Francuska u tjednu digitalnog kaosa, PHP ranjivosti, OVHcloud trojan i pad Orangea

PHP je 21. listopada u 16 sati objavio zakrpe za dvije ranjivosti ocijenjene 9,2 od 10. Od upozorenja sigurnosnog tima do ispravka prošlo je manje od 24 sata, a žurba ima logiku: PHP pokreće 69,3 posto svih web stranica čija je serverska tehnologija poznata, uključujući WordPress. Na Hacker Newsu se već prije pojavila rasprava o dvije ranjivosti koje omogućuju izvršavanje koda na daljinu.

Isti dan kad su zakrpe puštene, oko 21 sat počeli su signali da su Ameli i CAF nedostupni. Oba servisa govore o održavanju, ne spominju PHP i ne daju rok povratka. Podudarnost datuma previše je uredna da bi bila slučajna — ili je riječ o krajnje nespretnom tajmingu, ili o nečemu što institucije ne žele reći.

Napad na alat, ne na infrastrukturu

OVHcloud je potvrdio da je napadač preko GitHub računa jednog developera ubačio zlonamjerni program u službeni CLI alat. Program je pretraživao disk u potrazi za lozinkama i pristupnim ključevima. Osnivač Octave Klaba to je sam objavio na platformi X. Svi koji su alat instalirali ili ažurirali 19. listopada, u verzijama od v0.11.0 do v0.15.0, trebaju odmah promijeniti sve tajne podatke.

Ovdje vrijedi zastati. Cloud kompanija koja drži podatke tisuća europskih tvrtki nije zaštićena od kompromitacije vlastitog lanca isporuke. Ako napadač može ući kroz jedno razvojno računalo i otrovati alat koji administratori pokreću s punim ovlastima, pitanje nije je li se to moglo dogoditi — nego koliko je takvih slučajeva ostalo neotkriveno. Tko jamči da ista metoda već mjesecima ne sjedi u nekom drugom repozitoriju?

Orange šuti o 5G+

Orange je u 21:26 objavio da su pozivi, SMS poruke i mobilni internet ponovno dostupni, nakon nacionalnog pada koji je počeo oko 11:20. Operater s 21,6 milijuna mobilnih korisnika u Francuskoj krivi kvar na opremi u jezgri mreže. O migraciji na 5G+ i mogućoj odšteti korisnicima — ni riječi. Ovo je treći nacionalni pad Orangea u 2026. godini.

Tri nacionalna pada u jednoj godini nisu nesreća, to je obrazac. Kad telekomunikacijski div šuti o tome koliko je njegova mreža stabilna nakon uvođenja nove generacije, korisnik ostaje bez ijednog provjerljivog podatka. A upravo je korisnik taj koji plaća račun.

Što ovo govori o europskoj digitalnoj autonomiji

Francuska je domaćin OVHclouda, jednog od rijetkih europskih cloud igrača koji bi trebao biti alternativa američkim hiperskalerima. Kad takva kompanija doživi kompromitaciju lanca isporuke, a nacionalni operater i javni servisi padnu u istom tjednu, slika europske digitalne suverenosti postaje mnogo manje uvjerljiva.

Naša je pozicija jasna: nacionalne države moraju same kontrolirati ključnu digitalnu infrastrukturu, od clouda do telekomunikacija, i to ne deklarativno nego vlasnički i regulatorno. Alati koje građani i tvrtke svakodnevno koriste ne smiju ovisiti o dobroj volji jednog razvojnog računala na GitHubu. Kad se ovakav tjedan ponovi — a hoće — pitanje neće biti je li PHP zakrpan na vrijeme, nego tko uopće odgovara za štetu.