Na kratko
Ta teden je najnevarnejša ranljivost za WordPress strani v PHP-ju, ne v vtičniku. Dve kritični napaki z imenom PHP2Shell napadalcu omogočita, da brez prijave zažene svojo kodo na strežniku. SI-CERT je o njiju izdal opozorilo, poskusi napadov pa so bili zaznani že na dan objave popravkov. Poleg tega so bile objavljene ranljivosti v več priljubljenih vtičnikih, med njimi Prime Mover, Popup Builder, User Profile Builder in ACF: Extended. Preverite različico PHP pri svojem gostovanju in posodobite vtičnike.
PHP2Shell: kritična ranljivost v PHP, ki ogroža vsako WordPress stran
WordPress je napisan v programskem jeziku PHP, zato vsaka WordPress stran teče na strežniku s PHP-jem. 21. oktobra 2026 je projekt PHP izdal nujne varnostne popravke za dve kritični ranljivosti. Raziskovalci so ju poimenovali PHP2Shell, SI-CERT pa je o njiju objavil opozorilo SI-CERT 2026-07.
| Kaj je prizadeto | Sam PHP (ne WordPress, tema ali vtičnik), praktično vse različice od PHP 5 naprej |
|---|---|
| Oznake | CVE-2026-109618 in CVE-2026-109619 |
| Resnost | Kritična, CVSS 9,2 (CVSS v4.0) |
| Popravljene različice | PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35 |
| Stanje napadov | Poskusi izkoriščanja so bili zaznani že na dan objave popravkov |
Kaj lahko stori napadalec
- Zažene svojo kodo na strežniku, brez prijave in brez ranljivega vtičnika. Napaka je v PHP-ju samem, zato je ranljiva lahko tudi povsem preprosta, pravilno napisana spletna stran.
- Prebere del pomnilnika strežnika, kjer so lahko gesla, ključi ali piškotki sej.
- Raziskovalci podjetja Wiz so napad brez prijave prikazali tudi na standardni namestitvi WordPressa.
Zakaj posodobitev WordPressa tokrat ne pomaga
WordPress.org je sporočil, da posodobitev WordPressa za to težavo ni potrebna in ni načrtovana. Popraviti je treba PHP na strežniku, za kar je običajno zadolžen ponudnik gostovanja. Različico PHP preverite v administraciji WordPressa pod Orodja → Zdravje spletnega mesta → Informacije → Strežnik.
Priporočilo
- Če je vaša različica PHP nižja od navedenih popravljenih različic, takoj pišite ponudniku gostovanja in zahtevajte posodobitev.
- PHP 8.1 in starejše različice od projekta PHP ne dobivajo več uradnih popravkov. Popravek je mogoč le prek ponudnika (prenesen popravek) ali z nadgradnjo. Priporočamo PHP 8.4 ali 8.5, saj se podpora za PHP 8.2 izteče 31. decembra 2026.
- Ne nameščajte neuradnih vtičnikov ali kode, ki obljubljajo »popravek« za PHP2Shell. Edina celovita rešitev je posodobitev PHP-ja.
- Če posodobitev ni mogoča takoj, SI-CERT priporoča umik spletne aplikacije z javnega omrežja ali drug ukrep, ki prepreči izkoriščanje (npr. pravila požarnega zidu WAF pri ponudniku). Nekatere nastavitve v php.ini (npr.
session.upload_progress.enabled) napade le otežijo, ne preprečijo pa jih.
Ranljivi WordPress vtičniki tega tedna
V javnih bazah CVE je bilo med 22. in 24. oktobrom 2026 objavljenih več ranljivosti v WordPress vtičnikih. Spodaj so tiste, ki so najresnejše ali zadevajo največ strani. Za nobeno do 24. oktobra ni bilo poročil o napadih v praksi, vendar se napadi pogosto začnejo kmalu po objavi.
Prime Mover – kritična ranljivost (CVSS 9,8)
- Prizadeto: vtičnik za varnostne kopije in selitve Prime Mover, različice do vključno 2.2.1 (več kot 10.000 namestitev).
- Oznaka: CVE-2026-115806, kritična (9,8 po oceni Wordfence).
- Kaj lahko stori napadalec: brez prijave v navaden komentar podtakne posebej pripravljene podatke. Ko skrbnik nato izvede izvoz ali obnovo strani, vtičnik te podatke obdela brez preverjanja (t. i. PHP Object Injection), kar lahko vodi do prevzema strani.
- Popravek: posodobite na različico 2.2.2 ali novejšo.
