# Blog: PHP2Shell, sigurnost poslužitelja i hitna pomoć

> Blog o PHP2Shellu i sigurnosti poslužitelja: stanje, hosting, otkrivanje, ojačavanje, siguran razvoj, upravljanje i pomoć pri odlučivanju.

Izvor: https://phpsos.de/hr/blog/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

Procjena stanja, upute za administratore i pomoć pri odlučivanju za upravu. Razvrstano po temama, svaki članak s izvorima.

- [PHP2Shell: što je dokazano, a što nije](https://phpsos.de/hr/blog/php2shell-was-belegt-ist/): Provjera činjenica o PHP2Shellu: koje tvrdnje potječu iz primarnih izvora, koje iz medijskih izvješća i koje se tvrdnje ne mogu održati.
- [Zašto je PHP ranjivost postala poznata prije zakrpe](https://phpsos.de/hr/blog/php-luecke-vorzeitig-bekannt/): Prema izvješćima detalji o PHP2Shellu postali su javni prije isteka embarga. Objašnjavamo tijek događaja i što on znači za Vaše planiranje zakrpa.
- [Tijela vlasti isključuju web-stranice: što tvrtke iz toga uče](https://phpsos.de/hr/blog/behoerden-webseiten-offline/): Mainz, hesenska zemaljska vlada i BKA preventivno su isključili web-stranice. Što tvrtke iz toga mogu naučiti za vlastitu odluku.
- [BSI razina upozorenja narančasta: što razvrstavanje znači](https://phpsos.de/hr/blog/bsi-warnstufe-orange-erklaert/): BSI razvrstava PHP2Shell u 3 / narančasto. Što ljestvica govori, što ne govori i kako tvrtke razvrstavanje pretvaraju u odluke.
- [Što CERT-EU i CERT-Bund savjetuju o PHP2Shellu](https://phpsos.de/hr/blog/cert-eu-empfehlungen-php/): Službena tijela su složna: odmah zakrpati, inače izolirati. Uspoređujemo preporuke i pokazujemo kako izolacija izgleda u praksi.
- [Cloudflare zaštitna pravila protiv PHP2Shella: što postižu, a što ne](https://phpsos.de/hr/blog/cloudflare-waf-php2shell/): Cloudflare je rano uveo zaštitna pravila protiv PHP2Shella. Zašto pomažu, zašto ipak ne zamjenjuju PHP ažuriranje i koje postavke biste trebali provjeriti.
- [22,6 milijuna izloženih instanci: kako ispravno razumjeti brojke](https://phpsos.de/hr/blog/exponierte-instanzen-einordnen/): Unit 42, CybelAngel i drugi navode vrlo različite brojke o PHP2Shellu. Objašnjavamo što je brojano i koja brojka za Vas doista vrijedi.
- [PHP2Shell u pet minuta: brifing za upravu](https://phpsos.de/hr/blog/php2shell-briefing-geschaeftsfuehrung/): PHP sigurnosna ranjivost PHP2Shell na jednoj stranici za donositelje odluka: stanje, rizik, pet pitanja za IT i odluke za danas.
- [PHP sigurnosna ranjivost jednostavno objašnjena](https://phpsos.de/hr/blog/php-luecke-einfach-erklaert/): PHP2Shell za one koji nisu tehničari: sa slikama iz svakodnevice, malim pojmovnikom i tri tipična polazišta, što kao operater web-stranice trebate učiniti.
- [PHP2Shell: 15 pitanja korisnika hostinga](https://phpsos.de/hr/blog/fragen-von-hosting-kunden/): Vaša web-stranica je kod pružatelja hostinga, a želite znati što kod PHP2Shella morate učiniti sami? Evo 15 najčešćih pitanja s kratkim odgovorima.
- [Zašto ažuriranje WordPressa ne pomaže protiv PHP2Shella](https://phpsos.de/hr/blog/warum-wordpress-update-nicht-hilft/): Mnogi su operateri nakon naslova ažurirali WordPress i osjećaju se sigurno. Zašto to kod PHP2Shella ne vodi nikamo i što umjesto toga vrijedi.
- [PHP2Shell i Log4Shell: što ranjivosti imaju zajedničko](https://phpsos.de/hr/blog/php2shell-und-log4shell/): Mnogi PHP2Shell uspoređuju s Log4Shellom iz 2021. godine. Što usporedba nosi, gdje šepa i koje pouke iz tog vremena danas pomažu.
- [Masovna skeniranja nezakrpanog PHP-a: kako teku automatizirani napadi](https://phpsos.de/hr/blog/automatisierte-massenscans/): Nakon PHP2Shella napadači automatizirano pretražuju internet u potrazi za ranjivim poslužiteljima. Kako to teče, zašto veličina nije važna i što Vas štiti.
- [Vremenski prozor između zakrpe i napada](https://phpsos.de/hr/blog/zeitfenster-patch-angriff/): Kod PHP2Shella pokušaji napada postojali su već prije zakrpe. Objašnjavamo faze vremenskog prozora, kako izmjeriti vlastiti i kako ga skratiti.
