Odpre se v novem zavihku

PHP2Shell: kritična ranljivost PHP ogroža WordPress strani

Na kratko

Ta teden je najnevarnejša ranljivost za WordPress strani v PHP-ju, ne v vtičniku. Dve kritični napaki z imenom PHP2Shell napadalcu omogočita, da brez prijave zažene svojo kodo na strežniku. SI-CERT je o njiju izdal opozorilo, poskusi napadov pa so bili zaznani že na dan objave popravkov. Poleg tega so bile objavljene ranljivosti v več priljubljenih vtičnikih, med njimi Prime Mover, Popup Builder, User Profile Builder in ACF: Extended. Preverite različico PHP pri svojem gostovanju in posodobite vtičnike.

PHP2Shell: kritična ranljivost v PHP, ki ogroža vsako WordPress stran

WordPress je napisan v programskem jeziku PHP, zato vsaka WordPress stran teče na strežniku s PHP-jem. 21. oktobra 2026 je projekt PHP izdal nujne varnostne popravke za dve kritični ranljivosti. Raziskovalci so ju poimenovali PHP2Shell, SI-CERT pa je o njiju objavil opozorilo SI-CERT 2026-07.

Kaj je prizadeto Sam PHP (ne WordPress, tema ali vtičnik), praktično vse različice od PHP 5 naprej
Oznake CVE-2026-109618 in CVE-2026-109619
Resnost Kritična, CVSS 9,2 (CVSS v4.0)
Popravljene različice PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35
Stanje napadov Poskusi izkoriščanja so bili zaznani že na dan objave popravkov

Kaj lahko stori napadalec

  • Zažene svojo kodo na strežniku, brez prijave in brez ranljivega vtičnika. Napaka je v PHP-ju samem, zato je ranljiva lahko tudi povsem preprosta, pravilno napisana spletna stran.
  • Prebere del pomnilnika strežnika, kjer so lahko gesla, ključi ali piškotki sej.
  • Raziskovalci podjetja Wiz so napad brez prijave prikazali tudi na standardni namestitvi WordPressa.

Zakaj posodobitev WordPressa tokrat ne pomaga

WordPress.org je sporočil, da posodobitev WordPressa za to težavo ni potrebna in ni načrtovana. Popraviti je treba PHP na strežniku, za kar je običajno zadolžen ponudnik gostovanja. Različico PHP preverite v administraciji WordPressa pod Orodja → Zdravje spletnega mesta → Informacije → Strežnik.

Priporočilo

  • Če je vaša različica PHP nižja od navedenih popravljenih različic, takoj pišite ponudniku gostovanja in zahtevajte posodobitev.
  • PHP 8.1 in starejše različice od projekta PHP ne dobivajo več uradnih popravkov. Popravek je mogoč le prek ponudnika (prenesen popravek) ali z nadgradnjo. Priporočamo PHP 8.4 ali 8.5, saj se podpora za PHP 8.2 izteče 31. decembra 2026.
  • Ne nameščajte neuradnih vtičnikov ali kode, ki obljubljajo »popravek« za PHP2Shell. Edina celovita rešitev je posodobitev PHP-ja.
  • Če posodobitev ni mogoča takoj, SI-CERT priporoča umik spletne aplikacije z javnega omrežja ali drug ukrep, ki prepreči izkoriščanje (npr. pravila požarnega zidu WAF pri ponudniku). Nekatere nastavitve v php.ini (npr. session.upload_progress.enabled) napade le otežijo, ne preprečijo pa jih.

Ranljivi WordPress vtičniki tega tedna

V javnih bazah CVE je bilo med 22. in 24. oktobrom 2026 objavljenih več ranljivosti v WordPress vtičnikih. Spodaj so tiste, ki so najresnejše ali zadevajo največ strani. Za nobeno do 24. oktobra ni bilo poročil o napadih v praksi, vendar se napadi pogosto začnejo kmalu po objavi.

Prime Mover – kritična ranljivost (CVSS 9,8)

  • Prizadeto: vtičnik za varnostne kopije in selitve Prime Mover, različice do vključno 2.2.1 (več kot 10.000 namestitev).
  • Oznaka: CVE-2026-115806, kritična (9,8 po oceni Wordfence).
  • Kaj lahko stori napadalec: brez prijave v navaden komentar podtakne posebej pripravljene podatke. Ko skrbnik nato izvede izvoz ali obnovo strani, vtičnik te podatke obdela brez preverjanja (t. i. PHP Object Injection), kar lahko vodi do prevzema strani.
  • Popravek: posodobite na različico 2.2.2 ali novejšo.

GTM Server Side by Stape – razkritje podatkov o naročilih (CVSS 8,7)

  • Prizadeto: vtičnik GTM Server Side (zdaj Stape Conversion Tracking), različice od 2.0.0 do pred 2.1.48 (več kot 10.000 namestitev). Zadeva spletne trgovine WooCommerce.
  • Oznaka: CVE-2026-55826, CVSS 8,7 (CVSS v4.0).
  • Kaj se lahko zgodi: v kodo strani (dataLayer) se lahko izpišejo podatki o naročilu drugega kupca, vključno z osebnimi podatki, brez prijave. To je tudi tveganje z vidika varstva osebnih podatkov.
  • Popravek: posodobite na 2.1.48 ali novejšo (trenutna različica je 2.3.10).

