Stručnjaci upozoravaju da bi napadači, iskorištavanjem ranjivosti u PHP programskom jeziku, mogli pokrenuti zlonamjerni kod na serverima bez prethodne prijave, što predstavlja ozbiljan rizik za bezbjednost veb-sajtova i podataka koje oni obrađuju.
Među institucijama koje su preduzele preventivne mjere nalaze se organizacije u Holandiji, Finskoj, Francuskoj, Njemačkoj i Belgiji. Pojedine internet usluge privremeno su isključene kako bi se spriječili mogući napadi dok se ne primijene odgovarajuće bezbjednosne ispravke.
Razvojni tim PHP-a objavio je 21. oktobra hitne bezbjednosne verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35, kojima se otklanjaju dva kritična propusta ocijenjena sa 9,2 od 10 na skali ozbiljnosti ranjivosti.
Prema upozorenju na zvaničnoj stranici PHP-a, ranjivosti omogućavaju izvršavanje koda na udaljenom serveru bez potrebe da napadač posjeduje korisnički nalog ili prethodno odobrenje. Riziku su izložene različite PHP instalacije koje obrađuju veb-zahtjeve, uključujući sisteme sa PHP-FPM, Apache, LiteSpeed i druge tehnologije.
PHP je jedan od najzastupljenijih programskih jezika za razvoj veb-stranica i koristi se u brojnim sistemima za upravljanje sadržajem, uključujući WordPress. Bezbjednosni propusti mogu predstavljati problem za vladine portale, medije, obrazovne ustanove, zdravstvene organizacije, internet prodavnice i druge servise.
Poseban izazov predstavljaju manje organizacije i vlasnici veb-stranica koji koriste zajednički hosting, jer često nemaju direktnu kontrolu nad serverskom infrastrukturom i zavise od provajdera prilikom instaliranja bezbjednosnih ispravki.
PHP tim preporučuje korisnicima da što prije instaliraju nove verzije programa, dok se organizacijama koje ne mogu odmah otkloniti propuste savjetuje da razmotre privremeno isključivanje izloženih internet servisa. Privremene mjere u konfiguraciji servera mogu smanjiti rizik, ali ne predstavljaju potpunu zaštitu. Ažuriranje na ispravljene verzije je jedino sigurno rješenje.
Korisnicima starijih verzija PHP-a savjetuje se da provjere dostupnost bezbjednosnih zakrpa kod svojih provajdera ili održavalaca sistema. Verzija PHP 8.2 trebalo bi da prestane da dobija bezbjednosne ispravke 31. decembra 2026. godine, zbog čega se preporučuje planiranje prelaska na noviju podržanu verziju.