- [Nakon PHP2Shella: zašto su daljnje objave vjerojatne](https://phpsos.de/hr/blog/weitere-php-meldungen/): PHP2Shell zakrpom od 21. listopada nije zaključen. Zašto se mogu očekivati naknadne objave i kako svoj tim pripremiti na njih.
- [PHP2Shell: pregled stanja nakon prvog tjedna](https://phpsos.de/hr/blog/lagebild-erste-woche/): Tjedan dana nakon prvog uočenog pokušaja napada: stanje zakrpa, upozorenja tijela vlasti, napada i isključenja, uredno razdvojeno po izvorima.
- [Opasni pogrešni savjeti o PHP2Shellu koji trenutačno kruže](https://phpsos.de/hr/blog/gefaehrliche-falschtipps/): Blokirati kolačiće, sakriti poruke o pogreškama, ažurirati samo CMS: devet savjeta o PHP2Shellu koji stvaraju lažnu sigurnost i što doista vrijedi.
- [Promjena PHP verzije u korisničkom području hostinga](https://phpsos.de/hr/blog/php-version-hosting-aendern/): Kako u korisničkom području svog pružatelja hostinga promijeniti PHP verziju, koju verziju odabrati i što provjeriti prije i poslije.
- [Debian i Ubuntu: je li moj PHP paket zakrpan?](https://phpsos.de/hr/blog/debian-ubuntu-paket-gepatcht/): Koje su PHP pakete Debian i Ubuntu ispravili protiv PHP2Shella, kako točno usporediti instalirano stanje i na čemu dokaz zapinje.
- [RHEL, AlmaLinux i Rocky Linux: provjera PHP zakrpe](https://phpsos.de/hr/blog/rhel-almalinux-rocky-php/): Što je Red Hat objavio o PHP2Shellu, kako na RHEL-u i njegovim derivatima dokazati stanje paketa i zašto reload nije dovoljan.
- [Repozitorij sury.org: PHP paketi iz izvora treće strane](https://phpsos.de/hr/blog/sury-repository-php/): Mnogi Debian i Ubuntu poslužitelji PHP dobivaju iz sury repozitorija. Što to znači za ažuriranja, dokaze i stare PHP verzije nakon PHP2Shella.
- [Repozitorij Remi: održavati PHP na RHEL sustavima aktualnim](https://phpsos.de/hr/blog/remi-repository-php/): Remi isporučuje aktualne PHP verzije za RHEL obitelj, kao modul ili za uporednu instalaciju. Kako provjeriti stanje nakon PHP2Shella i izbjeći zaboravljene grane.
- [Zašto php -v nakon ažuriranja prikazuje isti broj](https://phpsos.de/hr/blog/php-v-zeigt-alte-nummer/): Ažuriranje je prošlo, a php -v javlja staru verziju. Najčešće je to backport, a ne pogreška. Kako razlikovati bezopasno od stvarnih problema.
- [Dokazati CVE brojeve u changelogu paketa](https://phpsos.de/hr/blog/cve-im-changelog-nachweisen/): Tko upravi, revizorima ili osigurateljima mora dokazati PHP zakrpu, treba više od broja verzije. Evo kako unos u changelogu postaje dokaz.
- [Promjena hostera nakon sigurnosnog incidenta: na što paziti?](https://phpsos.de/hr/blog/hoster-wechseln-nach-vorfall/): Nakon incidenta želja za novim hosterom je razumljiva. Da selidba ne povuče napadača sa sobom, važni su redoslijed i izbor.
- [Više PHP verzija na jednom poslužitelju: zakrpati svaku zasebno](https://phpsos.de/hr/blog/mehrere-php-versionen-server/): Na mnogim poslužiteljima paralelno radi tri, četiri ili više PHP instalacija. Nakon PHP2Shella svaku treba pronaći, ažurirati i ponovno pokrenuti.
- [Isključiti stare PHP verzije u hosting panelu](https://phpsos.de/hr/blog/alte-php-versionen-abschalten/): PHP2Shell je dobar povod da se riješite starih PHP verzija. Postupajte u tri faze kako nijedna web-stranica ni cron posao ne bi neprimijećeno ispali.
- [Plesk: razumjeti PHP handlere (FPM, FastCGI, Apache modul)](https://phpsos.de/hr/blog/plesk-php-handler/): Koji PHP handler Plesk koristi za web-stranicu, odlučuje o izolaciji, konfiguraciji i riziku. Usporedba s obzirom na PHP2Shell.
- [CloudLinux i alt-php: što trebaju znati korisnici hostinga](https://phpsos.de/hr/blog/cloudlinux-alt-php/): Na CloudLinux poslužiteljima web-stranice često rade s vlastitim alt-php paketima. Svaka od tih verzija treba svoju zakrpu, a može je instalirati samo operater poslužitelja.