Popup Builder – brisanje pojavnih oken brez prijave

  • Prizadeto: vtičnik Popup Builder, različice pred 4.4.6 (več kot 200.000 namestitev).
  • Oznaka: CVE-2026-112230.
  • Kaj lahko stori napadalec: brez prijave premakne pojavna okna v smeti in prepiše njihove podatke za predogled.
  • Popravek: posodobite na 4.4.6 ali novejšo in preverite, ali so v smeteh pojavna okna, ki jih niste izbrisali sami.

User Profile Builder – štiri ranljivosti

  • Prizadeto: vtičnik User Profile Builder, različice pred 4.0.5 (več kot 40.000 namestitev).
  • Oznake: CVE-2026-111965, CVE-2026-111966, CVE-2026-111982 in CVE-2026-115807.
  • Kaj lahko stori napadalec: med drugim lahko uporabnik z vlogo Avtor ustvari račun z višjo vlogo Urednik (CVSS 7,1 po oceni Wordfence).
  • Popravek: različica 4.0.5 odpravi vse štiri napake. Po posodobitvi v meniju Uporabniki preverite, ali so se pojavili neznani računi ali višje vloge.

ACF: Extended – izvajanje kratkih kod v obrazcih

  • Prizadeto: vtičnik ACF: Extended (in PRO), različice od 0.9.2.4 do pred 0.9.2.8 (več kot 100.000 namestitev).
  • Oznaka: CVE-2026-94263, srednja resnost (CVSS 4,8 po oceni WPScan).
  • Kaj se lahko zgodi: obiskovalec lahko ob oddaji obrazca na spletni strani sproži izvajanje kratkih kod (shortcode) v potrditvenem sporočilu. Zadeva le nekatere obrazce.
  • Popravek: posodobite na 0.9.2.8 ali novejšo.

Front End Users – popravka ni, vtičnik odstranite

  • Prizadeto: vtičnik Front End Users, vse različice do vključno 3.2.35.
  • Oznaka: CVE-2026-87835, CVSS 6,5.
  • Kaj lahko stori napadalec: ob registraciji prek obrazca na strani si sam dodeli članski nivo in račun označi kot odobren, potrjen in plačan.
  • Popravek: ni na voljo, vtičnik je bil 13. oktobra 2026 umaknjen z WordPress.org. Odstranite ga ali zamenjajte in preverite registrirane račune.

Kaj naj naredi lastnik WordPress strani: kontrolni seznam za varnost

  1. Preverite različico PHP (Orodja → Zdravje spletnega mesta → Informacije → Strežnik). Če ni popravljena, se takoj obrnite na gostovanje.
  2. Posodobite vse vtičnike v Nadzorna plošča → Posodobitve, še posebej zgoraj naštete.
  3. Odstranite vtičnike brez popravka (Front End Users) in vtičnike, ki jih ne uporabljate.
  4. Preglejte uporabniške račune: neznani skrbniki ali uredniki so lahko znak vdora.
  5. Naredite varnostno kopijo pred posodobitvami in preverite, da jo znate obnoviti.

Več navodil za urejanje in vzdrževanje najdete v rubriki podpora za WordPress.

Potrebujete pomoč pri posodobitvah ali varnosti WordPressa? Preverimo različico PHP, posodobimo vtičnike in pregledamo stran za znake vdora. Pišite nam na podpora@qstom.si.

Viri

Pogosta vprašanja

Ranljiva je, če strežnik uporablja PHP, starejši od različic 8.5.12, 8.4.27, 8.3.36 ali 8.2.35, oziroma PHP 8.1 ali starejši brez popravka ponudnika. Različico vidite v Orodja → Zdravje spletnega mesta → Informacije → Strežnik.

Za PHP2Shell ne. Napaka je v PHP-ju na strežniku, zato jo mora odpraviti ponudnik gostovanja ali skrbnik strežnika. Posodobitve vtičnikov so kljub temu nujne zaradi drugih ranljivosti iz tega pregleda.

Popravka ni in vtičnik je umaknjen z WordPress.org. Odstranite ga ali zamenjajte z drugo rešitvijo ter preglejte registrirane uporabnike in njihove članske nivoje.

Opozorilni znaki so neznani skrbniški računi, neznane datoteke PHP v mapi uploads, nenavadne preusmeritve in ponavljajoče se napake 500. Če kaj od tega opazite, zamenjajte gesla in nas kontaktirajte.

Da. Če potrebujete pomoč pri posodobitvah ali pregledu varnosti, pišite na podpora@qstom.si.

← Vsa navodila

Varnostna opozorila

Potrebujete pomoč?

Odgovora niste našli?

Pišite nam ali pokličite in z veseljem vam pomagamo.