Ukratko: PHP sigurnosna ranjivost PHP2Shell sastoji se od dvije kritične pogreške u PHP-u, temelju većine web-stranica i internetskih trgovina. Napadači preko njih bez lozinke mogu izvršavati zlonamjerni kod na web-poslužiteljima. BSI (njemački Savezni ured za informacijsku sigurnost) upozorava razinom narančasto i savjetuje: odmah ažurirati, inače pogođene poslužitelje privremeno odspojiti s mreže. Za upravu to danas znači: razjasniti odgovornost, zatražiti ažuriranje i dokaz, odlučiti o isključenju i sve dokumentirati.
Stanje u tri rečenice
PHP projekt je 21. listopada 2026. objavio ažuriranja za dvije kritične sigurnosne ranjivosti poznate pod imenom PHP2Shell. Pogođen je sam PHP, a ne određeni proizvod, dakle potencijalno svaka web-stranica, svaki shop i svaki portal koji radi s PHP-om. BSI je proglasio razinu upozorenja 3 / narančasto, sigurnosne tvrtke izvješćuju o pokušajima napada, a potvrđeni uspješni napadi u širokom opsegu prema BSI-ju u početku nisu bili poznati.
Tijela vlasti poput BKA-a (njemački Savezni ured kriminalističke policije) i nekoliko gradova prema medijskim su izvješćima preventivno isključili svoje web-stranice. To je bio oprez, a ne znak napada.
Što PHP sigurnosna ranjivost znači za upravu i tvrtku
Pitanje nije koristite li PHP. Gotovo svaka tvrtka ga negdje koristi: web-stranica, shop, portal za kandidate, područje za kupce, intranet, sustav za tikete, mikrostranica agencije. Pitanje je jesu li ti sustavi ažurni i tko je za to odgovoran.
Ako napad uspije, napadač u najgorem slučaju može preuzeti poslužitelj. Moguće posljedice su curenje podataka, manipulirani sadržaji, preusmjeravanja na prijevarne stranice, ispad shopa ili zlouporaba poslužitelja za daljnje napade. Ako bi mogli biti pogođeni osobni podaci, pridolaze obveze prijave; rok prema čl. 33. GDPR-a u pravilu iznosi 72 sata. Pojedinosti su na stranici GDPR obveza prijave. Ovo nije pravni savjet.
Koji troškovi u hitnom slučaju tipično nastaju, razvrstava članak Troškovne stavke hakerskog napada.
Gdje se PHP u tvrtkama često previđa
Glavnu web-stranicu većina ima na oku. Prije se previđaju sustavi na rubu: portal za kandidate vanjskog pružatelja, odredišna stranica iz ranije kampanje, partnersko područje za trgovce, sustav za tikete podrške, datotečni oblak na vlastitom poslužitelju ili web-sučelje mrežne pohrane. I testni sustavi agencija često su javno dostupni i rade na istom poslužitelju kao prava web-stranica.
Za upravu je pouka jednostavna: pitanje za IT ne glasi „Je li naša web-stranica zakrpana?“, nego „Jesu li svi naši sustavi s PHP-om zakrpani, i oni naših pružatelja usluga?“. Razlika između ta dva pitanja često je upravo mjesto na kojem napad uspijeva.
Što stanje nije
Jednako je važna procjena prema dolje. PHP2Shell nije razlog za aktivizam koji poslovanje ometa više nego što je potrebno. Tko je dokazano zakrpao, ponovno pokrenuo sve PHP procese i pri provjeri nije našao ništa neobično, može se vratiti redovnom radu. Privremeno isključenje je opcija za nerazjašnjene slučajeve, a ne obveza za sve.
Pet pitanja za Vaš IT ili pružatelja usluga
Ova pitanja možete postaviti već danas. Odgovori bi trebali stići pisanim putem.
- Koji naši sustavi rade s PHP-om? Popis s adresom, namjenom i operaterom.
- Je li svaki sustav zakrpan? Ispravljena verzija 8.5.12, 8.4.27, 8.3.36 ili 8.2.35, ili backport koji je potvrdio pružatelj.
- Jesu li ponovno pokrenuti svi PHP procesi? Bez ponovnog pokretanja ažuriranje ne djeluje.
- Što je sa sustavima na PHP-u 8.1 ili starijem? Za njih nema službenih ažuriranja. Kakav je plan?
