Ozbiljan bug u programskom jeziku PHP potaknuo je čelnike u području kibernetičke sigurnosti na upozorenja o "cunamiju ranjivosti", prema izvještaju The Guardiana objavljenom 23. listopada 2026. Upozorenja, koja su neki stručnjaci opisali kao "crni listopad", ukazuju na novo doba u kojem umjetna inteligencija pomaže napadačima da brže pronalaze i iskorištavaju softverske nedostatke nego prije. Ova priča o PHP ranjivosti uz hakiranje pomoću umjetne inteligencije na površini je tehnička, ali njezine posljedice dosežu obične ljude koji svakodnevno jednostavno koriste web-stranice.

Što kažu PHP bug i upozorenja o "crnom listopadu"

PHP je besplatan jezik otvorenog koda koji pokreće vrlo velik udio weba. Izvještaji o tom nedostatku navode brojku od oko 70% web-stranica diljem svijeta koje koriste PHP, zbog čega je moguća izloženost privukla toliku pozornost. Izvještaji opisuju ranjivosti kao one koje omogućuju neautentificirano udaljeno izvršavanje koda. Jednostavnije rečeno, napadač bi potencijalno mogao preuzeti kontrolu nad zahvaćenim poslužiteljem bez potrebe za lozinkom.

Vrijedi zadržati brojke u perspektivi. Neki tehnički komentatori istaknuli su da, iako je bug ozbiljan, naslovna tvrdnja da je "70% interneta zahvaćeno" preuveličava situaciju. PHP se široko koristi, ali ne pokreće svaka stranica ranjivu konfiguraciju. Izvještaji također napominju da su sigurnosni popravci objavljeni te da je tim suradnika PHP Foundationa navodno proveo oko dva mjeseca radeći na zakrpi.

Tekst The Guardiana usredotočen je na reakciju sigurnosnih čelnika. Njihova briga manje se odnosi na ovaj pojedinačni bug, a više na ono na što on ukazuje: nadolazeću poplavu otkrivenih nedostataka, koju opisuju kao "cunami ranjivosti".

Kako AI ubrzava otkrivanje i iskorištavanje bugova

Nekoliko izvještaja o PHP nedostacima navodi da su alati umjetne inteligencije pomogli u njihovom otkrivanju. To je važno jer je pronalaženje ozbiljnog buga tradicionalno zahtijevalo od vještih istraživača mnogo vremena. Automatizirani sustavi mogu čitati ogromne količine koda, označavati sumnjive obrasce i testirati ideje 24 sata dnevno.

Zabrinutost je zbog sve manjeg razmaka između triju faza:

  • Otkrivanje: alat potpomognut AI-jem uočava nedostatak u široko korištenom kodu.
  • Objavljivanje i zakrpa: održavatelji trebaju vremena da razumiju, poprave i objave ažuriranje.
  • Iskorištavanje: napadači, koji mogu koristiti iste vrste alata, izrađuju funkcionalne napade.

Kada se otkrivanje ubrza, ali zakrpa još uvijek ovisi o ljudskim timovima, prozor u kojem je nedostatak poznat, ali još nije popravljen na stvarnim web-stranicama može se povećati. U tom se prozoru događa šteta. Vlasnici web-stranica tada moraju brzo primijeniti ažuriranja, a mnogi to ne čine odmah.

To nije jedinstveno za branitelje ili napadače. Ista tehnologija može pomoći održavateljima da pronađu i poprave bugove prije kriminalaca. Upozorenje čelnika jest da bi količina otkrića mogla preplaviti ljude odgovorne za zakrpe.

