CERT Republike Srpske (CERT RS) obavjestio je institucije, organizacije i administratore informacionih sistema da je otkrio kritičnu bezbjednosnu ranjivost u programskom jeziku PHP.

Kako su saopštili iz CERT-a, urađene su hitne bezbjednosne zakrpe za dvije kritične ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619, koje mogu omogućiti udaljeno izvršavanje proizvoljnog programskog koda (Remote Code Execution – RCE) bez prethodne autentifikacije.

Obje ranjivosti, kako navode iz CERT-a, ocijenjene su sa 9,2 od maksimalnih 10 bodova prema CVSS v4.0 metodologiji, što ih svrstava u kategoriju kritičnih bezbjednosnih propusta.

“Prema dostupnim informacijama, već su zabilježeni pokušaji njihovog iskorištavanja, zbog čega se svim organizacijama koje koriste PHP preporučuje da bez odlaganja izvrše provjeru i ažuriranje svojih sistema”, ističu iz CERT-a i dodaju:

“Navedene ranjivosti prisutne su u osnovnim komponentama PHP-a, koji se široko koristi za razvoj i izvršavanje web aplikacija i internet servisa”.

Šta hakeri mogu uraditi iskorištavanjem ranjivosti?

Njihovo uspješno iskorištavanje, zavisno od konfiguracije sistema, može omogućiti napadačima:

• neovlašćeno izvršavanje programskog koda na pogođenim serverima;
• kompromitaciju web aplikacija i informacionih sistema;
• neovlašćen pristup povjerljivim podacima;
• narušavanje integriteta i dostupnosti servisa;
• dalje širenje napada unutar informacione infrastrukture.

Koji serveri i internet servisi su ugroženi?

“Riziku su izložene PHP instalacije koje obrađuju web zahtjeve, uključujući okruženja koja koriste Apache mod_php, PHP-FPM, php-cgi, FrankenPHP i LiteSpeed”, objašnjavaju iz CERT-a i nastavljaju:

“Posebnu pažnju potrebno je posvetiti javno dostupnim web servisima, kao i sistemima koji obrađuju osjetljive podatke”.

Koje verzije PHP-a donose bezbjednosne zakrpe?

PHP razvojni tim je 21. oktobra 2026. godine, navode iz CERT-a, objavio sljedeće ispravljene verzije:

PHP verzija   Ispravljena verzija

PHP 8.2          8.2.35

PHP 8.3          8.3.36

PHP 8.4          8.4.27

PHP 8.5          8.5.12

Korisnicima starijih verzija PHP-a preporučuje se prelazak na podržane verzije ili primjena odgovarajućih bezbjednosnih zakrpa koje obezbjeđuje dobavljač operativnog sistema ili softverske distribucije.

Kojih šest mjera zaštite preporučuje CERT Srpske?

CERT RS preporučuje svim institucijama, organizacijama i administratorima informacionih sistema da prioritetno sprovedu sljedeće mjere:

1. Identifikacija potencijalno pogođenih sistema

Izvršiti provjeru svih servera, web portala, aplikacija i servisa koji koriste PHP, uključujući sisteme koje održavaju eksterni dobavljači.

2. Provjera instaliranih verzija

Utvrditi verzije PHP-a koje se koriste i provjeriti dostupnost odgovarajućih bezbjednosnih ispravki.

3. Hitna primjena zakrpa

Bez odlaganja izvršiti ažuriranje pogođenih sistema na ispravljene verzije PHP-a ili instalirati odgovarajuće bezbjednosne pakete dobavljača. Nakon ažuriranja potrebno je ponovo pokrenuti odgovarajuće servise i potvrditi da se koristi ispravljena verzija.

4. Privremeno ograničavanje pristupa

U slučajevima kada nije moguće odmah izvršiti ažuriranje, razmotriti privremeno ograničavanje pristupa pogođenim servisima, naročito onima koji su dostupni putem interneta. Ove mjere ne predstavljaju potpunu zamjenu za instaliranje zakrpa.

5. Pojačan bezbjednosni nadzor

Izvršiti analizu sistemskih i aplikacionih evidencija, pratiti neuobičajene zahtjeve prema web serverima i provjeriti eventualne pokazatelje kompromitacije.

