Što je PHP i zašto pokreće velik dio weba

Samo želim da web stranica radi. Ali iza većeg dijela World Wide Weba stoji programski jezik star više od tri desetljeća. To je PHP.

Svi smo nedavno naučili što se događa ako su unutra Otkrivene ranjivosti u PHP-uCijeli svijet poludi, i to s pravom. Dvije kritične ranjivosti u PHP-u mogle bi omogućiti napadačima izvršavanje zlonamjernog koda na udaljenim poslužiteljima bez prethodnog odobrenja. Programeri su odmah reagirali, ali možda je sada vrijeme da razgovaramo o tome što je PHP, zašto je tako stara tehnologija još uvijek dominantna i kako greška u jednom programskom jeziku može ugroziti World Wide Web.

Što je PHP i što znači njegovo ime?

PHP je programski jezik prvenstveno namijenjen izradi web stranica i web aplikacija. Naziv je kratica za PHP Hypertext Preprocessor, a izvorno je značio Personal Home Page (Osobna početna stranica). Samo iz ovoga je jasno da je jezik nastao iz čisto praktične potrebe da se web stranice učine življima od običnog statičnog teksta.

Porijeklo jezika seže u 1994. godinu, kada je dansko-kanadski programer Rasmus Lerdorf razvio jednostavne alate za praćenje posjeta svojoj osobnoj web stranici. Ti su se alati postupno razvili u programski jezik koji je postao jedan od ključnih gradiva World Wide Weba.

PHP je skriptni jezik. To znači da se kod ne kompilira unaprijed u samostalni program, već ga na svaki zahtjev čita i izvršava posebna usluga nazvana interpreter. To programeru štedi puno posla koji korisnici rigoroznijih jezika moraju obaviti, što PHP čini vrlo prilagođenim početnicima. Također je otvorenog koda, što znači da je njegov izvorni kod javno dostupan i svatko ga može besplatno koristiti i poboljšavati.

Prema istraživačkoj tvrtki W3Techs PHP je bio prisutan na otprilike 69,3 % web stranica na kojima se mogao identificirati korišteni programski jezik na strani poslužitelja od 21. listopada 2026. To ne predstavlja 69,3 % cijelog interneta, ali je jasan pokazatelj njegove rasprostranjenosti.

Kako PHP funkcionira?

Ključna riječ je na strani poslužitelja. Kada otvorim web stranicu u svom pregledniku, preglednik šalje zahtjev poslužitelju, tj. računalu koje pohranjuje stranicu i poslužuje je posjetitelju. Ako je stranica napisana u PHP-u, poslužitelj prvo prosljeđuje kod interpreteru. Interpreter ga izvršava, po potrebi čita podatke iz baze podataka, kompajlira konačnu stranicu u HTML-u i šalje je natrag pregledniku. HTML je jezik u kojem su napisane sve web stranice, a preglednik ga može prikazati kao tekst, slike i gumbe. CSS određuje njegov izgled, dok JavaScript omogućuje interaktivnost, poput reagiranja na klikove, otvaranja izbornika i ažuriranja sadržaja.

Posjetitelj stoga nikada ne vidi sam PHP kod, već samo rezultat. To je također važno sa sigurnosne perspektive, jer kod često sadrži podatke za pristup bazi podataka. Ako napadač dođe do koda, doći će i do tih podataka.

PHP kod ubacujemo u regularnu web stranicu između oznaka Sve unutar njih izvršava interpreter, a sve ostalo ostaje nepromijenjeno. Upravo je ta jednostavnost bila jedan od glavnih razloga brzog širenja jezika 1990-ih.

Često čujemo akronim LAMP. To je kratica za klasičnu kombinaciju Linux operativnog sustava, Apache web poslužitelja, MySQL baze podataka i PHP jezika. To je skup besplatnih alata koji desetljećima pokreće velik dio weba i još uvijek to čini na mnogim mjestima danas.

PHP nije samo jezik za jednostavne web stranice

Iako je PHP nastao u eri puno jednostavnijeg weba, njegove mogućnosti danas daleko premašuju njegovu izvornu namjenu. Može se koristiti za razvoj online trgovina, poslovnih aplikacija, korisničkih portala, rezervacijskih sustava i programskih sučelja za razmjenu podataka između različitih servisa.

Moderni PHP podržava objektno orijentirano programiranje. Programer može podijeliti programsku logiku u klase i objekte koji predstavljaju pojedinačne komponente aplikacije. Također podržava tipiziranje podataka, iznimke za rukovanje greškama i mnoge druge mehanizme koji omogućuju organiziraniji i predvidljiviji programski kod.