- [PHP na NAS-u, vatrozidima i uređajima: zaboravljeni sustavi](https://phpsos.de/hr/blog/php-auf-nas-und-appliances/): PHP ne koriste samo web-poslužitelji. Mogu biti pogođeni i NAS sustavi, vatrozidi i stručni uređaji s web-sučeljem. Zakrpati ih većinom može samo proizvođač, a dostupnost uređujete Vi.
- [PHP kod cloud i PaaS pružatelja: tko zakrpava runtime?](https://phpsos.de/hr/blog/paas-php-laufzeit/): Na platformskim uslugama PHP zakrpa ovisi o modelu poslovanja. Odlučujući je runtime koji se doista isporučuje, a ne lokalno okruženje ni kod aplikacije.
- [Službeni PHP Docker image-i: tagovi, digesti i ponovna izgradnja](https://phpsos.de/hr/blog/offizielle-php-docker-images/): Tag službenog PHP image-a pokazivač je koji s vremenom prelazi na nova stanja. Tko zna što znače tag, varijanta i digest, bira pravi image i može dokazati stanje zakrpe.
- [CI/CD: automatski ponovno graditi PHP image-e](https://phpsos.de/hr/blog/php-images-in-ci-neu-bauen/): Image zastarijeva i bez izmjene koda. Uz vremenski upravljane izgradnje, provjeru verzije i isporuku putem digesta PHP zakrpe pouzdano stižu u produkciju.
- [Dugoročna podrška za stare PHP verzije: opcije i granice](https://phpsos.de/hr/blog/langzeitsupport-alte-php-versionen/): Tko ne može odmah prijeći s PHP-a 8.1 ili starijeg, dugoročnu podršku nalazi kod distribucija, trećih pružatelja i komercijalnih usluga. Što ti putovi pružaju, što trebate imati pisano i gdje su granice.
- [Ažurirati PHP na Windowsu](https://phpsos.de/hr/blog/php-unter-windows-aktualisieren/): Na Windowsu nema automatskog PHP ažuriranja. Tko odabere pravu varijantu, provjeri preuzimanje i ponovno pokrene sve procese, uredno donosi PHP2Shell zakrpu na svako računalo.
- [Znak upozorenja: web-poslužitelj pokreće ljusku](https://phpsos.de/hr/blog/webserver-startet-shell/): Ako PHP-FPM ili proces web-poslužitelja pokrene ljusku, to je jedan od najjačih znakova upozorenja na provalu. Kako provjeriti stablo procesa, razvrstati iznimke i trajno nadzirati obrazac.
- [Pronaći sumnjive procese na Linux poslužiteljima](https://phpsos.de/hr/blog/verdaechtige-prozesse-linux/): Zlonamjerni procesi maskiraju se bezazlenim imenima, rade iz privremenih direktorija ili s izbrisanih datoteka. S nekoliko naredbi koje samo čitaju pronaći ćete neobičnosti i razvrstati ih.
- [Prepoznati skrivene cron poslove kao stražnja vrata](https://phpsos.de/hr/blog/cronjobs-als-hintertuer/): Napadači koriste planirane zadatke kako bi se vratili nakon čišćenja. Kako potpuno provjeriti crontabove, cron direktorije, systemd timere i at zadatke i prepoznati sumnjive unose.
- [Pronaći nedavno izmijenjene datoteke na web-poslužitelju](https://phpsos.de/hr/blog/geaenderte-dateien-finden/): Nakon moguće provale važno je što se na poslužitelju promijenilo. Kako tražiti po vremenskim prozorima, ispravno koristiti mtime i ctime te usporediti s paketima, Gitom i sigurnosnim kopijama.
- [PHP datoteke u direktoriju za prijenose: ispravno protumačiti nalaze](https://phpsos.de/hr/blog/php-dateien-im-upload-ordner/): PHP datoteka u direktoriju za prijenose gotovo je uvijek znak upozorenja, ali nije svaka zlonamjeran kod. Kako procijeniti nalaz bez uništavanja tragova i razjasniti je li je netko pozvao.
- [Prepoznati zamagljeni PHP kod](https://phpsos.de/hr/blog/verschleierter-php-code/): Nečitljiv PHP kod s eval i base64_decode klasičan je znak ubačenog zlonamjernog koda. Koje obrasce tražiti, kako ih bezopasno pronaći i kada je zamagljivanje legitimno.
- [Provjeriti odlazne veze poslužitelja](https://phpsos.de/hr/blog/ausgehende-verbindungen-pruefen/): Web-poslužitelj uglavnom odgovara na zahtjeve. Ako sam uspostavlja veze prema nepoznatim odredištima, to može značiti upravljanje od strane napadača ili odljev podataka. Kako provjeriti i ograničiti odlazni promet.
- [Pronaći tuđe administratorske račune u CMS-u i na poslužitelju](https://phpsos.de/hr/blog/fremde-admin-konten-finden/): Nepoznati administrator često su najjednostavnija stražnja vrata. Kako razinu po razinu tražiti tuđe račune, i one koje sučelje skriva.