GTM Server Side by Stape – razkritje podatkov o naročilih (CVSS 8,7)
- Prizadeto: vtičnik GTM Server Side (zdaj Stape Conversion Tracking), različice od 2.0.0 do pred 2.1.48 (več kot 10.000 namestitev). Zadeva spletne trgovine WooCommerce.
- Oznaka: CVE-2026-55826, CVSS 8,7 (CVSS v4.0).
- Kaj se lahko zgodi: v kodo strani (dataLayer) se lahko izpišejo podatki o naročilu drugega kupca, vključno z osebnimi podatki, brez prijave. To je tudi tveganje z vidika varstva osebnih podatkov.
- Popravek: posodobite na 2.1.48 ali novejšo (trenutna različica je 2.3.10).
Popup Builder – brisanje pojavnih oken brez prijave
- Prizadeto: vtičnik Popup Builder, različice pred 4.4.6 (več kot 200.000 namestitev).
- Oznaka: CVE-2026-112230.
- Kaj lahko stori napadalec: brez prijave premakne pojavna okna v smeti in prepiše njihove podatke za predogled.
- Popravek: posodobite na 4.4.6 ali novejšo in preverite, ali so v smeteh pojavna okna, ki jih niste izbrisali sami.
User Profile Builder – štiri ranljivosti
- Prizadeto: vtičnik User Profile Builder, različice pred 4.0.5 (več kot 40.000 namestitev).
- Oznake: CVE-2026-111965, CVE-2026-111966, CVE-2026-111982 in CVE-2026-115807.
- Kaj lahko stori napadalec: med drugim lahko uporabnik z vlogo Avtor ustvari račun z višjo vlogo Urednik (CVSS 7,1 po oceni Wordfence).
- Popravek: različica 4.0.5 odpravi vse štiri napake. Po posodobitvi v meniju Uporabniki preverite, ali so se pojavili neznani računi ali višje vloge.
ACF: Extended – izvajanje kratkih kod v obrazcih
- Prizadeto: vtičnik ACF: Extended (in PRO), različice od 0.9.2.4 do pred 0.9.2.8 (več kot 100.000 namestitev).
- Oznaka: CVE-2026-94263, srednja resnost (CVSS 4,8 po oceni WPScan).
- Kaj se lahko zgodi: obiskovalec lahko ob oddaji obrazca na spletni strani sproži izvajanje kratkih kod (shortcode) v potrditvenem sporočilu. Zadeva le nekatere obrazce.
- Popravek: posodobite na 0.9.2.8 ali novejšo.
Front End Users – popravka ni, vtičnik odstranite
- Prizadeto: vtičnik Front End Users, vse različice do vključno 3.2.35.
- Oznaka: CVE-2026-87835, CVSS 6,5.
- Kaj lahko stori napadalec: ob registraciji prek obrazca na strani si sam dodeli članski nivo in račun označi kot odobren, potrjen in plačan.
- Popravek: ni na voljo, vtičnik je bil 13. oktobra 2026 umaknjen z WordPress.org. Odstranite ga ali zamenjajte in preverite registrirane račune.
Kaj naj naredi lastnik WordPress strani: kontrolni seznam za varnost
- Preverite različico PHP (Orodja → Zdravje spletnega mesta → Informacije → Strežnik). Če ni popravljena, se takoj obrnite na gostovanje.
- Posodobite vse vtičnike v Nadzorna plošča → Posodobitve, še posebej zgoraj naštete.
- Odstranite vtičnike brez popravka (Front End Users) in vtičnike, ki jih ne uporabljate.
- Preglejte uporabniške račune: neznani skrbniki ali uredniki so lahko znak vdora.
- Naredite varnostno kopijo pred posodobitvami in preverite, da jo znate obnoviti.
Več navodil za urejanje in vzdrževanje najdete v rubriki podpora za WordPress.
Potrebujete pomoč pri posodobitvah ali varnosti WordPressa? Preverimo različico PHP, posodobimo vtičnike in pregledamo stran za znake vdora. Pišite nam na podpora@qstom.si.
Viri
- SI-CERT 2026-07: Kritične ranljivosti v PHP (PHP2Shell)
- WordPress.org: Critical PHP Security Release
- PHP.net: objava varnostnih popravkov
- Patchstack: Major security alert – PHP vulnerable to critical RCE
- The Hacker News: PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws
- Wiz Research: PHP2Shell
- CVE-2026-115806 (Prime Mover)
- Pregled ranljivosti WordPress vtičnikov, 23.–24. 10. 2026
- Pregled ranljivosti WordPress vtičnikov, 22.–23. 10. 2026
- Zapisi CVE: CVE-2026-55826, CVE-2026-112230, CVE-2026-111965, CVE-2026-94263, CVE-2026-87835