Ukratko: U dokazane činjenice o PHP2Shellu spadaju oba CVE broja, ocjena CVSS v4.0 9.2, ispravljene PHP verzije i prijelazne mjere s php.net. Dokazana je i razina upozorenja narančasta koju je izdao BSI (njemački Savezni ured za informacijsku sigurnost). Nisu dokazani ocjena CVSS 10, potvrđeni uspješni napadi u širokom opsegu ni popis obilježja za prepoznavanje. Tko ove tri razine drži odvojenima, donosi bolje odluke.
Zašto je provjera činjenica o PHP2Shellu potrebna
Gotovo nijedna sigurnosna ranjivost posljednjih godina nije tako brzo izazvala toliko naslova. Već prije nego što je PHP tim 21. listopada 2026. objavio ažuriranja, prema izvješćima su kružile objave na forumima, snimke zaslona i navodni detalji. Potom su uslijedila upozorenja tijela vlasti, blogovi proizvođača, brojanja izloženih poslužitelja i poplava savjeta.
Za operatere to znači: nije svaki broj ni svaki savjet jednake kvalitete. Dio potječe iz primarnih izvora, dio iz ozbiljnog novinarskog izvještavanja, a dio iz nagađanja. Ovaj članak razvrstava što možete pouzdano koristiti pri svojim odlukama. Osnove same ranjivosti objašnjava stranica Što je PHP2Shell?.
Koji izvor ima koju težinu
Jednostavna ljestvica pomaže pri čitanju svake objave:
- php.net: PHP projekt je primarni izvor za CVE brojeve, ocjene, pogođene načine rada, ispravljene verzije i prijelazne mjere. Kako projekt općenito postupa sa sigurnosnim objavama, opisuje naš članak o PHP-ovu sigurnosnom procesu.
- Tijela vlasti: BSI daje procjenu stanja u Njemačkoj i preporuke za postupanje, a CERT-EU i CERT-Bund (njemački državni CERT) ih nadopunjuju.
- Distribucije i pružatelji usluga: Debian, Ubuntu, Red Hat, pružatelji hostinga i platformske usluge obvezujuće govore samo o vlastitim paketima i uslugama.
- Sigurnosne tvrtke: Cloudflare, Unit 42, CybelAngel i drugi izvještavaju na temelju vlastitih mjerenja. Vrijedno, ali svaki s vlastitom metodom.
- Mediji i društvene mreže: Dobri za brzinu, slabi u detaljima. Tvrdnje odande trebaju potvrdu s višeg mjesta ljestvice.
Dokazano, prenošeno, nedokazano: pregled
Sljedeća tablica razvrstava najčešće tvrdnje. „Dokazano“ znači: primarni izvor ili tijelo vlasti. „Prenošeno“ znači: iz medija ili podataka proizvođača, neovisno nepotvrđeno.
| Tvrdnja | Razvrstavanje | Osnova |
|---|---|---|
| Dvije ranjivosti, CVE-2026-109618 i CVE-2026-109619 | dokazano | php.net |
| Ocjena CVSS v4.0 9.2, kritično | dokazano | php.net |
| Ocjena CVSS 10 | neodrživo | prema izvješćima iz objave na forumu prije službene objave |
| Ispravljeno u 8.5.12, 8.4.27, 8.3.36, 8.2.35 | dokazano | php.net |
| mod_php s najvišim rizikom, exploit pokazan prije koda aplikacije | dokazano | php.net |
| Pogođene gotovo sve verzije do PHP-a 5.4 | prenošeno | stručni tisak |
| Prvi pokušaj napada 17.10. | prenošeno | medijska izvješća pozivajući se na Amazon |
| Više od 22,6 mil. izloženih instanci | prenošeno | Unit 42, prema TechTargetu |
| Uspješni napadi u širokom opsegu | nedokazano | prema BSI-ju u početku nisu bili poznati |
| Potvrđeni Indicators of Compromise | ne postoje | nema objave |
| Prijelazne mjere štite u potpunosti | pogrešno | php.net ih izričito naziva nepotpunima |
Upadljivo je koliko se rano brojke osamostale. Ocjena 10.0 iz objave na forumu pojavljivala se u člancima i danima poslije, iako je PHP tim već odavno objavio 9.2.
Gdje je nesigurnost doista
Najveće otvoreno pitanje nije tehničko nego vremensko: što se dogodilo između prvog prijavljenog pokušaja napada i zakrpe na pojedinim poslužiteljima? Na to nema općeg odgovora. Cloudflare i Patchstack izvijestili su o pokušajima napada, a watchTowr je CVE-2026-109618 prema vlastitim navodima reproducirao. Huntress pak u trenutku svoje objave nije vidio napade u okruženjima partnera.
