini hosting provajderi nude sopstvene zakrpe za starije verzije, ali je najbezbednije dugoročno rešenje prelazak na PHP verziju koja i dalje ima zvaničnu podršku.
Zašto su ovi PHP bezbednosni propusti ozbiljniji nego inače?
Većina bezbednosnih problema pogađa određeni dodatak ili temu, pa su ugroženi samo sajtovi koji ih koriste. Ovog puta situacija je drugačija. Pošto se propusti nalaze u samom programskom jeziku, mogu uticati na svaki sajt koji koristi PHP. PHP tim je takođe potvrdio da je na određenim konfiguracijama servera moguće izvesti napad samo jednim zahtevom, čak i pre nego što se pokrene kod samog sajta. Upravo zato je važno reagovati što pre.
Šta treba odmah da uradiš?
- Proveri PHP verziju. U WordPress administraciji otvori Alati (Tools) >> Zdravlje sajta (Site Health) >> Informacije (Info) >> Server. PHP verziju možeš proveriti i kroz kontrolni panel svog hosting provajdera.
- Kontaktiraj hosting provajdera. Proveri da li je bezbednosno ažuriranje već primenjeno ili je potrebno da ga samostalno pokreneš. Ako koristiš upravljani hosting (managed hosting), provajder obično obavlja ovaj posao umesto tebe. Ako samostalno upravljaš serverom, ažuriranje je tvoja odgovornost.
- Testiraj sajt nakon ažuriranja. Proveri kontakt forme, proces kupovine, prijavljivanje korisnika i sve ostale funkcionalnosti od kojih tvoje poslovanje zavisi. Prelazak na noviju PHP verziju ponekad može izazvati probleme sa zastarelim dodacima, naročito kada je reč o većim verzijskim promenama.
Ako trenutno nije moguće ažurirati PHP, developer ili hosting provajder mogu primeniti privremene mere zaštite na nivou servera. One mogu smanjiti rizik, ali ne predstavljaju trajno rešenje. Problem se u potpunosti otklanja tek primenom odgovarajuće bezbednosne zakrpe za PHP.
Ne čekaj sledeći bezbednosni problem
Bezbednosna upozorenja poput ovog sastavni su deo održavanja svakog sajta. Najvažnije je da postoji neko ko već vodi računa o njegovoj bezbednosti kada se ovakve situacije dogode.
Uz Santos Digital plan održavanja, upravo mi preuzimamo tu odgovornost. Redovno ažuriramo WordPress, dodatke i serversko okruženje, koordiniramo sa hosting provajderom i testiramo sajt nakon svakog važnog ažuriranja. Tako bezbednosne ispravke ne dovode do novih problema, poput neispravnih kontakt formi ili procesa kupovine koji prestaje da funkcioniše.
Ugovori održavanje svog sajta ›
Česta pitanja
Da li će ažuriranje WordPress-a zaštititi moj sajt?
Ne. Bezbednosni propusti nalaze se u PHP-u, zbog čega odgovarajuća zakrpa mora da se primeni na serveru.
Kako da znam da li je moj sajt ugrožen?
Ako tvoj sajt koristi PHP i nije ažuriran na neku od verzija koje sadrže bezbednosne ispravke, postoji rizik. Trenutnu verziju možeš proveriti u WordPress administraciji, u sekciji Alati (Tools) > Zdravlje sajta (Site Health).
Moj sajt koristi stariju PHP verziju. Šta sada?
Kontaktiraj hosting provajdera i proveri da li postoji bezbednosna zakrpa za verziju koju koristiš. Planiraj prelazak na PHP 8.2 ili noviju podržanu verziju, uz prethodno testiranje na staging okruženju.
Ko treba da izvrši ažuriranje?
Najčešće je to hosting provajder, odnosno tvoj developer ili agencija ako samostalno upravljaš serverom.
