Visoka kibernetska ogroženost v Sloveniji: URSIV zahteva dodatne varnostne ukrepe

Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je zaradi odkritja dveh kritičnih ranljivosti v programskem jeziku PHP zvišal oceno kibernetske ogroženosti v Sloveniji na visoko stopnjo ogroženosti. Ranljivosti lahko napadalcem omogočita oddaljeno izvajanje poljubne kode brez predhodne avtentikacije, kar pomeni resno tveganje za spletne sisteme in varnost podatkov.

Višja ocena ogroženosti velja za zavezance po Zakonu o informacijski varnosti (ZInfV-1) in tudi za druge organizacije, ki uporabljajo PHP oziroma programsko opremo, ki temelji na tem jeziku.

Kot pojasnjujejo na URSIV, je odločitev posledica nenadne spremembe varnostnih razmer zaradi odkritja ranljivosti z oznakama CVE-2026-109618 in CVE-2026-109619. Napadalci bi lahko z njuno zlorabo prevzeli nadzor nad ranljivimi spletnimi sistemi, kar bi lahko povzročilo resne motnje v delovanju organizacij in ogrozilo njihove podatke.

PHP je eden najbolj razširjenih strežniških programskih jezikov za razvoj spletnih aplikacij. Uporablja se pri številnih spletnih portalih, sistemih za upravljanje vsebin in drugih informacijskih rešitvah v javnem in zasebnem sektorju. Zaradi njegove razširjenosti bi lahko posledice ranljivosti občutile tudi organizacije, ki upravljajo informacijske sisteme državne uprave in druge ključne sisteme.

URSIV poziva k takojšnji namestitvi popravkov

Razvijalci PHP so 21. oktobra 2026 izdali varnostne popravke za podprte različice programske opreme. URSIV vsem organizacijam, ki uporabljajo PHP, priporoča, da jih namestijo takoj, ko je to mogoče. Po navedbah urada je namestitev popravkov trenutno edini ukrep, ki ranljivosti v celoti odpravi.

Organizacije morajo zato čim prej preveriti, ali so njihovi sistemi izpostavljeni, in zagotoviti posodobitev programske opreme. Če popravki še niso na voljo za posamezno rešitev, naj pri njenem proizvajalcu preverijo, kdaj bodo izdani, do takrat pa uvedejo začasne zaščitne ukrepe za zmanjšanje tveganja.

Za zavezance po Zakonu o informacijski varnosti velja tudi obveznost, da nemudoma začnejo izvajati dodatne varnostne ukrepe in z njimi nadaljujejo do preklica. URSIV napoveduje, da bo izdal pisno odredbo z nujnimi ukrepi ter še naprej spremljal razvoj dogodkov v Sloveniji in tujini. Zaradi široke uporabe PHP je pravočasno ukrepanje pomembno za vse organizacije, ki ta jezik uporabljajo neposredno ali prek programske opreme, ki temelji na njem.

Sara Kovač