- [Pronaći i ukloniti nepoznate SSH ključeve](https://phpsos.de/hr/blog/ssh-schluessel-pruefen/): Ubačeni SSH ključ napadačima otvara vrata čak i kad su sve lozinke promijenjene. Kako pronaći svaku datoteku authorized_keys i provjeriti svaki unos.
- [Kriptorudar na web-poslužitelju: znakovi i postupak](https://phpsos.de/hr/blog/kryptominer-auf-dem-server/): Procesor stalno pun, a posjetitelja nije više: to može biti kriptorudar. Kako provjeriti opterećenje, pronaći proces i mehanizme njegova ponovnog pokretanja te postupati uredno.
- [Poslužitelj šalje spam: pronaći uzroke](https://phpsos.de/hr/blog/server-verschickt-spam/): Nedostavljive poruke, crne liste, pritužbe: kad vlastiti poslužitelj šalje spam, iza toga uglavnom stoji skripta ili preuzet sandučić. Kako pronaći izvor.
- [SEO spam i tuđe stranice u Google indeksu](https://phpsos.de/hr/blog/seo-spam-im-google-index/): Odjednom se pod Vašom domenom rangiraju stranice o lijekovima ili robi poznatih marki. Saznajte odakle dolazi SEO spam i kako ga ukloniti iz indeksa.
- [Web-stranica preusmjerava na tuđe stranice](https://phpsos.de/hr/blog/website-leitet-um/): Posjetitelji završe na nagradnim igrama ili sumnjivim shopovima, a Vi sami ništa ne vidite? Saznajte u kojem je sloju preusmjeravanje i kako ga ukloniti.
- [Osigurajte dokaze prije nego ponovno postavite poslužitelj](https://phpsos.de/hr/blog/beweise-sichern-vor-neuinstallation/): Ponovna izgradnja uklanja napadača, ali i sve tragove. Tko prije toga uloži sat vremena u osiguranje dokaza, kasnije može reći što se dogodilo.
- [Izrada vremenske crte incidenta](https://phpsos.de/hr/blog/zeitleiste-eines-vorfalls/): Kada je napadač došao, što je učinio, kada je to primijećeno? Uredna vremenska crta odgovara na ta pitanja i temelj je za prijave, osiguranje i izvješće.
- [Usporedba jezgrenih datoteka CMS-a s originalom](https://phpsos.de/hr/blog/cms-kerndateien-vergleichen/): Usporedba s čistim originalom pokazuje svaku izmijenjenu datoteku, neovisno o tome poznaje li je skener. Evo kako postaviti usporedbu za WordPress, Composer projekte i sistemske pakete.
- [Provjera baze podataka na ubačeni kod](https://phpsos.de/hr/blog/datenbank-auf-schadcode-pruefen/): Tko provjerava samo datoteke, previđa polovicu. Evo kako pretražiti sadržaje, postavke, okidače i račune baze podataka na ubačeni kod, samo čitanjem i na kopiji.
- [Skeneri zlonamjernog softvera za web-stranice: što pronalaze, a što ne](https://phpsos.de/hr/blog/grenzen-von-malware-scannern/): Skener ne javlja ništa, pa je sve u redu? Ne nužno. Koje vrste skenera web-stranica postoje, što svaki vidi i što u načelu ne može vidjeti.
- [Izolacija PHP-FPM poolova po web-stranici](https://phpsos.de/hr/blog/php-fpm-pools-isolieren/): Zaseban pool za svaku web-stranicu početak je, a ne kraj. Evo kako provjeriti postojeće poolove i ojačati socketove, ekstenzije, status stranice, resurse i zapisnike.
- [Pravilno postaviti memory_limit](https://phpsos.de/hr/blog/memory-limit-richtig-setzen/): memory_limit ograničava memoriju po PHP zahtjevu. Nakon PHP2Shella php.net privremeno savjetuje suprotno. Što vrijedi u redovitom radu, u prijelazu i nakon ažuriranja.
- [Smisleno ograničiti post_max_size i upload_max_filesize](https://phpsos.de/hr/blog/post-max-size-upload-limits/): Granice prijenosa djeluju na tri mjesta: u web-poslužitelju, u PHP-u i u aplikaciji. Evo kako uskladiti vrijednosti, i s prijelaznim vrijednostima php.net-a za PHP2Shell.
- [Isključiti session.upload_progress: ispravno i trajno](https://phpsos.de/hr/blog/session-upload-progress-abschalten/): Zaštita od CVE-2026-115560 i jedna od prijelaznih mjera za PHP2Shell postavlja se brzo. Da bi držala, mora biti na pravom mjestu, zaključana i provjeravana nakon svakog ažuriranja.
- [expose_php i Server zaglavlje: sakriti podatke o verziji](https://phpsos.de/hr/blog/expose-php-versionsangaben/): PHP, Nginx i Apache zadano navode broj verzije u svakom odgovoru. To ne štiti od napada, ali skenerima daje zgodan popis meta. Evo kako to isključiti, a ipak zadržati pregled.
