Ukratko: Angažirati pružatelja usluga IT sigurnosti isplati se ako postoje znakovi provale, rade stare verzije PHP-a bez službenog ažuriranja, interno nedostaju vrijeme ili stručnost ili su dotaknuta pravna pitanja. Ako je Vaša web-stranica kod pružatelja hostinga koji pisano potvrđuje zakrpu i ponovno pokretanje, ili Vaš vlastiti IT može podržano stanje PHP-a sam ažurirati i provjeriti, za PHP2Shell Vam često nije potrebna vanjska pomoć.
Pitanje koje si sada mnogi postavljaju
U tjednu nakon 21. 10. 2026. mnoge su tvrtke prvi put pobliže pogledale tko zapravo održava njihove web-poslužitelje. Rezultat je često bio otrežnjujući: agencija je nadležna za sadržaje, pružatelj hostinga za hardver, a verziju PHP-a na starom vServeru nitko točno ne zna.
Istodobno vrijedi: ne treba svakoj tvrtki u ovoj situaciji pružatelj usluga sigurnosti. Tko iskreno provjeri što može interno, štedi novac i zadržava kontrolu. Tko se precjenjuje, riskira da provala ostane neotkrivena. Ovaj članak pomaže pri razvrstavanju a da Vam ne želi prodati ono što Vam ne treba.
Riješiti sami ili angažirati pružatelja usluga IT sigurnosti: kriteriji
| Kriterij | Riješiti sami | Angažirati pružatelja usluga |
|---|---|---|
| Model hostinga | Zajednički hosting ili upravljani s potvrđenom zakrpom | Vlastiti poslužitelj bez održavanja, nejasna odgovornost |
| Verzija PHP-a | 8.2 do 8.5, dostupno službeno ažuriranje ili backport distribucije | 8.1 ili starija, samo backportovi izvornog koda ili izvori trećih strana |
| Broj sustava | Jedna ili nekoliko web-stranica, dobro dokumentiranih | Mnogo poslužitelja, mješovita okruženja, kontejneri |
| Interna stručnost | Administrator s pravima na poslužitelju, iskustvom s upravljanjem paketima i ponovnim pokretanjima | Nema nikoga s pristupom ili iskustvom |
| Znakovi provale | Nema neobičnosti nakon provjere | Nepoznate datoteke, procesi, računi ili veze |
| Osobni podaci | Nema osjetljivih podataka na sustavu | Podaci o klijentima, zdravlju ili plaćanju |
| Osiguranje i obveze prijave | Bez dodira | Osiguratelj ili zaštita podataka moraju biti uključeni |
| Potreba za dokazom | Dovoljna je interna bilješka | Potrebno izvješće za upravu, audit ili osiguratelja |
Ako se u Vašoj situaciji odnosi više redaka u desnom stupcu, mnogo govori u prilog vanjskoj pomoći. Ako se desni stupac odnosi samo na „Potrebu za dokazom“, često je dovoljna ciljana podrška pri dokumentaciji.
Samotest u sedam pitanja
Odgovorite s da ili ne. Svako ne je naznaka gdje bi Vam pomoć mogla trebati.
- Znate li za svaku web-stranicu na kojem poslužitelju i s kojom verzijom PHP-a radi?
- Možete li dokazati da je to stanje ispravljeno za CVE-2026-109618 i CVE-2026-109619, primjerice putem changelogu paketa? Upute su u članku Kako ispravno provjeriti verziju PHP-a i stanje zakrpe.
- Ima li netko u kući prava i znanje da ažurira PHP i ponovno pokrene sve workere?
- Imate li za web-stranice kod pružatelja hostinga pisanu potvrdu zakrpe i ponovnog pokretanja? Predložak nudi Kako pitati pružatelja hostinga za stanje zakrpe.
- Je li netko tražio neobičnosti od 17. 10. 2026., primjerice nove PHP datoteke u mapama za upload ili nepoznate cron poslove?
- Jesu li logovi poslužitelja od 20. 10. 2026. osigurani?
- Postoji li osoba koja smije odlučiti o privremenom isključenju i dostupna je?
Sedam puta da znači: dobro ste postavljeni. Jedno ili dva ne često se mogu nadoknaditi interno. Kod tri ili više ne, osobito kod pitanja 2 i 5, vanjska podrška je ozbiljna opcija.
