PHP ranjivost iz listopada 2026.: što znači za vaš WordPress web
Dvije greške u PHP-u, obje ocijenjene s 9,2 od 10, omogućuju napadaču da pokrene kod na web poslužitelju bez ikakve prijave. Ispravak je izašao 21. listopada 2026. Potpuno ažuriran WordPress web ostao je izložen sve dok se nije zakrpao poslužitelj ispod njega.
To je cijela priča. Detalji slijede, običnim riječima.
Što se dogodilo
| 20. 10. 2026. | Detalji procurili dan prije planirane objave |
| 21. 10. 2026. | PHP izdaje hitne ispravke: 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| Oznake | CVE-2026-109618, CVE-2026-109619 |
| Težina | 9,2 od 10, obje |
| Treba li prijava za napad | Ne |
| Treba li ažurirati WordPress | Ne. WordPress ispravak ne postoji jer greška nije u WordPressu |
Cloudflare je počeo blokirati pokušaje napada u ranim satima 21. listopada, prije nego što su greške bile javne, i uključio pravila vatrozida na svim planovima, uključujući besplatni. Palo Alto Networks izbrojao je više od 22 milijuna javno dostupnih PHP poslužitelja koji su mogli biti izloženi.
Što greška radi
PHP je motor koji slaže svaku stranicu WordPress weba. Greške su u motoru. Ne u WordPressu, ne u dodatku, ne u temi.
“Udaljeno izvršavanje koda” znači da se napadačev kod izvodi na vašem poslužitelju s ovlastima web poslužitelja. Odatle može čitati bazu podataka, ostaviti skriveni backdoor, slati spam s vaše domene ili preusmjeravati vaše posjetitelje drugamo.
PHP navodi da je rizik najveći na poslužiteljima s Apacheom i mod_php-om, gdje se napad može aktivirati prije nego što se WordPress uopće učita. Zato sigurnosni dodatak unutar WordPressa ne pomaže. Napad stigne prije dodatka.
Zašto ažuriranje WordPressa nije pomoglo
WordPress web je slaganje slojeva. Svaki sloj ima drugog vlasnika i drugi dan ažuriranja.
| Sloj | Tko ga ažurira |
|---|---|
| Vaš sadržaj | Vi |
| Tema i dodaci | Vi ili tko god održava web |
| WordPress jezgra | Vi ili automatsko ažuriranje |
| PHP | Hosting tvrtka |
| Poslužitelj | Hosting tvrtka |
Greška je bila u četvrtom redu. Na zajedničkom hostingu taj red ne možete dirati. Čekate hosting. Najmanje jedna hosting tvrtka privremeno je ugasila svoju upravljanu WordPress platformu, kao mjeru opreza, dok ispravak nije instaliran.
Tko je još izložen
- Webovi na hostingu koji još nije instalirao ispravak
- Webovi na PHP-u 8.1 ili starijem. Za njih nema službenog ispravka, samo minimalne zakrpe izvornog koda za 7.4, 8.0 i 8.1, namijenjene onima koji PHP sami kompiliraju
- Webovi zaglavljeni na starom PHP-u jer jedan stari dodatak ili tema ne radi na novijoj verziji
Svoju verziju provjerite za 30 sekundi: WordPress admin, zatim Tools → Site Health → Info → Server.
| PHP grana | Sigurno od verzije |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 i starije | Nema službenog ispravka. Nadogradnja ili ograničen pristup |
Možda ćete vidjeti preporuku za jednu privremenu postavku,
session.upload_progress.enabled = 0. Ona zatvara jedan od dva puta
napada, ne oba. To je privremena mjera, ne rješenje.
Druga kritična rupa u pet tjedana
U rujnu je WordPress jezgra imala vlastitu kritičnu grešku: CVE-2026-87902, također ocjene 9,2. Pogađala je sve verzije od 4.7.0 do 7.1.1, ispravljena je u 7.1.2, a napadi su krenuli u roku od nekoliko dana. Druga greška, drugi ispravak.
Dvije kritične rupe u dva različita sloja, u razmaku od pet tjedana. To nije loša sreća. Tako izgleda stack s pet vlasnika.
