PHP2Shell naziv je povezan s dvjema kritičnim sigurnosnim ranjivostima u PHP-u, popularnom programskom jeziku koji se koristi za izradu web-stranica i internetskih aplikacija. Propusti označeni oznakama CVE-2026-109618 i CVE-2026-109619 javno su objavljeni u srijedu, 21. listopada 2026. godine, kada je PHP-ov razvojni tim objavio i sigurnosne zakrpe. Problem je ozbiljan jer u određenim okolnostima napadaču omogućuje udaljeno izvršavanje zlonamjernog koda na ranjivom poslužitelju bez prethodne prijave. Slučaj je privukao dodatnu pozornost zbog uloge umjetne inteligencije u istraživanju kojim su ranjivosti pronađene.
Podsjetimo, PHP je programski jezik koji se izvršava na poslužitelju, a koristi se za generiranje dinamičkih internetskih stranica, obradu korisničkih zahtjeva i komunikaciju s bazama podataka. Na njemu se temelje brojni sustavi za upravljanje sadržajem i web-aplikacije, uključujući WordPress. Otkrivene ranjivosti nisu bile ograničene na određeni dodatak ili temu, nego su zahvaćale sam PHP-ov izvršni sustav. Zbog toga su potencijalno bili izloženi različiti načini pokretanja PHP-a, među kojima su PHP-FPM, Apacheov mod_php, php-cgi i LiteSpeed. No, stvarna izloženost ovisila je o korištenoj verziji, konfiguraciji i dostupnosti odgovarajućih sigurnosnih zakrpa.
- PROČITAJTE VIŠE: Nissan X-Trail | Obiteljski SUV koji spaja prostranost, udobnost i naprednu hibridnu tehnologiju
Prva ranjivost, CVE-2026-109618, povezana je s pogreškom u obradi situacije u kojoj PHP ostane bez raspoložive memorije. U takvim okolnostima izvršavanje zahtjeva može biti prekinuto dok su određeni interni podaci samo djelomično inicijalizirani. Tijekom naknadnog čišćenja memorije program može pogrešno obraditi te podatke, što otvara mogućnost oštećenja memorije. Druga ranjivost, CVE-2026-109619, povezana je sa zastarjelim internim stanjem koje može ostati dostupno nakon oslobađanja memorije kojoj je pripadalo. U određenim uvjetima sljedeći zahtjev koji obradi isti proces može pristupiti tim nevažećim podacima.
Slučaj PHP2Shell pokazuje da razvoj umjetne inteligencije donosi nove mogućnosti, ali i nove izazove za kibernetičku sigurnost
Posebno je zanimljiva uloga umjetne inteligencije u otkrivanju ovih propusta. Istraživanje je proveo sigurnosni tim tvrtke Wiz, uz pomoć više AI modela, a Google je istaknuo doprinos modela Gemini 4 Argon u pronalaženju ranjivosti, razvoju načina njihova iskorištavanja i provjeri popravaka. To pokazuje kako se AI može koristiti za analizu složenog izvornog koda i pronalaženje pogrešaka koje bi ljudskim istraživačima mogle promaknuti. Istodobno, iste sposobnosti mogu pomoći i napadačima u razvoju novih metoda napada, zbog čega je sigurnosna provjera softvera postala još važnija.
Ozbiljnost propusta potvrđuje ocjena 9,2 od mogućih 10 prema sustavu CVSS, koji se koristi za procjenu težine sigurnosnih ranjivosti. No, PHP-ov tim objavio je ispravljene verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za starije verzije potrebna je odgovarajuća zakrpa koju može osigurati pružatelj dugoročne podrške ili distribucija operacijskog sustava. Sigurnosni stručnjaci preporučili su hitno ažuriranje svih izloženih sustava. Ali, umeđuvremenu su se pojavili i javno dostupni primjeri iskorištavanja propusta, čime se povećao rizik za nezaštićene poslužitelje.
Slučaj PHP2Shell pokazuje da razvoj umjetne inteligencije donosi nove mogućnosti, ali i nove izazove za kibernetičku sigurnost. Prema izvješću o pokušajima napada, sumnjiva aktivnost zabilježena je već subote, 17. listopada 2026. godine, nekoliko dana prije javne objave zakrpa. To, međutim, nije dokaz da su napadači uspješno kompromitirali poslužitelje. Najvažnija pouka jest da sigurnost internetskih sustava ovisi o pravodobnom otkrivanju propusta, koordiniranoj objavi informacija i brzoj primjeni zakrpa. Ukratko, umjetna inteligencija pritom može biti vrijedan saveznik sigurnosnih stručnjaka. Ali i razlog zbog kojeg organizacije moraju brže reagirati na nove prijetnje.