KADA DRŽAVNI SAJTOVI UTIHNU:
KO ODGOVARA ZA DIGITALNU BEZBEDNOST GRAĐANA?

Globalna sajber-uzbuna otkriva koliko su javne institucije zavisne od tehnologije koju građani ne vide, ne kontrolišu i o čijoj bezbednosti najčešće ništa ne znaju

.

U sredu, 21. oktobra 2026, pojedini državni internet sajtovi u Evropi prestali su da rade. Građani nisu mogli da pristupe nekim javnim servisima, a administratori informacionih sistema nastojali su da otklone ozbiljnu bezbednosnu pretnju. [5]
Nije se radilo o nestanku interneta. Niti je svaki nedostupan sajt bio žrtva uspešnog hakerskog napada.
U mnogim slučajevima, sistemi su privremeno isključeni upravo da bi bili zaštićeni. [5, 6]
Ipak, iza ove naizgled tehničke vesti stoji pitanje mnogo važnije od jednog programskog jezika ili jedne softverske greške:

Koliko je savremena država sposobna da zaštiti digitalne sisteme od kojih zavise svakodnevni život, prava i bezbednost njenih građana?

Dve greške koje su uznemirile internet

Povod za međunarodnu uzbunu bilo je otkrivanje dve kritične ranjivosti u PHP-u, programskom jeziku koji pokreće veliki broj internet sajtova, administrativnih sistema i digitalnih aplikacija.
Ranjivosti, registrovane pod oznakama CVE-2026-109618 i CVE-2026-109619, ocenjene su sa 9,2 od mogućih 10 po međunarodnoj skali ozbiljnosti CVSS v4.0. Pod određenim uslovima, njihovo iskorišćavanje može omogućiti neovlašćeno izvršavanje programskog koda na ugroženim serverima bez prethodne autentifikacije. [1, 4]
Posledice uspešnog napada mogu biti ozbiljne: neovlašćen pristup podacima, izmene sadržaja, prekid rada servisa ili dalja kompromitacija povezanih sistema. Međutim, rizik ne znači da se svaki od tih ishoda zaista dogodio.
PHP projekat je 21. oktobra objavio hitne ispravke za podržane verzije softvera. Evropska agencija za sajber-bezbednost ENISA, zajedno sa Evropskom komisijom, CERT-EU, Europolom i nacionalnim timovima za reagovanje na incidente, pozvala je organizacije da hitno identifikuju ugrožene sisteme i primene ažuriranja. [1, 3]
Rojters je izvestio o privremenom isključivanju pojedinih javnih servisa u Nemačkoj, Francuskoj, Holandiji, Finskoj i Češkoj. Holandska vlada je i zvanično potvrdila preventivnu nedostupnost određenih državnih sajtova. [5, 6]
Ono što je donedavno moglo izgledati kao problem namenjen isključivo programerima postalo je pitanje funkcionisanja državnih institucija.

Kada je isključivanje znak odgovornosti

Postoji važna razlika između sajta koji ne radi zato što je napadnut i sajta koji je privremeno isključen da napad ne bi uspeo.

U prvom slučaju, nedostupnost može biti posledica narušene bezbednosti. U drugom, ona može biti rezultat preventivne odluke.
Zato bi bilo pogrešno svako privremeno gašenje javnog servisa predstavljati kao dokaz hakerskog upada, nekompetentnosti ili pokušaja skrivanja informacija.
Odgovorna institucija ponekad mora da bira između kratkotrajnog prekida usluge i rizika od ozbiljnog kompromitovanja podataka.
Ali tu odgovornost ne prestaje.
Građanin koji ne može da pristupi državnom portalu treba da dobije jasno obaveštenje o razlogu nedostupnosti, raspoloživim alternativnim načinima ostvarivanja prava i, kada je moguće, očekivanom obnavljanju rada — uz očuvanje informacija čije bi otkrivanje ugrozilo zaštitu sistema.

Bezbednost sistema ne sme da postane izgovor za odsustvo komunikacije sa javnošću.

Srbija je upozorena. Šta je sledeći korak?

Nacionalni CERT Republike Srbije objavio je 21. oktobra zvanično upozorenje o obe kritične ranjivosti. U preporukama se navode identifikacija ugroženih PHP sistema, nadzor mogućih zlonamernih aktivnosti, primena ispravki i privremene mere zaštite, uključujući isključenje pogođenih sistema kada ažuriranje nije moguće blagovremeno sprovesti. [4]
To je važna i proverljiva činjenica.
Međutim, objavljeno upozorenje i stvarno sprovedene mere nisu isto.
Iz činjenice da je nadležna služba upozorila na rizik ne može se automatski zaključiti da su svi državni organi, javna preduzeća i ustanove proverili svoje sisteme i primenili potrebne ispravke. Isto tako, nepostojanje javno dostupnih podataka o pojedinačnim ažuriranjima ne dokazuje da ažuriranja nisu sprovedena.\
Upravo tu počinje prostor za odgovorno novinarstvo i legitimna pitanja javnosti.

Da li javne institucije znaju koje kritične softverske komponente koriste?
Ko prati bezbednosna upozorenja?
Ko donosi odluku o privremenoj obustavi servisa?
Postoje li rezervni komunikacioni kanali?
Da li se planovi kontinuiteta rada redovno testiraju?

