21. oktobra 2026 sta bili javno razkriti dve kritični varnostni ranljivosti v programskem jeziku PHP, označeni kot CVE-2026-109618 in CVE-2026-109619. Ranljivosti bi lahko napadalcem v določenih okoliščinah omogočili izvajanje nepooblaščene programske kode na spletnih strežnikih.

Pri NEOSERV smo se na varnostno opozorilo nemudoma odzvali in nemudoma izvedli vse potrebne zaščitne ukrepe v skladu s priporočili podjetja CloudLinux. Na strežnike smo uspešno namestili tudi uradne varnostne popravke za PHP.

Vsa potrebna zaščita je tako na naših strežnikih že vzpostavljena, uporabnikom gostovanja NEOSERV pa ni treba izvajati dodatnih ukrepov zaradi omenjenih ranljivosti.

Kako smo zaščitili strežnike NEOSERV?

Naša spletna gostovanja temeljijo na platformah cPanel in CloudLinux, ki med drugim omogočata centralizirano upravljanje različic PHP ter distribucijo varnostnih posodobitev. Za zaščito pred novo odkritima ranljivostma smo izvedli več ukrepov, podrobneje opisanih v nadaljevanju.

1. Dodatna zaščita s požarnim zidom Imunify360

Že 21. oktobra je varnostna rešitev Imunify360 prejela tri nova pravila za spletni aplikacijski požarni zid (WAF). Ta so namenjena prepoznavanju in blokiranju znanih vzorcev napadov, ki poskušajo izkoristiti omenjeni ranljivosti.

Poleg novih pravil je na naših strežnikih aktivna tudi dodatna zaščita na podlagi ugleda IP-naslovov, ki pomaga prepoznavati in omejevati promet iz potencialno nevarnih virov.

2. Namestitev uradnih varnostnih popravkov CloudLinux

V noči na 22. oktober je CloudLinux izdal varnostno posodobljene pakete PHP, ki smo jih uspešno namestili na strežnike NEOSERV.

Pomembno je, da posodobitve vključujejo tudi starejše različice PHP, vse od PHP 5.6 naprej. Čeprav te različice s strani uradnih razvijalcev PHP praviloma niso več deležne varnostnih posodobitev, CloudLinux zanje zagotavlja lastne varnostne popravke v okviru svoje razširjene podpore.

Tako so zaščitene tudi spletne strani, ki zaradi združljivosti s starejšimi aplikacijami še vedno uporabljajo starejše različice PHP.

Zakaj PHP še vedno prikazuje starejšo številko različice?

Če boste prek konzole preverili različico PHP z ukazom php -v, boste morda opazili, da je prikazana nekoliko starejša številka različice, na primer PHP 8.4.26, čeprav je uradno že na voljo različica PHP 8.4.27.

To ne pomeni, da varnostni popravki niso nameščeni.

CloudLinux namreč uporablja postopek, imenovan backporting, pri katerem varnostne popravke vključi neposredno v obstoječe, stabilne pakete PHP, ne da bi bilo treba spremeniti osnovno številko različice.

Pri preverjanju nameščenih popravkov zato ni odločilna zgolj številka PHP, temveč predvsem točna izdaja nameščenega paketa in podatek o tem, katere varnostne popravke vsebuje. V pomoč je lahko tudi datum izdelave paketa (build date).

Kako preveriti datum izdelave PHP?

Datum izdelave PHP lahko prek konzole preverite z naslednjim ukazom:

php -i | grep -i 'Build Date'

Primer izpisa:

Build Date => Oct 21 2026 00:00:00

Na strežnikih NEOSERV so ustrezni varnostni paketi CloudLinux že nameščeni, zato so omenjene ranljivosti odpravljene tudi v primerih, ko PHP še vedno prikazuje starejšo številko različice.

Ali morate kot uporabnik NEOSERV gostovanja ukrepati?

Ne. Vse potrebne ukrepe za odpravo omenjenih ranljivosti na ravni PHP smo že izvedli na strežniški infrastrukturi.

Kljub temu še naprej priporočamo redno posodabljanje spletnih aplikacij, kot so WordPress, njihove teme in vtičniki, saj je to pomemben del celovite varnosti spletne strani.

Pri NEOSERV bomo tudi v prihodnje spremljali varnostna opozorila in pravočasno nameščali potrebne posodobitve, da bodo vaše spletne strani delovale v varnem in zanesljivem okolju.