Kada je PHP bezbednosni tim 21. oktobra 2026. objavio hitne ispravke za dve kritične ranjivosti koje omogućavaju udaljeno izvršavanje koda, svaki hosting provajder koji koristi PHP morao je da odluči: da sačeka redovni termin održavanja ili da odmah proveri svaki pogođeni sistem i reaguje čim pouzdan paket postane dostupan.
Odlučili smo da proverimo sisteme koji opslužuju DCX korisnike i brzo primenimo dostupne ispravke, uz kontrolisane i proverljive korake. Objavljene ispravke zatvaraju CVE-2026-109618 i CVE-2026-109619, obe sa ocenom CVSS 9.2. PHP projekat je objavio zakrpljene verzije 8.2.35, 8.3.36, 8.4.27 i 8.5.12.
Najpre utvrdimo koji PHP zaista opslužuje sajt
Na jednom serveru može istovremeno biti više PHP instalacija. CLI komanda može prikazati zakrpljenu verziju, dok sajt i dalje koristi stariji PHP-FPM pool, Apache modul ili zasebni runtime kontrolnog panela. Nije dovoljno ažurirati prvu verziju koju prikaže php -v.
Svaki VPS i hosting nalog povezali smo sa operativnim sistemom, kontrolnim panelom, izvorom paketa i aktivnim web handlerom. Posebno smo proveravali instalirane i pokrenute PHP verzije, uključujući FPM servise i verzije koje se koriste samo iz komandne linije. CLI-only verzija ne obrađuje HTTP zahteve, dok zaboravljeni FPM pool može ostati izložen i nakon ažuriranja druge PHP verzije.
Važni su dokazi o paketu, a ne samo broj verzije
Linux distribucije ponekad prenose bezbednosnu ispravku u paket, a da pritom ne menjaju upstream broj verzije. Debian opisuje ovaj pristup i upućuje administratore da provere tačnu reviziju paketa i bezbednosni changelog. Zato smo proveravali metapodatke i bezbednosne izmene u repozitorijumu za svaki sistem, umesto da zaključak o ranjivosti zasnivamo samo na glavnoj i sporednoj verziji. Na serverima sa nezavisnim PHP repozitorijumima proverili smo i potpisani izvor paketa.
Gde je upstream verzija bila dostupna, ciljne verzije za web sajtove bile su PHP 8.2.35, 8.3.36 i 8.4.27, kao i PHP 8.5.12 na sistemima gde se koristio samo za CLI poslove. Ubuntu i dobavljači koji održavaju starije grane mogu imati drugačiji broj paketa, ali istu bezbednosnu ispravku; takve pakete proveravali smo prema dokazima njihovog dobavljača.
Održavanje VPS-a kroz odgovarajući pristup guest sistemu
VPS je celovit gostujući operativni sistem, a ne samo disk na fizičkom serveru. Kada je QEMU Guest Agent uključen, virtuelizacioni sloj može da komunicira sa guest sistemom i pokrene ograničenu operaciju održavanja bez otvaranja novog javnog SSH porta. QEMU dokumentacija opisuje ovaj interfejs za izvršavanje komandi unutar guest sistema. Za svaki server koristimo pristup koji je dostupan i odobren, uz beleženje provera i izmena.
Ažuriranje pratimo kroz package manager i repozitorijum konkretnog guest sistema. Čuvamo lokalnu konfiguraciju gde god je to moguće, proveravamo planirane izmene paketa i bezbednosni zadatak ne pretvaramo u nekontrolisani prelazak na novo izdanje operativnog sistema.
Prvo validacija, zatim reload servisa
Instalacija paketa je samo jedan deo posla. Pre reload-a proveravamo konfiguraciju PHP-FPM-a i web servera. Zatim proveravamo da li su očekivani FPM pool-ovi i web servisi aktivni i da li sajt odgovara. Kada je restart bio deo odobrenog održavanja, zdravstvene provere ponavljamo posle podizanja servera.
Ovakav postupak smanjuje prekid rada i olakšava brzo otkrivanje problema. Istovremeno ostaje jasan zapis o tome koji je runtime bio aktivan, koji izvor paketa je isporučio ispravku, koji servisi su reload-ovani i šta su pokazale naknadne provere.
PHP kontrolnog panela je zasebna obaveza
Neki kontrolni paneli imaju sopstveni PHP runtime za administratorski interfejs. On je odvojen od PHP-FPM verzije koja obrađuje sajt, pa zakrpa za sajt ne znači automatski da je zakrpljen i panel.
U obaveštenju od 21. oktobra 2026. Plesk je zasebno naveo ispravke za PHP sajtova i zakrpu za svoj interni sw-engine. Taj deo panela pratili smo kao posebnu stavku koju mora da reši proizvođač. Neki myVesta sistemi takođe koriste staru PHP verziju unutar panela. Privatna URL adresa panela može da smanji izloženost, ali ne ažurira PHP i ne zamenjuje bezbednosnu ispravku. Ova ograničenja jasno navodimo, umesto da kontrolu pristupa predstavljamo kao zakrpu.
Isto važi za starije PHP grane. Pouzdan vendor backport može da zatvori konkretnu ranjivost, ali ne vraća upstream podršku i ne garantuje buduće ispravke. Takve slučajeve posebno označavamo i preporučujemo plan prelaska na podržanu granu.
Bezbednosni rad treba da ostavi jasne odgovore
Korisnik ne bi trebalo da nagađa koju PHP verziju koristi njegov sajt, da li je ispravka stigla do aktivnog FPM pool-a ili čeka li kontrolni panel svoju zakrpu. Zato ove slojeve proveravamo zasebno i izveštavamo šta je ažurirano, šta je provereno i šta još zavisi od dobavljača softvera.
Ako koristite DCX VPS i želite pomoć oko PHP ili sistemskog održavanja, javite se našem timu. Možemo proveriti kontrolni panel, PHP handlere i izvore paketa, pa dogovoriti obim održavanja prema vašem opterećenju.
Izvori: PHP bezbednosno obaveštenje, Debian Security FAQ, QEMU Guest Agent dokumentacija i Plesk bezbednosno obaveštenje.