PHP Storm i kraj ere SMS OTP-a: Kako AI agenti i kriptografski ključevi redefiniraju kibernetičku sigurnost

Globalna infrastruktura kibernetičke sigurnosti doživjela je prijelomnu točku kada je stabilnost milijuna web stranica diljem svijeta izravno ugrožena ozbiljnim sigurnosnim ranjivostima u samoj jezgri programskog jezika PHP. Otkriće kritičnih propusta pod oznakama CVE-2026-109618 i CVE-2026-109619, kojima je dodijeljena iznimno visoka ocjena ozbiljnosti od 9,2/10, izazvalo je val panike u tehnološkim krugovima. Ovi sigurnosni propusti omogućuju hakerima udaljeno izvršavanje zlonamjernog koda na poslužiteljima, što predstavlja jednu od najopasnijih kriza tehničke infrastrukture u povijesti interneta, s obzirom na to da PHP pokreće oko 70 posto svih globalnih web stranica.

Ovaj incident ujedno označava novu eru u kojoj umjetna inteligencija preuzima glavnu riječ u identifikaciji i analizi prijetnji. Umjesto dugotrajnog ručnog istraživanja, napredni AI agenti poput OpenAI-jevog modela GPT-5.6 Sol i Googleovog Gemini 4 Argon demonstrirali su dosad neviđene sposobnosti u izravnom otkrivanju, analizi i predlaganju strategija iskorištavanja ranjivosti. Sigurnosni startup Calif Research, pod vodstvom izvršnog direktora Duonga Ngoc Thaija, iskoristio je računalnu snagu modela GPT-5.6 Sol za demontiranje specifične OOM-fatalne ranjivosti, čime je uspješno istražio lanac RCE (Remote Code Execution) ranjivosti usmjerenih na WordPress te ključne komponente web poslužitelja kao što su mod_php i PHP-FPM.

Globalni odgovor i panika u državnim sektorima

Skala i brzina otkrivanja natjerale su vlade i sigurnosne agencije diljem svijeta na uvođenje hitnih obrambenih mjera kako bi se spriječila masovna kompromitacija podataka:

• Francuska – Ministarstvo unutarnjih poslova naredilo je privremenu obustavu pristupa web stranicama lokalnih vlasti i pariške policijske uprave.
• Nizozemska – Nacionalna usluga za digitalni identitet (DigiD) i službena web stranica Zastupničkog doma privremeno su isključene radi zaštite podataka građana.
• Australija– Australski ured za signale (ASD) potvrdio je da je njihova vlastita infrastruktura bila izravno pogođena identifikacijskim valom.
• Globalni razmjer– Analitički podaci servisa BuiltWith ukazuju na to da je ranjivost izravno ugrozila približno 24 milijuna web stranica diljem svijeta, uključujući više od 143.000 web sjedišta u Vijetnamu koja rade na kompromitiranim platformama.

Predstavnici renomirane sigurnosne tvrtke Wiz opisali su ovaj događaj kao jednu od najopasnijih infrastrukturnih mana u povijesti modernog softvera. Odgovor tehnološke zajednice bio je iznimno brz – inicijativa Patch the Planet, predvođena tvrtkom OpenAI, u bliskoj je suradnji s PHP razvojnim timom istog dana izradila i distribuirala hitnu zakrpu. Američka Nacionalna sigurnosna agencija (NSA) izdala je izvanredno upozorenje sa zahtjevom da se privremeno obustave sve operacije na nezaštićenim sustavima dok se zakrpa u potpunosti ne primijeni.

Sumrak SMS OTP-a: Zašto jednokratne poruke više nisu sigurna zaštita?

Dok se infrastrukturna fronta bori s ranjivostima na razini poslužitelja, sigurnost samih korisnika prolazi kroz jednako dramatičnu transformaciju. Američka agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA) službeno je klasificirala SMS jednokratne zaporke (SMS OTP) kao metodu ranjivu na napade, pozivajući organizacije i korisnike na prelazak na modernije oblike autentifikacije.

Glavni razlozi zbog kojih je SMS OTP izgubio status pouzdane sigurnosne mjere leže u specifičnim tehničkim ranjivostima telekomunikacijskih mreža i sofisticiranim napadima prevaranata:

• Napad zamjenom SIM kartice (SIM Swap) – Napadači mogu prevariti mobilne operatore ili iskoristiti socijalni inženjering kako bi prenijeli žrtvin telefonski broj na vlastitu SIM karticu te presreli sve dolazne SMS poruke i pristupne kodove.
• Preusmjeravanje u stvarnom vremenu (Real-time Phishing) – Kada korisnik unese SMS OTP na uvjerljivoj, lažnoj web stranici koju je izradio napadač, automatizirani skriptni sustavi u istoj sekundi prosljeđuju taj kod pravoj usluzi, omogućujući napadaču preuzimanje računa prije nego što kod istekne.
• Ranjivosti u SS7 protokolu – Zastor unutar same globalne telekomunikacijske infrastrukture omogućuje naprednim napadačima presretanje SMS prometa na mrežnoj razini bez znanja korisnika ili operatora.

[Korisnik] —> Unosi SMS OTP —> [Lažna stranica / Phishing] —> Prosljeđuje kod u stvarnom vremenu —> [Prava usluga] —> [Provala u račun]

Evolucija Autentifikacije: Od Authenticator aplikacija do Passkey tehnologije

Kako bi se premostile opasnosti koje nosi SMS OTP, industrija se ubrzano kreće prema rješenjima koja nude znatno višu razinu kriptografske zaštite:

Aplikacije za generiranje kodova (TOTP) – Aplikacije poput Google Authenticatora ili Microsoft Authenticatora generiraju vremenski ograničene kodove izravno na samom uređaju svakih 30 sekundi. Ova metoda u potpunosti eliminira rizike vezane uz telekomunikacijske mreže i otmicu SIM kartica, no korisnik i dalje ostaje izložen riziku ako bude prevaren da generirani kod ručno unese na lažno web sjedište.

Passkey i FIDO2 standardi – Kao najnaprednije rješenje nameću se Passkey pristupni ključevi zasnovani na FIDO2 i WebAuthn standardima. Umjesto klasičnih zaporki i OTP kodova, Passkey koristi parove kriptografskih ključeva. Privatni ključ ostaje sigurno pohranjen na korisničkom uređaju i zaštićen je biometrijom (otisak prsta, prepoznavanje lica) ili sistemskim PIN-om, dok se javni ključ nalazi na poslužitelju usluge.

Budući da je svaki kriptografski ključ neraskidivo vezan uz točno određenu, registriranu domenu usluge, podatke za prijavu nemoguće je presresti ili iskoristiti na lažnim, phishing web stranicama. Prema službenom izvješću FIDO Alliance Passkey Indexa, Passkey tehnologija ostvarila je stopu uspješnosti prijave od čak 93 posto (u usporedbi sa 78 posto kod tradicionalne višefaktorske autentifikacije), uz drastično smanjenje uspješnih hakerskih napada u svim mjerenim sektorima.

Iako Passkeys pružaju dosad najjaču zaštitu od mrežnih prevara, stručnjaci napominju da sigurnost i dalje ovisi o općoj higijeni uređaja, sigurnosti sinkroniziranih računa u oblaku te pravilno uspostavljenim procesima oporavka računa. Primarni računi e-pošte, financijske aplikacije i administratorski sustavi trebali bi bez odgode prijeći na Passkey ili FIDO2 hardverske sigurnosne ključeve, dok se SMS OTP treba smatrati tek privremenim i sporednim rješenjem.