Kaj je PHP in zakaj poganja velik del spleta

Zanima me samo, da spletna stran deluje. Toda za velikim delom svetovnega spleta stoji programski jezik, ki je star že več kot tri desetletja. To je PHP.

Pred kratkim smo vsi spoznali, kaj se zgodi, če so v PHP-ju zaznane ranljivosti. Cel svet začne noreti in povsem upravičeno, kajti dve kritični ranljivosti v PHP-ju bi lahko napadalcem omogočili izvajanje zlonamerne kode na oddaljenih strežnikih brez predhodne prijave. Razvijalci so sicer takoj ukrepali, ampak mogoče je zdaj pravi čas za pogovor, kaj sploh je PHP, zakaj je tako stara tehnologija še vedno tako prevladujoča in kako je mogoče, da lahko napaka v enem programskem jeziku ogrozi svetovni splet.

Kaj je PHP in kaj pomeni njegovo ime?

PHP je programski jezik, namenjen predvsem izdelavi spletnih strani in spletnih aplikacij. Ime je kratica za PHP Hypertext Preprocessor, prvotno pa je pomenila Personal Home Page, torej osebna domača stran. Že iz tega se vidi, da je jezik zrasel iz povsem praktične potrebe po tem, da bi bile spletne strani bolj žive kot navaden statičen zapis.

Začetki jezika segajo v leto 1994, ko je dansko-kanadski programer Rasmus Lerdorf razvijal preprosta orodja za spremljanje obiskov svoje osebne spletne strani. Iz teh orodij je postopoma nastal programski jezik, ki je postal eden ključnih gradnikov svetovnega spleta.

PHP spada med skriptne jezike. To pomeni, da kode ne prevedemo vnaprej v samostojen program, temveč jo ob vsaki zahtevi prebere in izvede posebna storitev, ki ji pravimo tolmač. Programerju je tako prihranjeno marsikaj, kar morajo početi uporabniki strožjih jezikov, zato je PHP zelo prijazen do začetnikov. Je tudi odprtokoden, kar pomeni, da je njegova izvorna koda javno dostopna, jezik pa lahko brezplačno uporablja in izboljšuje vsak.

Po podatkih raziskovalne družbe W3Techs je bil PHP 21. oktobra 2026 prisoten na približno 69,3 % spletnih mest, pri katerih je bilo mogoče prepoznati uporabljeni strežniški programski jezik. To ne pomeni 69,3 % celotnega interneta, vendar dovolj nazorno kaže njegovo razširjenost.

Kako PHP deluje?

Ključna beseda je strežniška plat. Ko v brskalniku odprem spletno stran, brskalnik pošlje zahtevo strežniku, torej računalniku, ki stran hrani in jo postreže obiskovalcu. Če je stran napisana v PHP-ju, strežnik kodo najprej preda tolmaču. Ta jo izvede, po potrebi prebere podatke iz podatkovne zbirke, sestavi končno stran v jeziku HTML in jo pošlje nazaj brskalniku. HTML je jezik, v katerem so zapisane vse spletne strani, brskalnik pa ga zna prikazati kot besedilo, slike in gumbe. CSS je tisti, ki določa njen videz, JavaScript pa omogoča interaktivnost, kot so odzivanje na klike, odpiranje menijev in posodabljanje vsebine.

Obiskovalec zato nikoli ne vidi same PHP kode, ampak samo rezultat. To je pomembno tudi z vidika varnosti, saj so v kodi pogosto zapisani podatki za dostop do podatkovne zbirke. Če napadalec pride do kode, pride tudi do teh podatkov.

PHP kodo v navadno spletno stran vstavimo med oznaki <?php in ?>. Vse, kar je znotraj njiju, izvede tolmač, vse ostalo pa ostane nespremenjeno. Prav ta preprostost je bila v devetdesetih letih eden glavnih razlogov za hitro širitev jezika.

Pogosto slišimo tudi kratico LAMP. Označuje klasično kombinacijo operacijskega sistema Linux, spletnega strežnika Apache, podatkovne zbirke MySQL in jezika PHP. Gre za sklop brezplačnih orodij, ki je desetletja poganjal ogromen del spleta in ga marsikje poganja še danes.

PHP ni samo jezik za preproste spletne strani

Čeprav PHP izvira iz obdobja precej preprostejšega spleta, njegove današnje zmogljivosti močno presegajo začetni namen. Z njim je mogoče razvijati spletne trgovine, poslovne aplikacije, uporabniške portale, rezervacijske sisteme in programske vmesnike za izmenjavo podatkov med različnimi storitvami.

Sodobni PHP podpira objektno usmerjeno programiranje. Programer lahko programsko logiko razdeli na razrede in objekte, ki predstavljajo posamezne sestavne dele aplikacije. Podpira tudi določanje podatkovnih tipov, izjeme za obravnavanje napak in številne druge mehanizme, ki omogočajo bolj urejeno in predvidljivo programsko kodo.