Kako iskorištene web-stranice ugrožavaju svakodnevne korisnike

Ne morate pokretati PHP poslužitelj da bi vas pogodio PHP bug. Ako je stranica koju koristite kompromitirana, napadači mogu steći uporište na infrastrukturi kojoj vjerujete. Ovisno o tome što stranica radi, rizici mogu uključivati:

  • Ukradene podatke za prijavu: napadači mogu presresti vjerodajnice unesene na kompromitiranoj stranici, koje se zatim mogu isprobati na drugim uslugama.
  • Izmijenjene stranice: oteta stranica može se izmijeniti kako bi prikazivala lažne obrasce za prijavu ili poticala zlonamjerna preuzimanja.
  • Uvjerljiv phishing: poveznice i poruke koje izgledaju kao da dolaze s poznate stranice mogu voditi na opasno mjesto.
  • Izloženi osobni podaci: stranice koje pohranjuju podatke o kupcima mogu ih procuriti ako napadači uđu.

Ključno je da naziv i adresa stranice mogu izgledati potpuno normalno. Kompromitirana legitimna stranica može biti uvjerljivija od očitog lažnjaka jer su uobičajeni vizualni znakovi povjerenja još uvijek prisutni.

Ako želite steći osjećaj za to koliko se izloženi osobni podaci mogu proširiti nakon što organizacija bude hakirana, naše izvještavanje o provalu podataka tvrtke Unlimited Technology Systems koja je pogodila 3,8 milijuna pacijenata pokazuje razmjere koje takvi incidenti mogu dosegnuti.

Što to znači za vas

Ne možete zakrpiti web-stranicu koja nije vaša, pa je praktični cilj ograničiti štetu ako je jedna od stranica koje koristite kompromitirana. Vaši vlastiti uređaji i računi dio su koji kontrolirate. Brze prijetnje nagrađuju jednostavne navike koje se dosljedno provode, a ne komplicirane postavke.

Također pomaže ostati smiren. Ozbiljan bug i glasno upozorenje ne znače da su vaši računi već kompromitirani. Znače da su osnove važnije nego ikad.

Što možete učiniti: ažuriranja, jake lozinke, 2FA i svijest o phishingu

Ažurirajte sve odmah. Instalirajte najnovija ažuriranja za svoj operacijski sustav, preglednik i aplikacije te uključite automatska ažuriranja gdje je to moguće. Mnogi napadi uspijevaju jer je popravak postojao, ali nije bio primijenjen.

Koristite jedinstvene lozinke. Ako je jedna stranica kompromitirana i ponovno ste upotrijebili tu lozinku, napadači je mogu isprobati drugdje. Upravitelj lozinkama čini jedinstvene, jake lozinke za svaki račun realističnima.

Uključite dvofaktorsku autentifikaciju (2FA). Čak i ako je lozinka ukradena, drugi faktor može spriječiti napadača da se prijavi. Dajte prednost e-pošti, bankarstvu i svim računima koji mogu resetirati druge račune.

Prema neočekivanim poveznicama postupajte sa sumnjom. Ako e-poruka, tekst ili poruka sadrži poveznicu koju niste očekivali, čak i s stranice kojoj inače vjerujete, nemojte kliknuti na nju. Dođite na stranicu sami upisujući adresu ili koristeći oznaku, i provjerite ima li neobičnih upita za prijavu ili zahtjeva za preuzimanje.

Pratite svoje račune. Pregledajte upozorenja o prijavi i aktivnosti računa te odmah promijenite lozinke ako usluga koju koristite najavi sigurnosni incident.

Zaključak

Priča o PHP ranjivosti uz hakiranje pomoću umjetne inteligencije podsjetnik je da se softverski nedostaci pronalaze i iskorištavaju sve bržim tempom. Ne možete kontrolirati koliko brzo vlasnik web-stranice primjenjuje zakrpe, ali možete kontrolirati vlastitu izloženost. Ažurirajte svoje operacijske sustave, preglednike i aplikacije danas, uključite 2FA s jedinstvenim lozinkama pohranjenima u upravitelju lozinkama i dobro razmislite prije nego kliknete na neočekivane poveznice, čak i kada izgleda da dolaze s stranice kojoj vjerujete.