Sigurnosni propusti u PHP-u: naši poslužitelji ažurirani su istog dana

PHP je 21. listopada 2026. objavio hitna sigurnosna izdanja 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ona ispravljaju dvije kritične ranjivosti, CVE-2026-109618 i CVE-2026-109619, obje ocijenjene ocjenom 9,2 na ljestvici CVSS v4.0. Za PHP 8.1 i starije verzije ispravak neće biti objavljen.

Propusti napadaču mogu omogućiti preuzimanje kontrole nad web poslužiteljem bez lozinke. Zbog toga su državne institucije i tvrtke u više zemalja privremeno isključile svoje web stranice dok ih ne ažuriraju.

Što smo napravili

Zakrpane pakete primijenili smo 21. listopada, istog dana kad su postali dostupni, na svim poslužiteljima na kojima rade web stranice i aplikacije naših korisnika. Sve stranice koje poslužujemo rade na zakrpanim verzijama PHP-a. Nijedna ne radi na verziji 8.1 ili starijoj, za koje ispravka nema.

Arcadian CMS i Komunalio

Javne stranice izrađene u Arcadian CMS-u objavljuju se kao statične HTML datoteke i pri posjetu ne izvršavaju PHP kod, pa ih ovi propusti izravno ne pogađaju. Sustav za uređivanje sadržaja radi na PHP-u i ažuriran je istog dana.

Komunalio ne koristi PHP.

Trebate li nešto poduzeti

Korisnici naših usluga hostinga, Arcadian CMS-a i Komunalija ne moraju ništa poduzeti.

Ako vašu stranicu ili aplikaciju poslužuje drugi pružatelj ili vlastiti poslužitelj, provjerite je li PHP ažuriran na jednu od navedenih verzija. Stranice koje rade na PHP-u 8.1 ili starijem treba što prije prebaciti na podržanu verziju.

Za pitanja ili pomoć pri provjeri javite se na podrska@arcadian.hr ili na 023/777-902.

Objavljeno 22. listopada 2026.