Programerju ni treba vseh funkcij razvijati od začetka. Na voljo so programska ogrodja, kot sta Laravel in Symfony, ki poenostavljata razvoj zahtevnejših aplikacij. Pomembno vlogo ima tudi Composer, upravljalnik programskih odvisnosti. Z njim lahko razvijalci vključujejo že pripravljene knjižnice in nadzorujejo njihove različice.

Brez podatkovnih zbirk bi bila njegova uporabnost precej manjša

Ena ključnih nalog PHP-ja je povezovanje spletnih aplikacij s podatkovnimi zbirkami. Ko se prijavim v spletno trgovino, mora sistem preveriti moj uporabniški račun. Ko oddam naročilo, mora shraniti izbrane izdelke, naslov za dostavo in podatke o naročilu.PHP lahko pri tem sodeluje s sistemi, kot so MySQL, MariaDB, PostgreSQL in SQLite.

Za dostop do podatkovnih zbirk je med drugim na voljo PDO oziroma PHP Data Objects. Gre za programski vmesnik, ki omogoča delo z različnimi podatkovnimi sistemi. Pri tem mora razvijalec posebej paziti na varnost.

Če aplikacija uporabniški vnos nepremišljeno vstavi v ukaz za podatkovno zbirko, lahko nastane ranljivost, imenovana vrivanje ukazov SQL. SQL je standardiziran jezik za delo z relacijskimi podatkovnimi zbirkami. Napadalec lahko takšno napako izkoristi za nepooblaščeno branje ali spreminjanje podatkov.

Priporočena zaščita je uporaba pripravljenih poizvedb, pri katerih se podatki uporabnika obravnavajo ločeno od samega ukaza.

Zakaj je PHP tako tesno povezan z WordPressom?

Najboljši primer njegove razširjenosti je WordPress, eden najbolj uporabljanih sistemov za upravljanje spletnih vsebin. WordPress temelji na PHP-ju in podatkovni zbirki. Ko urednik objavi članek, se njegova vsebina shrani v zbirko podatkov. PHP nato skrbi za pridobivanje vsebine, preverjanje uporabniških pravic in pripravo strani, ki jo vidi obiskovalec.

Podobno velja za sistema Drupal in Joomla, na PHP-ju pa stoji tudi spletna trgovina WooCommerce ter programska oprema MediaWiki, ki poganja Wikipedijo. PHP omogoča tudi delovanje razširitev, uporabniških računov, obrazcev, spletnih trgovin in številnih uredniških funkcij. Vendar je treba razlikovati med ranljivostmi samega PHP-ja, napakami v WordPressu in težavami posameznih vtičnikov.

Posodobitev WordPressa še ne pomeni, da je posodobljen tudi PHP na strežniku. Gre za različni programski plasti, ki zahtevata ločeno vzdrževanje. To razliko pogosto spregledajo predvsem manj zahtevni uporabniki, ki upravljanje strežnika prepuščajo ponudniku gostovanja.

Kaj sta razkrili zadnji kritični ranljivosti?

Varnostni opozorili z oznakama CVE-2026-109618 in CVE-2026-109619 sta posebej resni, ker se nanašata na notranje delovanje PHP-ja. CVE je standardizirana mednarodna oznaka za javno znano varnostno ranljivost. Obe napaki sta prejeli oceno 9,2 po sistemu CVSS, ki ocenjuje resnost varnostnih pomanjkljivosti na lestvici do 10.

Prva ranljivost je povezana z nepravilnim ravnanjem s pomnilnikom, kadar med obdelavo zahteve zmanjka razpoložljivega pomnilnika. Druga nastane zaradi uporabe notranjih podatkov, povezanih s prejšnjo zahtevo, potem ko je bil njihov pomnilnik že sproščen. V določenih okoliščinah lahko napadalec takšno napako izkoristi za oddaljeno izvajanje programske kode brez prijave v aplikacijo.

Pri PHP-ju posebej opozarjajo na uporabo mod_php, kjer je bil prikazan napad, ki se lahko sproži še pred izvajanjem programske kode spletne aplikacije. To pomeni, da tudi pravilno napisana spletna stran ni nujno zaščitena, če uporablja ranljivo različico samega PHP-ja.

Bo PHP zaradi ranljivosti izgubil svoj dominanten položaj?

PHP ni niti čudežno orodje niti zaničevanja vredna relikvija. Je zrel, hiter in zelo razširjen jezik, ki je zaradi svoje preprostosti odprl vrata spletnemu programiranju nepreštetim ljudem. Prav ta razširjenost pa je njegova ahilova peta, saj se vsaka resna napaka takoj pozna na veliki površini spleta. Za bralce, ki upravljajo lastno spletno stran ali trgovino, je zato najpomembnejše sporočilo preprosto. Posodabljajte redno in ne čakajte na prvi napad.