- Je li provjereno je li se prije ažuriranja nešto dogodilo? Logovi od 20. listopada sigurnosno pohranjeni, tragovi traženi?
Ako Vaša web-stranica leži kod pružatelja hostinga, pomaže formalni upit. Predložak nudi vodič Zatražiti potvrdu PHP ažuriranja od pružatelja hostinga.
Odluke koje bi trebale pasti danas
| Odluka | Opcije | Osnova |
|---|---|---|
| Tko vodi? | jedna odgovorna osoba interno, vanjski partner | odgovornost mora biti nedvosmislena |
| Nezakrpani sustavi | odmah zakrpati, prijelazne mjere, privremeno isključiti | BSI-jeva preporuka, stanje podataka, važnost za promet |
| Provjera tragova | interno, vanjski, samo kod neobičnosti | potreba zaštite podataka na poslužitelju |
| Komunikacija | informirati interno, pripremiti kupce, pričekati | stanje nakon provjere |
| Naslijeđeni sustavi | planirati migraciju, izolirati, isključiti | PHP 8.1 i stariji bez službenih ažuriranja |
Zabilježite tko je kada što odlučio i na kojoj informacijskoj osnovi. Dovoljna je kratka, datirana bilješka. Ona je naknadno prema osiguravateljima, kupcima ili nadzornim tijelima često vrednija od svakog naknadnog objašnjenja.
Zašto je ta dokumentacija važna za upravu, objašnjava stranica Odgovornost uprave kod IT sigurnosnih ranjivosti. Ovo su opće informacije i nisu pravni savjet.
Čemu ne biste smjeli vjerovati
Tri tvrdnje direktori trenutačno često čuju, a sve tri su pogrešne:
- „Ažurirali smo WordPress, dakle sigurni smo.“ Ranjivost je u PHP-u, a ne u CMS-u. Ažuriranje CMS-a ne zatvara je.
- „Premali smo, nitko nas neće napasti.“ Napadi su automatizirani. Traže se ranjivi poslužitelji, a ne poznata imena.
- „Ažuriranje je instalirano, time je tema riješena.“ Zakrpa ne uklanja zlonamjerni softver koji je prethodno ubačen i ne dokazuje da se ništa nije dogodilo.
Kako PHP SOS konkretno pomaže?
- Pregled stanja za upravu: Izrađujemo kratak pregled Vaših PHP sustava sa statusom i preporukom po sustavu.
- Provedba: Zakrpamo, ponovno pokrenemo ili postavimo prijelazne mjere gdje ažuriranje još nije moguće.
- Provjera: Sigurnosno pohranjujemo logove i provjeravamo ima li tragova napada.
- Dokaz: Dobivate dokumentaciju koju možete koristiti interno i prema trećima.
Postupak opisuje PHP2Shell hitna pomoć.
Zaključak
PHP2Shell je tehnička ranjivost s upravljačkim zadatkom. Tehniku rješavaju stručnjaci. Uprava se brine da je netko odgovoran, da se na pet pitanja odgovori i da se odluke donose svjesno i dokumentiraju. To stane u jedno prijepodne, ako počne danas.
Česta pitanja
Mora li se uprava sama baviti PHP2Shellom?
Tehničkom provedbom ne, ali upravljanjem da. Uprava bi trebala osigurati da su odgovornosti jasne, da se BSI-jeva preporuka provodi i da se odluke poput privremenog isključenja donose svjesno i dokumentiraju.
Kako ranjivost objasniti u jednoj rečenici?
U PHP-u, softveru na kojem radi većina web-stranica i shopova, postoje dvije kritične pogreške putem kojih stranci bez lozinke mogu pokretati programe na poslužitelju; ažuriranje je dostupno i treba ga instalirati.
Koliko košta ne učiniti ništa?
To se ne može paušalno izraziti brojkom. Moguće posljedice uspješnog napada su zastoji, curenje podataka, obveze prijave, troškovi čišćenja i forenzike te gubitak povjerenja kupaca. Ažuriranje s provjerom u pravilu je znatno jeftinije.
Je li dovoljno da se pružatelj hostinga pobrine za to?
Kod zajedničkog hostinga ažuriranje u pravilu instalira pružatelj hostinga. Neka vam to potvrdi pisanim putem, uključujući ponovno pokretanje PHP procesa. Je li se prije ažuriranja nešto dogodilo, potvrda ne odgovara; za to je potrebna provjera web-stranice.