- [display_errors off: isključiti ispis pogrešaka u produkciji](https://phpsos.de/hr/blog/display-errors-produktion/): Vidljive PHP poruke o pogreškama odaju putove, nazive baza podataka i verzije. Evo kako ih isključiti u PHP-u, frameworku i web-poslužitelju, a pogreške ne ispustiti iz vida.
- [php_admin_value: zaključati postavke od nadjačavanja](https://phpsos.de/hr/blog/php-admin-value-sperren/): Sigurnosna postavka malo vrijedi ako je aplikacija jednim retkom koda ponovno promijeni. Pomoću php_admin_value i php_admin_flag vrijednosti za PHP-FPM i Apache određujete obvezujuće.
- [Postaviti granice memorije pomoću systemd-a i cgroupa](https://phpsos.de/hr/blog/speichergrenzen-systemd-cgroups/): php.net kao prijelaznu mjeru za PHP2Shell preporučuje memory_limit=-1 i granicu memorije izvan PHP-a. Evo kako tu granicu postaviti pomoću systemd-a i cgroupa, a da jedan worker ne povuče cijelu uslugu.
- [Sigurno konfigurirati Nginx za PHP](https://phpsos.de/hr/blog/nginx-fuer-php-absichern/): Većina slabosti u Nginx postavkama za PHP nije u Nginxu, nego u nekoliko redaka PHP lokacije. Evo kako predaju PHP-FPM-u konfigurirati tako da se izvršavaju samo željene skripte.
- [Sigurno konfigurirati Apache za PHP](https://phpsos.de/hr/blog/apache-fuer-php-absichern/): Apache je fleksibilan, a upravo ga to čini podložnim pogrešnoj konfiguraciji. Evo kako PHP povezati putem PHP-FPM-a, zatvoriti .htaccess kao stražnja vrata i sigurno postaviti najvažnije temeljne opcije.
- [Zabraniti izvršavanje PHP-a u mapama za prijenose](https://phpsos.de/hr/blog/php-in-uploads-verbieten/): Web shell treba dvije stvari: mapu u koju se može zapisati i poslužitelj koji je izvršava. Evo kako joj oduzeti ovo drugo, i to u svakoj zapisivoj mapi, a ne samo u uploads.
- [Filtrirati zahtjeve za prijenos na rubu: prilike i rizici](https://phpsos.de/hr/blog/upload-anfragen-am-rand-filtern/): Stručni autori predlažu da se zahtjevi za prijenos izvan pravih putova za prijenos blokiraju na proxyju dok PHP nije zakrpan. To može pomoći, ali i paralizirati obrasce i narudžbe. Evo kako postupiti kontrolirano.
- [Primijeniti ModSecurity i OWASP Core Rule Set](https://phpsos.de/hr/blog/modsecurity-owasp-crs/): Vlastiti Web Application Firewall s ModSecurityjem i OWASP Core Rule Setom besplatan je i moćan, ali ne ide sam od sebe. Evo kako odabrati engine, krenuti bez ispada i uskladiti pravila.
- [Postaviti Fail2ban za web-poslužitelje](https://phpsos.de/hr/blog/fail2ban-fuer-webserver/): Fail2ban blokira adrese koje se u zapisnicima više puta ističu. Za web-poslužitelje donosi gotove filtre, a s nekoliko redaka dodaju se vlastiti. Evo kako ga postaviti a da ne zaključate sebe ili svoje kupce.
- [Vatrozid za web-poslužitelje: otvoriti samo nužne portove](https://phpsos.de/hr/blog/firewall-fuer-webserver/): Web-poslužitelju prema van obično trebaju samo dva porta. Ipak na mnogim poslužiteljima na internetu slušaju baze podataka, PHP-FPM ili administratorska sučelja. Evo kako pronaći otvorene usluge i zatvoriti ono što se ne treba.
- [Automatska sigurnosna ažuriranja na Linux poslužiteljima](https://phpsos.de/hr/blog/automatische-sicherheitsupdates/): Prema izvješćima distribucije su PHP backportove dijelom isporučile još 21. listopada 2026., na dan zakrpa. Tko koristi automatska sigurnosna ažuriranja, imao ih je brzo na poslužitelju. Da bi i djelovala, trebaju ponovna pokretanja, izvori trećih strana i kontrola.
- [Najmanje ovlasti: prava korisnika web-poslužitelja](https://phpsos.de/hr/blog/rechte-des-webserver-benutzers/): Ubačeni kod izvršava se s pravima korisnika web-poslužitelja. Što taj račun smije, određuje koliko daleko napadač može doći. Kako ljusku, sudo, cron, bazu podataka i datotečni sustav ograničiti na nužno.
- [Odvojiti admin područja pomoću IP-a, VPN-a ili dodatne zaštite](https://phpsos.de/hr/blog/admin-bereiche-abschirmen/): Zašto backend web-stranice ne mora biti dostupan cijelom svijetu i kako ga odvojiti pomoću IP popisa, VPN-a ili prethodne prijave, a da pritom sami sebe ne isključite.