6. Provjera sistema koje održavaju treća lica

Od ugovorenih dobavljača, hosting provajdera i pružalaca usluga održavanja zatražiti potvrdu da su izvršene potrebne provjere i primijenjene odgovarajuće bezbjednosne mjere.

“CERT RS nastavlja da prati razvoj situacije i preporučuje svim korisnicima PHP tehnologija da redovno prate zvanična bezbjednosna saopštenja i blagovremeno primjenjuju dostupne zakrpe”, zaključuju iz CERT-a.

Bivši lider DUP-a Džefri Donaldson osuđen je na 15 godina zatvora pred Krunskim sudom u Njuriju zbog niza seksualnih krivičnih djela počinjenih u prošlosti, uključujući jedno silovanje nad dvije žene dok su bile djeca.

Sudija Pol Remzi rekao je da je Džefri Donaldson nakon što je proglašen krivim “još odlučnije nastavio da poriče optužbe”.

“Nije bilo, a bez sumnje neće ni biti, nijedne riječi kajanja, izvinjenja ili stida od ovog čovjeka, kojim bi svojim žrtvama pružio makar trunku utjehe”, rekao je sudija. On je dodao da je Donaldson doživio “katastrofalan pad” i “sramotu”. Džefri Donaldson je sjevernoirski političar i bivši lider Demokratske unionističke partije (DUP), jedne od glavnih unionističkih stranaka u Sjevernoj Irskoj, koja se zalaže za ostanak Sjeverne Irske u sastavu Ujedinjenog Kraljevstva.

Donaldson je decenijama bio aktivan u politici Sjeverne Irske, a predvodio je DUP od 2021. do 2024. godine, kada je podnio ostavku nakon što je optužen za seksualna krivična djela, piše Kurir.

U okviru akcije SIPA-e „Scilence“ u Gradišci su juče uhapšena četiri carinika zbog sumnje da su primali mito kako bi pogodovali pojedinim uvoznicima prilikom carinjenja robe na Graničnom prelazu Gradiška.

Uhapšeni su Danko Butulija, Zoran Makivić, Pero Milanović i Ljubiša Tolimir, koji su bili angažovani na ovom graničnom prelazu.

Prema informacijama iz istrage, oni su osumnjičeni da su od pojedinaca uzimali novac kako bi im omogućili povoljniji tretman prilikom uvoza određene robe na carinsko područje Bosne i Hercegovine.

SIPA hapsila carinike zbog sumnje na korupciju

Iz Tužilaštva BiH juče je saopšteno, bez navođenja identiteta osumnjičenih, da su četiri carinska službenika uhapšena zbog sumnje na koruptivna krivična djela, odnosno primanje dara u vidu novca kako bi pogodovali pri uvozu određene robe.

Nakon hapšenja, osumnjičeni će biti predmet daljih postupaka Tužilaštva BiH, a tužilac će u zakonskom roku odlučiti o narednim mjerama i radnjama.

Za sada važi pretpostavka nevinosti, odnosno niko od osumnjičenih ne može biti smatran krivim dok se njegova krivica ne utvrdi pravosnažnom sudskom odlukom.

Tegeltija: „Nisu izdržali provokativni nastup“

Hapšenje carinika komentarisao je i direktor Uprave za indirektno oporezivanje BiH Zoran Tegeltija.

On je rekao da će UIO BiH Tužilaštvu dostaviti snimke videonadzora sa granice, kao i druge podatke koji bi mogli biti značajni za istragu.

„Naši carinici, nažalost, nisu izdržali provokativni nastup pojedinaca koji su sami nudili mito, koje su oni, nažalost, primili, zbog čega će vjerovatno odgovarati. Iako su sami pojedinačni iznosi bili mali, to ih ni na koji način ne opravdava, jer su apsolutno počinili to krivično djelo“, rekao je Tegeltija.

Slučaj na Graničnom prelazu Gradiška tako ponovo otvara pitanje korupcije na mjestima gdje službenici imaju direktan kontakt sa građanima i privrednicima, ali i značaj kontrole rada carinskih službenika putem videonadzora i drugih mehanizama nadzora.