Piše: C. R.
Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je zaradi dveh kritičnih ranljivosti v programskem jeziku PHP (CVE-2026-109618 in CVE-2026-109619) zvišal oceno ogroženosti kibernetske varnosti v Republiki Sloveniji na visoko stopnjo ogroženosti. Ocena velja za zavezance po Zakonu o informacijski varnosti (ZInfV-1), pa tudi za druge organizacije, ki uporabljajo PHP ali programsko opremo, ki na njem temelji.
Odločitev temelji na nenadni spremembi varnostnih razmer zaradi odkritja ranljivosti, ki omogočata oddaljeno izvajanje poljubne kode brez predhodne avtentikacije. Takšne ranljivosti lahko napadalcem omogočijo prevzem nadzora nad ranljivimi spletnimi sistemi in povzročijo resne posledice za delovanje organizacij ter varnost podatkov.
PHP sodi med najbolj razširjene strežniške programske jezike za razvoj spletnih aplikacij in poganja številne spletne portale, sisteme za upravljanje vsebin ter druge informacijske rešitve v javnem in zasebnem sektorju. Zaradi njegove široke uporabe lahko ranljivosti pomembno vplivajo tudi na delovanje informacijskih sistemov državne uprave in drugih ključnih organizacij.
Razvijalci PHP so 21. oktobra 2026 izdali varnostne popravke za podprte različice programske opreme. URSIV vsem organizacijam priporoča, da popravke namestijo takoj, ko je to mogoče. Namestitev popravkov je trenutno edini ukrep, ki ranljivosti v celoti odpravi.
Zavezanci po ZInfV-1 morajo v skladu z zakonom nemudoma začeti izvajati dodatne varnostne ukrepe in jih izvajati do preklica. URSIV bo za zmanjšanje tveganj izdal tudi pisno odredbo z nujnimi ukrepi in nadalje spremljal razvoj dogodkov doma ter v tujini.
Organizacijam, ki uporabljajo PHP ali programsko opremo z vgrajenim PHP, URSIV priporoča, da preverijo izpostavljenost svojih sistemov, nemudoma namestijo razpoložljive popravke oziroma od proizvajalcev programske opreme zahtevajo informacije o razpoložljivosti posodobitev in do takrat uvedejo začasne zaščitne ukrepe.