Te se tvrdnje ne proturječe. Opisuju različite isječke: veliku proxy-uslugu, tvrtku za sigurnost dodataka, istraživački tim i tvrtku s vlastitom bazom korisnika. Cjelovita slika iz toga ne proizlazi.
Slično je s pitanjem koje su verzije pogođene. Za 8.2 do 8.5 stanje je jasno. Za starije grane postoje minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1, ali ne i službena izdanja. Što je starije od toga, prema stručnom tisku gotovo je u cijelosti pogođeno. Za vaše planiranje to jedva mijenja stvar: poslužitelj s PHP-om 8.1 ili starijim bez potvrđenog backporta treba tretirati kao ugrožen.
Nedostatak dokaza o napadima nije dokaz sigurnosti. Budući da nema potvrđenih obilježja za prepoznavanje, napad na pojedinačni poslužitelj može se procijeniti samo provjerom ponašanja, a ne popisom.
Što iz toga izvesti za svoje poslužitelje
Iz dokazanih činjenica proizlazi nekoliko jasnih koraka. Iz nedokazanih proizlazi prije svega oprez.
- Provjeriti razinu zakrpe: ispravljena verzija ili backport koji je potvrdio pružatelj. Sam prikazani broj verzije nije dovoljan.
- Ponovno pokrenuti sve PHP procese: Nove datoteke djeluju tek kad više ne rade stari procesi.
- Sigurnosno pohraniti logove od 20.10.: Stručni tisak to preporučuje kako bi kasnija provjera ostala moguća.
- Provjeriti ima li tragova: nove PHP datoteke u mapama za upload, nepoznati cron poslovi, procesi web-poslužitelja sa shellom. Stranica Jesam li već kompromitiran? vodi kroz provjeru.
- Savjete provjeriti drugim izvorima: savjete s foruma i društvenih mreža provodite samo ako se mogu pratiti do php.net-a ili tijela vlasti. Koje preporuke trenutačno štete, skuplja članak Opasni pogrešni savjeti o PHP2Shellu.
Isto razdvajanje pomaže i u internoj komunikaciji. Tko upravi odvojeno iznese „dokazano“, „prenošeno“ i „otvoreno“, izbjegava i alarmizam i lažno smirivanje.
Kako PHP SOS konkretno pomaže?
- Stanje za Vaše sustave: Dokazane činjenice primjenjujemo na Vaše poslužitelje, a u dokumentaciji odvajamo što je izmjereno, što je prenošeno i što je otvoreno.
- Zakrpa i dokaz: Provjeravamo stanje paketa i ponovno pokretanje svake PHP usluge te to bilježimo pisanim putem.
- Provjera tragova: Sigurnosno pohranjujemo logove od 20. listopada i tražimo neobično ponašanje, dok incident nije zaključen i dokumentiran.
- Stalna procjena: Nove objave procjenjujemo za Vas prije nego što iz njih nastanu mjere.
Postupak opisuje PHP2Shell hitna pomoć.
Zaključak
PHP2Shell je ozbiljan i to je dobro dokazano. Upravo zato vrijedi trezven pogled: primarni izvori dostatni su za sve važne odluke. Ono što kruži povrh toga često je brže nego točno. Zakrpati, ponovno pokrenuti, sigurnosno pohraniti logove i provjeriti tragove ostaje odgovor, bez obzira na to koja se brojka trenutačno prenosi.
Česta pitanja
Je li PHP2Shell ocijenjen s CVSS 10?
Ne. Broj 10 prema izvješćima potječe iz objave na forumu koja je kružila prije službene objave. PHP tim obje ranjivosti ocjenjuje s CVSS v4.0 9.2. To je i dalje kategorija kritično.
Postoji li popis obilježja za prepoznavanje PHP2Shell napada?
Za sada ne. Nema objavljenih, potvrđenih Indicators of Compromise. Tko želi provjeriti je li poslužitelj bio pogođen, mora paziti na neobično ponašanje, primjerice procese web-poslužitelja koji pokreću shell ili nove PHP datoteke u mapama za upload.
Koji je izvor za PHP2Shell najpouzdaniji?
Za tehničke činjenice objave na php.net, a za procjenu stanja u Njemačkoj BSI. Medijska izvješća i blogovi proizvođača nadopunjuju sliku, ali ih treba označiti kao izvješća i čitati uz primarni izvor.
Jesu li doista pogođene sve PHP verzije od PHP-a 5?
Stanje je dokazano za grane 8.2 do 8.5, za koje postoje ažuriranja. Prema stručnom tisku pogođene su gotovo sve verzije do PHP-a 5.4; CERT-EU je prema izvješćima smatrao mogućima verzije od PHP-a 5. Za starije verzije nema službenih ažuriranja, zato ih u svakom slučaju tretirajte kao ugrožene.