- [Ispravno konfigurirati TLS i HTTPS](https://phpsos.de/hr/blog/tls-https-richtig-konfigurieren/): Koje TLS verzije i cipher suites web-poslužitelj danas treba nuditi, na što se preporuke oslanjaju i kako provjeriti Nginx, Apache i odlazne PHP veze.
- [CIS Benchmarks i BSI moduli za web-poslužitelje](https://phpsos.de/hr/blog/cis-benchmarks-bsi-bausteine/): Koji standardi ojačavanja postoje za Linux web-poslužitelje, po čemu se razlikuju CIS Benchmarks i moduli IT-Grundschutza te kako od njih napraviti provjerljivu osnovu za Vaše PHP poslužitelje.
- [Sigurno spremati lozinke u PHP-u: ispravna primjena password_hash](https://phpsos.de/hr/blog/passwoerter-in-php-speichern/): Kako razvojni inženjeri u PHP-u spremaju lozinke pomoću password_hash i password_verify, biraju odgovarajući postupak i zamjenjuju stare MD5 ili SHA-1 hashove bez resetiranja lozinke svim korisnicima.
- [CSRF zaštita u PHP aplikacijama](https://phpsos.de/hr/blog/csrf-schutz-php/): Kako razvojni inženjeri u PHP aplikacijama sprječavaju Cross-Site Request Forgery: tokeni za svaki zahtjev koji mijenja podatke, provjera podrijetla u zaglavlju i SameSite kolačići kao dodatni sloj.
- [Validirati i filtrirati unos u PHP-u pomoću filter_var](https://phpsos.de/hr/blog/eingaben-validieren-php/): Kako razvojni inženjeri provjeravaju unos u PHP-u pomoću filter_var, filter_input_array i popisa dopuštenog, koji su filtri zastarjeli i zašto validacija ne zamjenjuje Prepared Statements i kodiranje izlaza.
- [Spriječiti Command Injection u PHP-u](https://phpsos.de/hr/blog/command-injection-php/): Kako razvojni inženjeri izbjegavaju Command Injection u PHP-u: sistemske naredbe zamijeniti PHP funkcijama, koristiti proc_open bez ljuske, provjeravati argumente i pronaći opasna mjesta u postojećem kodu.
- [Spriječiti Server-Side Request Forgery (SSRF) u PHP-u](https://phpsos.de/hr/blog/ssrf-in-php/): Kako razvojni inženjeri sprječavaju da PHP aplikacija u tuđe ime ispituje interne sustave: popisi dopuštenog, ograničenje protokola, provjera razriješene adrese i granice u mreži.
- [Spriječiti XML External Entities (XXE) u PHP-u](https://phpsos.de/hr/blog/xxe-in-php/): Kako razvojni inženjeri sigurno obrađuju XML u PHP-u: zadano ponašanje libxml-a, rizične opcije poput LIBXML_NOENT, zaštita pomoću Entity Loadera i LIBXML_NO_XXE te tipični skriveni XML ulazi.
- [Type Juggling u PHP-u: labave usporedbe kao sigurnosni rizik](https://phpsos.de/hr/blog/type-juggling-php/): Zašto labave usporedbe pomoću == u PHP-u mogu dovesti do sigurnosnih ranjivosti, što se promijenilo s PHP-om 8.0 i kako robusno pisati usporedbe u prijavama, tokenima i ovlastima.
- [Sigurni slučajni brojevi i tokeni u PHP-u pomoću random_bytes](https://phpsos.de/hr/blog/sichere-tokens-php/): Kako razvojni inženjeri u PHP-u stvaraju tokene za poveznice za lozinke, API ključeve i jednokratne kodove: kriptografski sigurni izvori, dovoljna duljina, spremanje kao hash i ograničena valjanost.
- [Ispravno zaštititi pristupne podatke i .env datoteke](https://phpsos.de/hr/blog/env-dateien-schuetzen/): Kako u PHP projektima zaštititi lozinke baza podataka, API ključeve i druge tajne: .env datoteke izvan webroota, blokade u web-poslužitelju, uska prava i uredna zamjena nakon incidenta.
- [Javni .git direktorij: podcijenjeno curenje podataka](https://phpsos.de/hr/blog/git-ordner-oeffentlich/): Zašto webroot isporučen putem Gita može otkriti cijeli izvorni kod zajedno s poviješću, kako to provjeriti, odmah blokirati i trajno izgraditi isporuku bez .git direktorija.
- [Sigurnosne kopije u webrootu: .zip, .sql i .bak](https://phpsos.de/hr/blog/backup-dateien-im-webroot/): Zašto dumpovi baza podataka, arhive i sigurnosne kopije u javnom direktoriju spadaju među najčešća curenja podataka, kako ih pronaći, blokirati i razjasniti jesu li dohvaćene.