Pravi problem: unajmljujete tuđi stack
WordPress pokreće oko 40% svih web stranica. Jedan exploit radi na milijunima weba odjednom, zato napadači krenu nekoliko sati nakon curenja. Ne moraju poznavati vaš posao. Skeniraju, a vaš web odgovori.
Popularnost ima cijenu. Dobivate jeftinu, poznatu platformu. Dobivate i najveću metu na internetu, te raspored ažuriranja koji ne kontrolirate.
Što mijenja izrada po mjeri, a što ne
| WordPress web | BAD izrada | |
|---|---|---|
| Što se izvodi na svaki posjet | PHP ponovno slaže stranicu | Web stranice: statične datoteke, ništa se ne izvodi. Platforme: TypeScript na Nodeu |
| Dodatni kod | Dodaci od mnogo različitih autora | Kratak popis biblioteka, biran po projektu |
| Isti exploit radi na | Milijunima weba | Samo na vašem, osim ako koristi istu biblioteku |
| Tko krpa | Hosting, autori dodataka i vi | Jedan tim koji je napisao kod |
| Vidi li se cijeli popis dijelova | Rijetko | Da, nalazi se u repozitoriju |
Ograničenja, bez uljepšavanja:
- Web po mjeri i dalje je softver. Treba ga ažurirati.
- Node, njegovi frameworki i npm paketi također imaju kritične greške.
- BAD izrade rade na Cloudflareu i Railwayu. Oba su vanjski pružatelji i oba su imala ispade.
Mijenja se veličina popisa i tko je za njega odgovoran. Manje dijelova, jedan tim koji poznaje svaki od njih, i nema PHP sloja koji nasljeđujete od hostinga.
Koliko to košta
Jeftin WordPress web jeftiniji je prvog dana. Poslije toga pitanje je tko plaća održavanje: ažuriranja, nadzor, popravak onoga što pukne.
Zbrojite za 36 mjeseci.
| Formula | Primjer | |
|---|---|---|
| WordPress | Izrada + (mjesečno održavanje × 36) | 800 € + (40 € × 36) = 2.240 € |
| BAD Full Website + Basic Care | 1.490 € + (49 € × 36) | 3.254 € |
| Razlika | 1.014 €, oko 28 € mjesečno |
Brojke za WordPress su primjer. U formulu stavite vlastitu ponudu, a mjesečni iznos održavanja tražite napismeno.
Ako održavanje nitko ne plaća, WordPress stupac pada na cijenu izrade, a nitko ništa ne krpa. U takvoj je situaciji ovaj tjedan bilo puno webova.
Razlika kupuje manje slojeva, jedan tim odgovoran za sve njih i nema masovno skenirane platforme ispod vašeg weba. Jedno čišćenje nakon hakiranja, plus nekoliko dana offline u sezoni rezervacija, brzo pojede 1.014 €. Sve BAD cijene su na stranici usluga, a vodič koliko stvarno košta izrada web stranice u Hrvatskoj 2026. ih rastavlja stavku po stavku.
Pitanja za vašeg developera
- Na kojoj PHP verziji radi moj web i tko je ažurira? Dobar odgovor: broj verzije jednak ili viši od tablice iznad, i ime osobe.
- Je li moj web zakrpan protiv CVE-2026-109618 i CVE-2026-109619? Kada? Dobar odgovor: datum. Loš odgovor: “WordPress je ažuran.”
- Koliko je dodataka instalirano i kada je svaki zadnji put ažuriran? Dobar odgovor: popis.
- Što se događa kad autor dodatka prestane s održavanjem? Dobar odgovor: plan zamjene, ne šutnja.
- Gdje se čuvaju sigurnosne kopije, koliko je stara najnovija i koliko traje povrat? Dobar odgovor: ne na istom poslužitelju kao web, uz broj sati.
- Kako ću saznati da je web hakiran? Dobar odgovor: nadzor i imenovana osoba koja prima upozorenje.
- Koliko košta čišćenje i tko ga plaća? Dobar odgovor: cijena ili klauzula u ugovoru.
- Ako odem, dobivam li kod, bazu podataka i domenu na svoje ime? Dobar odgovor: da, napismeno.
Ako su odgovori nejasni, i to je odgovor.
Želite drugo mišljenje o tome na čemu vam web radi? Razgovor od 15 minuta je besplatan.