Odgovori na takva pitanja ne bi smeli da zavise od improvizacije u trenutku krize.
Javnost ne mora da zna poverljive detalje bezbednosne arhitekture. Ali može da traži proverljive informacije o postojanju procedura, nadležnostima, rokovima reagovanja i merama za zaštitu korisnika.

Veštačka inteligencija menja pravila igre

Ova uzbuna ima još jednu dimenziju.

Prema saopštenju PHP Foundation, istraživači i sistemi veštačke inteligencije učestvovali su u otkrivanju i ispitivanju različitih aspekata problema. Fondacija navodi i primenu AI alata za proveru prijava, dok konačne odluke o ispravkama donose ljudi. [2]
To predstavlja važan napredak za sajber-odbranu. Složeni problemi koji su godinama ostajali neprimećeni sada se mogu brže otkriti i analizirati. Ista tehnološka sposobnost, međutim, potencijalno može pomoći napadačima da ubrzaju pronalaženje mogućih načina zloupotrebe.
Još je poučnije što je PHP Foundation javno priznala da je kašnjenje u rešavanju jednog od problema bilo povezano sa procesom odlučivanja i ograničenim resursima bezbednosnog tima. [2]

Šta vredi upozorenje ako institucija nema ljude, procedure i sredstva da po njemu postupi?

Softver se može ažurirati za relativno kratko vreme. Izgradnja odgovorne institucije traje mnogo duže.

Bezbednost, transparentnost i poverenje

Digitalizacija javne uprave često se predstavlja kroz broj novih portala, elektronskih usluga, registara i aplikacija. Ali broj digitalizovanih procedura sam po sebi ne govori dovoljno o njihovoj pouzdanosti.
Građanina prvenstveno zanima da li njegovi podaci ostaju zaštićeni, da li može da dobije dokument koji mu je potreban, da li državna služba može da nastavi rad tokom incidenta i kome može da se obrati ako sistem prestane da funkcioniše.
Zato je otpornost digitalne infrastrukture pitanje javnog interesa. Ona podrazumeva tehničku zaštitu, ali i institucionalnu spremnost, pravovremeno obaveštavanje, razumljive procedure i mogućnost naknadne provere postupanja nadležnih.
To je naročito važno za servise povezane sa zdravstvom, obrazovanjem, socijalnim pravima, finansijskim obavezama, javnim informacijama i drugim oblastima u kojima prekid rada može neposredno pogoditi građane.
U demokratskom društvu digitalna bezbednost i transparentnost nisu suprotstavljeni ciljevi. Ne treba objavljivati lozinke, konfiguracije servera ili podatke koji bi pomogli napadačima. Ali zaštita tehničkih detalja ne oslobađa institucije obaveze odgovornog odnosa prema javnosti.

Poverenje se ne gradi tvrdnjom da je sistem bezbedan. Gradi se mogućnošću da se odgovornost proveri.

Pravo javnosti da zna ne sme zavisiti od jednog servera

Globalna uzbuna zbog PHP ranjivosti nije dokaz da je bilo koji konkretan državni sistem u Srbiji kompromitovan. Nije ni dokaz organizovanog napada na domaće institucije, niti razlog za neosnovane optužbe.
Ali jeste stvaran i ozbiljan povod da se postavi pitanje koliko je digitalna infrastruktura Srbije otporna na vanredne događaje.
Država koja građane sve više upućuje na elektronske servise preuzima i odgovornost da obezbedi pouzdano funkcionisanje tih servisa, uključujući razumne rezervne postupke kada tehnologija zakaže.
Dobra vest je da se ozbiljni rizici mogu prepoznati na vreme i da preventivna zaštita može sprečiti teže posledice.
Loša vest bila bi da se upozorenje zaboravi čim poslednji privremeno isključeni sajt ponovo proradi.
Jer sledeća velika bezbednosna kriza neće nužno imati isto ime, isti uzrok ili iste posledice.

Digitalna infrastruktura nije samo mreža servera i programskog koda. Ona je deo infrastrukture poverenja između građana i institucija.

A to poverenje zahteva nešto više od povremenog ažuriranja softvera.Zahteva znanje, odgovornost, proveru i pravo javnosti da dobije istinite i blagovremene informacije.

Dokumentacija i izvori

Zvanična obaveštenja i nezavisno izveštavanje, provereni 22. oktobra 2026. Brojevi u uglastim zagradama u tekstu upućuju na: 

[1] PHP projekat (21.10.2026): Security advisory: Critical remote code execution vulnerabilities, update now
[2] The PHP Foundation (21.10.2026): Today's PHP Security Release, and How We're Strengthening PHP Security
[3] ENISA / Evropska komisija / CERT-EU / Europol (21.10.2026): Joint statement on critical PHP vulnerabilities
[4] Nacionalni CERT Republike Srbije (21.10.2026): Kritične ranjivosti u PHP-u
[5] Rojters (21.10.2026): Factbox: Websites taken offline over PHP risks
[6] Vlada Kraljevine Holandije (21.10.2026): Aantal websites Rijksoverheid preventief offline na kwetsbaarheden PHP

Napomena o granicama provere: Izvori potvrđuju ranjivosti, zvanična upozorenja i navedena preventivna isključenja. Oni sami po sebi ne potvrđuju da je bilo koji konkretan informacioni sistem u Srbiji kompromitovan.

Predlažemo da razmislite o vašoj podršci
Forumu za bezbednost i demokratiju.
Možete nas podržati na sledeće načine
DONIRAJTE ODMAH
ili na