- [phpinfo() datoteke: zašto moraju nestati](https://phpsos.de/hr/blog/phpinfo-dateien-entfernen/): Nakon PHP2Shella mnogi administratori brzo stvore info.php. Zašto su takve datoteke curenje podataka, kako ih pronaći i koji su bolji putovi provjere.
- [Održavati ovisnosti ažurnima: Composer, npm i dodaci](https://phpsos.de/hr/blog/abhaengigkeiten-aktuell-halten/): Projekt se sastoji od triju svjetova paketa: Composera, npm-a i CMS dodataka. Kako sve tri održavati ažurnima s fiksnim ritmom, jasnom odgovornošću i testovima.
- [Sigurnosni code review za PHP projekte](https://phpsos.de/hr/blog/sicherheits-code-review-php/): Kako timovi ciljano pregledavaju vlastiti PHP kod u potrazi za sigurnosnim ranjivostima: vrste reviewa, kritične funkcije, smisleni alati i kontrolni popis.
- [Sigurno logirati: bilježiti pogreške bez curenja podataka](https://phpsos.de/hr/blog/sicher-loggen-php/): Zapisnici pomažu pri traženju pogrešaka i forenzici, ali brzo i sami postaju curenje podataka. Što PHP aplikacije trebaju bilježiti, što nikad i kako zaštititi zapisnike.
- [Osigurati REST API-je u PHP-u](https://phpsos.de/hr/blog/rest-api-php-absichern/): Sučelja su često slabije zaštićena od web-stranice ispred njih. Najvažnija pravila za REST API-je u PHP-u, od ovlasti po objektu do ograničenja stope.
- [Ugovori s IT pružateljima usluga: jasno urediti sigurnosne obveze](https://phpsos.de/hr/blog/dienstleistervertrag-sicherheit/): PHP2Shell je pokazao koliko je često nejasno tko mora zakrpati. Koje sigurnosne obveze pripadaju u ugovore s agencijom, hosterom i IT pružateljem usluga.
- [Obrada podataka u ime voditelja kad pružatelji pristupaju poslužitelju](https://phpsos.de/hr/blog/auftragsverarbeitung-serverzugriff/): Tko vanjske osobe pušta na poslužitelje s podacima kupaca, obično treba ugovor o obradi (AVV). Što traži čl. 28. GDPR-a i kako pristupe u hitnom slučaju organizirati u skladu sa zaštitom podataka.
- [Upravljanje ranjivostima za srednje tvrtke](https://phpsos.de/hr/blog/schwachstellenmanagement-mittelstand/): Nijedna srednja tvrtka ne može odmah obraditi svaku obavijest. Uredan krug od evidentiranja, procjene, odluke i dokaza osigurava da se najvažnije napravi prvo.
- [Znati što radi: popis svih web-stranica i poslužitelja](https://phpsos.de/hr/blog/inventar-websites-server/): Kod PHP2Shella mnogi nisu zapeli na zakrpi, nego na pitanju gdje se uopće izvodi PHP. Ovako izgradite popis svih web-stranica i poslužitelja.
- [Upravljanje zakrpama kao proces umjesto gašenja požara](https://phpsos.de/hr/blog/patch-management-prozess/): Tko zakrpe instalira tek kad gori, u kritičnom trenutku gubi vrijeme. Kako proces s čvrstim klasama, prozorima i dokazima povezuje rutinu i hitni slučaj.
- [Kontakti za hitne slučajeve: tko se i kada mora obavijestiti?](https://phpsos.de/hr/blog/notfallkontakte-liste/): U kritičnom trenutku važno je koga dosegnete i kada. Kako izgraditi popis IT kontakata za hitne slučajeve s okidačima, zamjenama i podacima koje svaki poziv treba.
- [Koliko košta hakirani poslužitelj: stavke troškova](https://phpsos.de/hr/blog/kostenposten-eines-hacks/): Hakirani web-poslužitelj uzrokuje više troškova od samog popravka. Koje se stavke javljaju i kako vlastitim brojkama obrazložiti proračun za prevenciju.
- [Obavještavanje klijenata nakon incidenta](https://phpsos.de/hr/blog/kunden-nach-vorfall-informieren/): Bilo obveza ili dobrovoljno: kako nakon incidenta odlučiti koga obavijestiti, koji su kanali sigurni i kako pripremiti korisničku službu.
- [Lanac opskrbe na webu: agencija, pružatelj hostinga, proizvođač dodataka](https://phpsos.de/hr/blog/lieferkette-agentur-hoster/): PHP2Shell je pokazao koliko karika leži između zakrpe i Vaše web-stranice. Kako upoznati lanac opskrbe svoje web-stranice, osigurati ga i amortizirati ispad pojedinih karika.
- [Sigurnosna svijest administratora i urednika: security awareness u web timu](https://phpsos.de/hr/blog/sicherheitsbewusstsein-redaktion/): Tko održava web-stranice, svaki dan odlučuje o sigurnosti, često a da to ne primijeti. Kako obučiti administratore i urednike prema ulozi i bez bitke prezentacijama.
