Velika sigurnosna prijetnja – Države diljem svijeta gase internetske stranice. Otkriveni opasni propusti u PHP-u
Vladine institucije i tvrtke diljem svijeta u srijedu su isključile web stranice nakon što su otkrivena dva ozbiljna sigurnosna propusta u PHP-u, programskom jeziku na kojem se temelji velik dio interneta.
🚨 Europas Behörden gehen offline. Das wird sehr sehr sehr übel enden. Zwei kritische Lücken in PHP. Codeausführung aus der Ferne, ohne Anmeldung oder Nutzerinteraktion. Betroffen sind laut BSI potenziell alle Versionen ab PHP 5, also zwanzig Jahre Code. Das BSI stuft die Lage als kritisch. Betroffen sind u.A.: → Bundespolizei, Bundesinnenministerium, Zoll → Robert-Koch-Institut → Charité Berlin, Klinikum Nürnberg → Berliner Feuerwehr, Berliner Tafel → Universität Potsdam, weitere Universitäten → Hessische Landesregierung, Thüringer Landesverwaltung samt Landespolizei → Bayerische Behörden, Landratsamt Rhön-Grabfeld, Landkreis Dahme-Spreewald → Städte Dresden, Mainz, München und weitere Kommunen Und am selben Tag patchten Node.js zehn Lücken, vier davon kritisch, sowie Go. Jetzt der Teil, über den kaum jemand redet. Die Lücken lagen über ein Jahrzehnt unentdeckt im Code. Gefunden wurden sie von OpenAIs GPT-5.6 Sol (!!!). Wiz nennt sie die schwerwiegendsten Lücken, die je mit dieser Technologie gefunden wurden. BRISANT IST: Das Weiße Haus wusste seit Freitag, dem 16. Oktober, Bescheid. OpenAI koordinierte die Offenlegung mit CISA und dem Office of the National Cyber Director. Fünf Tage, in denen eine Regierung wusste, dass drei Viertel des Internets offenstehen, und die anderen nicht. Am Ende ging die Sache durch ein Leak vorzeitig raus, deshalb JETZT der Notfallmodus. Genau hier zeigt sich, was es praktisch bedeutet, keine eigenen Modelle zu haben – Wovor ich nun seit Jahren warne! Diesmal ging es noch gut aus. Doch jeder der sich in Europa jetzt nicht auf sehr düstere Zeiten vorbereitet, bewegt sich auf Glatteis.
— Leonard M. Schmedding (@derleomartin) October 21, 2026
PHP se nalazi u pozadini popularnih platformi za izradu web stranica pa njegove slabosti mogu utjecati na velik broj stranica, od internetskih trgovina i novinskih portala do državnih usluga.
Wiz, jedna od sigurnosnih tvrtki koje su otkrile probleme, procijenila je da PHP pokreće oko 70 posto svjetskih web stranica. Tvrtka je rekla da se “nedostaci ubrajaju među najozbiljnije sigurnosne propuste otkrivene u PHP-u, a vjerojatno i u povijesti softvera”.
Američka Nacionalna sigurnosna agencija (NSA) poručila je organizacijama da odmah poprave ranjive sustave ili ih uklone s mreže.
“Nedostaci često omogućuju izravan pristup datotekama ili bazi podataka poslužitelja”, objavila je NSA na platformi X.
Napadači bi ih mogli iskoristiti za preuzimanje kontrole nad web poslužiteljima bez potrebe za lozinkom.
Volker Dusch, sigurnosni inženjer u PHP Foundation, rekao je za Wall Street Journal da je riječ o najozbiljnijem problemu s kojim se PHP suočio u više od deset godina. Usporedio ga je s Heartbleedom, sigurnosnom greškom iz 2014. godine koja je potaknula svjetsku utrku u ispravljanju propusta.
Otkriće se dogodilo u vrijeme sve češćeg otkrivanja sigurnosnih propusta u softveru, čemu pridonose sve napredniji modeli umjetne inteligencije. Broj ranjivosti otkrivenih u 2026. godini mogao bi biti otprilike dvostruko veći od prošlogodišnjeg rekordnog broja. Volonteri koji rade na PHP-u objavili su ispravak u srijedu.
“Ako koristite PHP, nužno je da ga odmah ažurirate”, objavii je na svom blogu PHP Foundation, organizacija koja financira programere koji rade na tom jeziku.
Sigurnosna tvrtka Calif otkrila je nedostatke u kolovozu koristeći OpenAI-jev model GPT-5.6 Sol, u sklopu provjere PHP koda koju je financirao OpenAI.
Wiz, tvrtka u vlasništvu Googlea, objavio je da je nekoliko tjedana kasnije samostalno otkrio još neke nedostatke uz pomoć modela umjetne inteligencije, uključujući Googleov Gemini 4 Argon i GPT-5.6 Sol.
OpenAI je na platformi X objavio da smatra kako je ta greška “jedna od najutjecajnijih sigurnosnih ranjivosti u novije vrijeme”. Dodao je da ona “označava novu fazu u kojoj umjetna inteligencija može pronaći sigurnosne propuste koji utječu na internet u cjelini”.
Ethan Mollick, profesor na Whartonovoj školi Sveučilišta u Pennsylvaniji koji proučava umjetnu inteligenciju, rekao je da se tvrtke s kojima razgovara teško nose s tempom kojim moraju instalirati sigurnosne zakrpe kako bi se zaštitile od kibernetičkih napada potpomognutih umjetnom inteligencijom.
O sigurnosnim nedostacima programeri PHP-a obaviješteni su povjerljivo, a detalji su se čuvali u tajnosti dok se pripremao popravak.
Detalji su procurili na internet u utorak, dan prije planirane objave popravka, što je potaknulo žurbu u isključivanju web stranica.
U Francuskoj su web stranice lokalnih vlasti, uključujući i stranicu pariške policije, nedostupne od srijede poslijepodne. To se dogodilo na zahtjev francuske Nacionalne agencije za kibernetičku sigurnost, priopćilo je ministarstvo unutarnjih poslova.
U Nizozemskoj su iz predostrožnosti isključene nacionalna usluga digitalnog identiteta DigiD, web stranica Zastupničkog doma i pa čak i stranica Nacionalnog centra za kibernetičku sigurnost, izvijestio je nizozemski javni emiter NOS.
Belgijsko ministarstvo vanjskih poslova privremeno je isključilo svoje web stranice, prema objavi na platformi X. Centar za kibernetičku sigurnost nije zabilježio napade na belgijske web stranice.
Češka vlada također je privremeno isključila svoje stranice kako bi se provele mjere zaštite.
Australski direktorat za signale objavio je da je i njihova stranica cyber.gov.au među državnim web stranicama pogođenima sigurnosnim nedostacima, izvijestila je australska javna televizija ABC.
ATTENTION!! Critical PHP vulnerabilities have been disclosed. Patch NOW to fix these vulnerabilities ASAP. Read more: https://t.co/amF7SZuRgw #PHP #CyberSecurity #Security https://t.co/VcIkxoOI5v
— SystemCenterDudes (@scdudes) October 21, 2026