Kada Vam izričito nije potreban pružatelj usluga
Postoje situacije u kojima bismo i sami odsavjetovali trošenje novca na vanjsku pomoć. Tome pripada jednostavna web-stranica tvrtke kod velikog pružatelja hostinga koji je potvrdio zakrpu, bez obrazaca s osjetljivim podacima i bez neobičnosti. Isto tako vlastiti poslužitelj s PHP-om 8.3 ili 8.4 čiji je administrator instalirao backport distribucije, ponovno pokrenuo sve procese i kratko pregledao logove.
U tim je slučajevima najvažnija kratka pisana bilješka: što je kada provjereno, s kojim rezultatom? Ona pomaže pri upitima i pri sljedećoj situaciji.
Iskreno, tome pripada i ne podcjenjivati vlastite granice. Instalirati ažuriranje mnogim je administratorima rutina. Ispravno procijeniti sumnjivu datoteku a da se ne zamute tragovi, najčešće nije. Tko pri zakrpanju naiđe na nešto neobično, na tom bi mjestu trebao stati, ništa ne brisati i iznova odlučiti nastavlja li sam.
Čak i ako sve obavljate sami: odredite već danas koga biste nazvali kad ipak nešto upadne u oči. U kritičnom trenutku traženje pružatelja usluga izgubljeno je vrijeme.
Srednji put: podijeliti umjesto prepustiti
Između „sve sami“ i „sve prepustiti“ nalazi se varijanta koja u mnogim tvrtkama najbolje funkcionira. Vlastiti tim preuzima ono što poznaje: ažuriranja, ponovna pokretanja, kontakt s pružateljem hostinga. Pružatelj usluga preuzima ono što traži specijalističko znanje ili neovisan pogled, primjerice provjeru tragova, procjenu sumnje ili izvješće za osiguratelje.
Da bi to uspjelo, moraju biti uređeni pristupi, odgovornosti i zaštita podataka. Ako pružatelj usluga pristupa poslužiteljima s osobnim podacima, u pravilu je potreban ugovor o obradi podataka; napomene su u članku Ugovor o obradi podataka kad pružatelji usluga pristupaju poslužiteljima. Kako pronaći prikladnog pružatelja, opisuje Odabir pružatelja usluga IT sigurnosti.
Kako PHP SOS konkretno pomaže?
- Počinjemo kratkim popisom stanja i otvoreno kažemo ako Vam nismo potrebni.
- Ciljano preuzimamo dijelove koji interno nedostaju, primjerice provjeru tragova, stare sustave ili dokaz, a ostalo ostavljamo Vašem timu.
- Radimo na daljinu s pristupima koje odobrite i dokumentiramo svaki korak.
- Kod akutne potrebe preuzimamo popis stanja, zakrpu, ponovno pokretanje i traženje tragova u cijelosti s PHP2Shell hitnom pomoći.
Zaključak
Pravi odgovor na „sami ili pružatelj usluga?“ rijetko je crn ili bijel. Tko poznaje svoje sustave, vodi podržane verzije PHP-a i može dokazati da je zakrpano i ponovno pokrenuto, PHP2Shell često svlada sam. Tko ima stare sustave, nejasna stanja ili znakove provale, ne bi trebao oklijevati potražiti pomoć.
Česta pitanja
Kada bih trebao angažirati pružatelja usluga IT sigurnosti?
Ponajprije ako postoje znakovi provale, ako rade stare verzije PHP-a bez službenog ažuriranja, ako interno nitko nema prava na poslužitelju i iskustvo ili ako su dotaknuti osobni podaci i pitanja osiguranja.
Ne može li to jednostavno obaviti moj pružatelj hostinga?
Kod zajedničkog hostinga i mnogih upravljanih paketa pružatelj hostinga sam zakrpa PHP. Neka Vam pisano potvrdi stanje zakrpe i ponovno pokretanje. Za Vašu aplikaciju, dodatke i provjeru tragova pružatelj hostinga najčešće nije nadležan.
Što bih trebao pripremiti prije nego što nazovem pružatelja usluga?
Popis pogođenih web-stranica i poslužitelja, putove pristupa, kontakt osobe s ovlašću odlučivanja i kratak opis onoga što Vam je upalo u oči. Do tada ne brišite i ne mijenjajte ništa što bi moglo sadržavati tragove.
Postoji li srednji put između rada sami i prepuštanja svega?
Da. Često vlastiti tim preuzima rutinu, primjerice ažuriranja i ponovna pokretanja, dok pružatelj usluga preuzima provjeru tragova, procjenu ili dokumentaciju. Važna je jasna podjela tko što radi.