- [Vježba hitnog slučaja za stolom: proći incident web-poslužitelja](https://phpsos.de/hr/blog/notfalluebung-am-tisch/): Vježba za stolom košta jedno poslijepodne i pokazuje drži li Vaš plan za hitne slučajeve. Ovdje je gotov scenarij za incident na PHP web-poslužitelju.
- [ISO 27001 i TISAX: što se tiče web-poslužitelja](https://phpsos.de/hr/blog/iso-27001-tisax-webserver/): Tko vodi ISMS prema ISO 27001 ili ima TISAX oznaku, mora misliti i na web-poslužitelje. Ovdje stoji koje zahtjeve dotiču i koji dokazi nakon PHP2Shella vrijede.
- [VdS 10000: informacijska sigurnost za mala i srednja poduzeća](https://phpsos.de/hr/blog/vds-10000-kmu/): VdS 10000 je vitak okvir za informacijsku sigurnost u srednjim tvrtkama. Što traži, što je novo 2025. i što to znači za web-stranice i web-poslužitelje.
- [Lessons learned: postati bolji nakon incidenta](https://phpsos.de/hr/blog/lessons-learned-nach-vorfall/): Nakon incidenta je prije sljedećeg. Strukturiran razgovor bez traženja krivaca od lošeg tjedna čini mjerljiv napredak.
- [Zakrpati, isključiti ili čekati? Pomoć pri odlučivanju kod PHP ranjivosti](https://phpsos.de/hr/blog/patchen-abschalten-abwarten/): Kod kritične PHP ranjivosti odgovorni moraju brzo odlučiti. Ova pomoć razvrstava tri opcije, navodi kriterije i pokazuje kada je čekanje opravdano.
- [WAF ili ažuriranje: zašto Vam treba oboje](https://phpsos.de/hr/blog/waf-oder-update/): Web aplikacijski vatrozid može zaustaviti napade, ali ne zatvara ranjivost u PHP interpreteru. Kada WAF pomaže, gdje završava i kako ih smisleno kombinirati.
- [Ponovno postaviti poslužitelj ili očistiti? Odluka nakon zaraze](https://phpsos.de/hr/blog/neu-aufsetzen-oder-bereinigen/): Nakon provale otvorena su dva puta: poslužitelj očistiti ili ga iznova izgraditi. Koji kriteriji odlučuju i zašto je redoslijed važniji od izbora.
- [Riješiti sami ili dovesti pružatelja usluga? Iskreno odvagivanje](https://phpsos.de/hr/blog/selbst-beheben-oder-dienstleister/): Ne treba svaka sigurnosna situacija vanjsku pomoć. S ovim kriterijima i kratkim samotestom odlučujete hoće li Vaš tim PHP2Shell svladati sam ili treba podršku.
- [Odabir pružatelja usluga IT sigurnosti: 12 pitanja prije narudžbe](https://phpsos.de/hr/blog/sicherheitsdienstleister-auswaehlen/): Pod vremenskim pritiskom teško je pronaći dobrog pružatelja usluga sigurnosti. Ovih dvanaest pitanja pomaže stvarno usporediti ponude, a da ne nasjednete na reklamna obećanja.
- [Upravljani hosting ili vlastiti poslužitelj? Usporedba sigurnosti](https://phpsos.de/hr/blog/managed-oder-eigener-server/): PHP2Shell je bio test izdržljivosti za svaki model rada. Usporedba pokazuje kada je upravljani hosting sigurniji, kada vlastiti poslužitelj i koji se mješoviti oblici pokazuju dobrima.
- [PHP nadogradnja ili backport? Odluka za stare sustave](https://phpsos.de/hr/blog/php-upgrade-oder-backport/): Za stare verzije PHP-a nakon PHP2Shella postoji više putova: backport distribucije, izvor treće strane, zakrpa izvornog koda, dugoročna podrška ili nadogradnja. Što vrijedi svaki put i koliko dugo drži.
- [Promijeniti CMS nakon hakiranja? Kada pomaže, a kada ne](https://phpsos.de/hr/blog/cms-wechsel-nach-hack/): Nakon provale povjerenje u CMS je često nestalo. No novi sustav rijetko rješava stvarni uzrok. Kada je promjena smislena i kako uredno uspijeva.
- [Statične web-stranice: manje PHP-a, manja napadna površina](https://phpsos.de/hr/blog/statische-website-alternative/): Statična web-stranica isporučuje gotove HTML datoteke i ne treba PHP na poslužitelju. To znatno smanjuje napadnu površinu, ali donosi vlastite granice i obveze.
- [Pentest, bug bounty ili skeniranje ranjivosti? Odabir prikladnog postupka provjere](https://phpsos.de/hr/blog/pentest-bugbounty-scan/): Skeniranje, penetracijski test i bug bounty provjeravaju web-stranice na posve različite načine. Što svaki postupak može, gdje zakazuje i koji redoslijed odgovara Vašoj tvrtki.