Programer ne mora razvijati sve značajke od nule. Dostupni su okviri poput Laravela i Symfonyja koji pojednostavljuju razvoj složenijih aplikacija. Composer, upravitelj ovisnosti, također igra važnu ulogu. Omogućuje programerima da uključe gotove biblioteke i kontroliraju njihove verzije.

Bez baza podataka, njegova korisnost bi bila mnogo manja.

Jedan od ključnih zadataka PHP-a je povezivanje web aplikacija s bazama podataka. Kada se prijavim u online trgovinu, sustav treba provjeriti moj korisnički račun. Kada naručim, treba pohraniti odabrane proizvode, adresu za dostavu i podatke o narudžbi. PHP može raditi sa sustavima poput MySQL-a, MariaDB-a, PostgreSQL-a i SQLite-a kako bi to učinio.

Za pristup bazama podataka, između ostalog, dostupan je PDO. PHP podatkovni objektiTo je programsko sučelje koje omogućuje rad s različitim podatkovnim sustavima. Pritom programer mora obratiti posebnu pozornost na sigurnost.

Ako aplikacija nenamjerno umetne korisnički unos u naredbu baze podataka, može doći do ranjivosti koja se naziva SQL injekcija. SQL je standardizirani jezik za rad s relacijskim bazama podataka. Napadač može iskoristiti takvu manu za čitanje ili izmjenu podataka bez autorizacije.

Preporučena zaštita je korištenje pripremljenih upita, gdje se korisnički podaci tretiraju odvojeno od same naredbe.

Zašto je PHP tako blisko povezan s WordPressom?

Najbolji primjer njegove rasprostranjenosti je WordPress, jedan od najčešće korištenih sustava za upravljanje sadržajem na webu. WordPress se temelji na PHP-u i bazi podataka. Kada urednik objavi članak, njegov sadržaj pohranjuje se u bazu podataka. PHP se zatim brine za dohvaćanje sadržaja, provjeru korisničkih dopuštenja i pripremu stranice koju posjetitelj vidi.

Slično tome, Drupal i Joomla također se temelje na PHP-u, a WooCommerce online trgovina i MediaWiki softver koji pokreće Wikipediju također se temelje na PHP-u. PHP također omogućuje proširenja, korisničke račune, obrasce, online trgovine i mnoge uredničke funkcije. Međutim, važno je razlikovati ranjivosti u samom PHP-u, greške u WordPressu i probleme s pojedinačnim dodacima.

Na primjer, ažuriranje WordPressa ne znači nužno da se ažurira i PHP na poslužitelju. To su različiti softverski slojevi koji zahtijevaju zasebno održavanje. Ova se razlika često previdi, posebno od strane manje zahtjevnih korisnika koji upravljanje poslužiteljem prepuštaju svom pružatelju hostinga.

Što su otkrile najnovije kritične ranjivosti?

Sigurnosna upozorenja, označena kao CVE-2026-109618 i CVE-2026-109619, posebno su ozbiljna jer se odnose na unutarnje funkcioniranje PHP-a. CVE je standardizirana međunarodna oznaka za javno poznate sigurnosne ranjivosti. Obje greške dobile su CVSS ocjenu 9,2, koja ocjenjuje ozbiljnost sigurnosnih propusta na ljestvici do 10.

Prva ranjivost povezana je s neispravnim rukovanjem memorijom kada ponestane dostupne memorije tijekom obrade zahtjeva. Druga je uzrokovana korištenjem internih podataka povezanih s prethodnim zahtjevom nakon što je njegova memorija već oslobođena. Pod određenim okolnostima, napadač bi mogao iskoristiti takvu manu za izvršavanje udaljenog koda bez prijave u aplikaciju.

U slučaju PHP-a, posebno upozoravaju na korištenje mod_php-a, gdje je demonstriran napad koji se može pokrenuti prije izvršavanja koda web aplikacije. To znači da čak ni pravilno napisana web stranica nije nužno zaštićena ako koristi ranjivu verziju samog PHP-a.

Hoće li PHP izgubiti svoju dominantnu poziciju zbog ranjivosti?

PHP nije ni čudotvorni alat ni prezrena relikvija. To je zreo, brz i široko korišten jezik koji je, zbog svoje jednostavnosti, mnogima otvorio vrata web programiranju. Ali upravo ta raširenost je njegova Ahilova peta, jer svaka ozbiljna pogreška može ugroziti veliki dio weba. Za čitatelje koji sami upravljaju svojom web stranicom ili trgovinom, najvažnija poruka je stoga jednostavna. Redovito ažurirajte i ne čekajte prvi napad.