Česta pitanja
Kratko odgovoreno. Više pojedinosti pronaći ćete na povezanim stranicama znanja.
Što je PHP2Shell?
PHP2Shell označava dvije kritične ranjivosti u samom PHP-u (CVE-2026-109618 i CVE-2026-109619, CVSS 9.2). Napadačima mogu omogućiti izvršavanje zlonamjernog koda na poslužitelju bez prijave. Zakrpe postoje od 21. 10. 2026.
Koje su verzije PHP-a sigurne?
Ispravci su sadržani u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Pružatelji hostinga i distribucije ponekad ugrađuju backportove bez promjene broja verzije. Odlučujuće je stanje paketa ili pisana potvrda pružatelja.
Je li dovoljno ažurirati WordPress ili web-shop?
Ne. Ranjivost je u PHP-u, a ne u CMS-u. Ažuriranje CMS-a je ne zatvara. A PHP zakrpa ne uklanja zlonamjerni kod koji je prethodno već ubačen.
Koliko brzo možete pomoći?
Radimo na daljinu i započinjemo čim stignu pristupni podaci. Pošaljite nam putem WhatsAppa sustav, verziju PHP-a i svoje opažanje. Zatim izravno dogovaramo daljnji postupak.
Radite li i za agencije i klijente pružatelja hostinga?
Da. Radimo izravno za tvrtke, u pozadini po nalogu agencija i u dogovoru s Vašim pružateljem hostinga ako on upravlja poslužiteljem.
Moramo li prijaviti incident?
Ako bi mogli biti pogođeni osobni podaci, prema čl. 33. GDPR-a u pravilu vrijedi rok za prijavu od 72 sata od saznanja. Primjenjuje li se on na Vas, razjasnite sa svojim službenikom za zaštitu podataka. Mi za to isporučujemo tehničku dokumentaciju.
Je li PHP2Shell WordPress ranjivost?
Ne. Ranjivosti su u PHP-u, dakle u programskom jeziku na kojem rade WordPress, Shopware, TYPO3 i mnogi drugi sustavi. Ažuriranje CMS-a stoga ih ne zatvara. Odlučujuće je stanje PHP-a na poslužitelju.
Moram li kao klijent pružatelja hostinga sam nešto učiniti?
Kod shared hostinga PHP ažuriranje u pravilu instalira pružatelj hostinga. Ipak biste trebali pisano zatražiti potvrdu da je verzija PHP-a koju koristite zakrpana i ponovno pokrenuta. Je li se prije zakrpe nešto dogodilo, ažuriranje ne otkriva.
Odakle ime PHP2Shell?
Ime opisuje posljedicu: putem PHP-a napadač u najgorem slučaju može dobiti naredbeni redak, dakle shell, na poslužitelju. Službene oznake su CVE brojevi CVE-2026-109618 i CVE-2026-109619.
Je li moja web-stranica već napadnuta ako je isključena s mreže?
Ne nužno. Neki su pružatelji iz opreza isključili web-stranice, kako to BSI preporučuje kad ažuriranje nije odmah moguće. To je zaštitna mjera, a ne dokaz napada.
Je li dovoljno da je moj pružatelj hostinga ažurirao PHP?
To može biti dovoljno ako pružatelj hostinga pisano potvrdi stanje paketa i ako su svi PHP procesi ponovno pokrenuti. Sam prikazani broj verzije nije dokaz jer distribucije ugrađuju backportove. Je li poslužitelj već prije bio napadnut, zakrpa ionako ne otkriva.
Mora li moja web-stranica za hitnu pomoć biti isključena s mreže?
Ne nužno. BSI preporučuje privremeno isključiti web-poslužitelje s mreže ako ažuriranje nije odmah moguće. Je li to kod Vas potrebno, odlučujemo zajedno nakon popisa stanja.
Štiti li ažuriranje WordPressa ili Shopwarea od PHP2Shella?
Ne. PHP2Shell se nalazi u samom PHP-u, a ne u CMS-u. Ažuriranje CMS-a i dalje je smisleno, ali ovu ranjivost ne zatvara.
Što se događa s PHP-om 8.1 ili starijim?
Za te verzije PHP projekt više ne izdaje službena ažuriranja, samo minimalne backportove izvornog koda za 7.4, 8.0 i 8.1. Poslužitelj privremeno osiguravamo i s Vama planiramo prelazak na podržanu verziju.
Od kada teče 72 sata?
Prema čl. 33. GDPR-a od trenutka kada je voditelj obrade saznao za povredu. Kada se to u pojedinačnom slučaju može pretpostaviti, pravna je procjena. Zato točno dokumentirajte tko je i kada raspolagao kojom informacijom.
Mora li se svaka sigurnosna ranjivost prijaviti?
Ne. Ranjivost sama po sebi još nije povreda zaštite osobnih podataka. Prijava može postati obvezna ako postoje naznake da su neovlaštene osobe imale ili mogle imati pristup takvim podacima i iz toga proizlazi rizik za ispitanike.
Što ako nakon 72 sata još ne znam sve?
Čl. 33. st. 4. GDPR-a dopušta postupno naknadno dostavljanje informacija ako se ne mogu pružiti istodobno. Zakašnjela prijava mora se obrazložiti. Čekanje potpune jasnoće stoga u pravilu nije razlog da se rok propusti.
Tko prijavljuje ako je pogođen pružatelj hostinga?
Obvezu prijave ima voditelj obrade, dakle u pravilu tvrtka koja vodi web-stranicu. Izvršitelj obrade poput pružatelja hostinga mora prema čl. 33. st. 2. GDPR-a bez odgode obavijestiti voditelja obrade.
Gdje prijavljujem povredu podataka?
Nadležnom nadzornom tijelu za zaštitu podataka. Većina tijela za to nudi online obrasce.
Svaki sat se računa. Pišite nam odmah.
Ukratko opišite sustav, verziju PHP-a i opažanje. Javit ćemo Vam se, razjasniti situaciju i raditi na daljinu dok incident nije zaključen i dokumentiran.