Ukratko: BSI (njemački Savezni ured za informacijsku sigurnost) proglasio je za PHP2Shell razinu upozorenja 3 (narančasta). Preporuka je jednoznačna: PHP odmah ažurirati i, ako to ne ide odmah, pogođene web-poslužitelje privremeno odvojiti s mreže. BSI je računao s brzim opsežnim iskorištavanjem; potvrđeni uspješni napadi u širem opsegu isprva nisu bili poznati.
BSI upozorenje o PHP-u ukratko
Savezni ured za sigurnost informacijske tehnologije središnje je stručno tijelo za kibernetičku sigurnost u Njemačkoj. Za PHP2Shell objavio je upozorenje razine 3 (narančasta). Povod su dvije kritične ranjivosti u samom PHP-u: CVE-2026-109618 i CVE-2026-109619, obje ocijenjene s CVSS v4.0 9,2. Napadačima omogućuju izvršavanje zlonamjernog koda na poslužitelju bez prijave.
Ključne tvrdnje upozorenja mogu se sažeti ovako:
| Tvrdnja | Značenje za operatere |
|---|---|
| Razina upozorenja 3 / narančasta | ozbiljno stanje, potrebno djelovanje |
| Preporučuje se trenutačno ažuriranje | instalirati ispravljene PHP verzije |
| Inače privremeno s mreže | dostupnost podrediti zaštiti |
| Očekuje se brzo opsežno iskorištavanje | ne čekati prve prijave štete |
| Uspješni napadi u širem opsegu isprva nisu potvrđeni | nije razlog za olakšanje |
Aktualnu inačicu u svakom trenutku naći ćete na web-stranici BSI-ja.
Što „odmah ažurirati“ praktično znači
PHP projekt je 21. 10. 2026. u 14:00 UTC (16:00 po njemačkom vremenu) objavio ispravljene verzije: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja, samo minimalni backporti izvornog koda za 7.4, 8.0 i 8.1.
Ažuriranje je djelotvorno tek kad su ponovno pokrenuti svi PHP procesi. Nove datoteke same nisu dovoljne dok stari workeri rade u memoriji. Osim toga vrijedi: distribucije i pružatelji hostinga ispravke ponekad instaliraju kao backport. Tada primjerice Plesk i dalje prikazuje 8.2.34, iako je zakrpano. Odlučujući su stanje paketa i potvrda pružatelja. A ažuriranje CMS-a, primjerice WordPressa, PHP ranjivost ne zatvara.
Ako ažuriranje nije odmah moguće
Za taj slučaj BSI preporučuje da se web-poslužitelji privremeno odvoje s mreže. To je oštra mjera, ali jasna. Za mnoge je tvrtke planirani ispad od nekoliko sati manje štetan od provale s odljevom podataka.
php.net dodatno navodi privremene mjere koje smanjuju rizik, ali izričito ne pružaju potpunu zaštitu. Među njima su session.upload_progress.enabled=0 u konfiguraciji poslužitelja, ograničene vrijednosti post_max_size, ograničenja memorije putem kontejnera ili cgroupa i na PHP-u 8.5 fatal_error_backtraces=0, svaki put uz naknadno ponovno pokretanje svih workera. Pojedinosti su u članku Hitne mjere bez zakrpe.
Ako javno dostupan web-poslužitelj još radi s nezakrpanim PHP-om i bez privremenih mjera, iz preporuke BSI-ja slijedi: poslužitelj odvojiti s mreže dok se ažuriranje ne instalira i svi procesi ponovno ne pokrenu.
Procjena stanja
BSI sa svojom procjenom nije sam. Cloudflare je javio uočene pokušaje napada i uveo zaštitna pravila, ali upozorava da pravila samo na temelju podataka zahtjeva nisu dovoljna. Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. Prema medijskim izvješćima prvi pokušaj napada uočen je već 17. 10. 2026., dakle prije objave zakrpa.
Za operatere iz toga slijedi trezvena procjena: tko do danas nije zakrpao, trebao bi ne samo zakrpati nego i provjeriti je li se već nešto dogodilo. Zakrpa ne uklanja ubačen zlonamjerni softver. Objavljenih, potvrđenih indikatora kompromitacije (Indicators of Compromise) nema; prepoznavanje se temelji na analizi ponašanja. Stručni tisak savjetuje čuvanje zapisnika poslužitelja od 20. 10. 2026. Napomene o potrazi nalaze se u članku Jesam li već kompromitiran?.
Što preporuka znači za odgovorne osobe
Upozorenje BSI-ja nije zakon. Ali je procjena nadležnog stručnog tijela i pri kasnijem vrednovanju odluka može imati ulogu, primjerice kod osiguravatelja ili revizora. Poslovodstva bi stoga trebala dokumentirati kada su saznala za upozorenje, kako su ocijenila vlastite sustave i koje su mjere poduzela. Opće napomene o tome nalaze se u članku Odgovornost uprave; to nije pravni savjet.
U praksi se preporučuje upozorenje ne pročitati samo jednom. BSI ažurira svoje obavijesti kada se stanje promijeni, primjerice pri novim saznanjima o iskorištavanju ili o daljnjim ranjivostima. Od 23. 10. 2026. postoji i napomena php.net-a o CVE-2026-115560, koja pogađa samo neuobičajene konfiguracije i također se ublažava s session.upload_progress.enabled=0. Odredite osobu koja do završetka situacije svakodnevno provjerava BSI i php.net te promjene prosljeđuje tehnici i upravi. Tako ne nastaje razlika u znanju između onih koji odlučuju i onih koji provode.
Kako PHP SOS konkretno pomaže?
- Vaše web-poslužitelje uspoređujemo s preporukom BSI-ja: verzija, stanje paketa, ponovno pokretanje, dostupnost.
- U okviru PHP2Shell hitne pomoći zakrpamo, ponovno pokrećemo sve procese i isporučujemo dokaz.
- Gdje ažuriranje ne ide odmah, postavljamo privremene mjere i po potrebi osiguravamo statičnu zamjensku stranicu.
- Osiguravamo zapisnike i provjeravamo tragove kako biste nakon zakrpe mogli pouzdano ocijeniti stanje.
Česta pitanja
Što znači razina upozorenja 3 (narančasta) kod BSI-ja?
Boja opisuje povišeno, ozbiljno stanje ugroženosti s potrebom za djelovanjem. Kod PHP2Shella BSI to obrazlaže kritičnošću ranjivosti i očekivanim brzim iskorištavanjem. Točnu definiciju razina naći ćete na web-stranici BSI-ja.
Moram li slijediti preporuku BSI-ja?
Upozorenje BSI-ja je preporuka, a ne zakon. Ipak je to važna procjena nadležnog stručnog tijela na koju se mogu oslanjati osiguravatelji, revizori i sudovi. Tko odstupi, trebao bi dokumentirati razloge. To nije pravni savjet.
Jesu li prema BSI-ju već bili uspješni napadi?
Potvrđeni uspješni napadi u širem opsegu prema BSI-ju isprva nisu bili poznati. BSI je ipak računao s brzim opsežnim iskorištavanjem. Druge službe već su javile pokušaje napada.
Gdje nalazim aktualnu inačicu upozorenja?
Na web-stranici BSI-ja među aktualnim sigurnosnim upozorenjima. Stanje se može promijeniti; tamo i na php.net-u redovito provjeravajte najnovije stanje.