Ukratko: PHP2Shell su dvije kritične ranjivosti u samom PHP-u putem kojih napadači mogu bez prijave izvršiti zlonamjerni kod. Ako Vam je brzo potrebna pomoć kod ove PHP sigurnosne ranjivosti, na daljinu preuzimamo popis stanja, zakrpu ili privremenu mjeru, ponovno pokretanje svih PHP procesa i prvu potragu za tragovima. Na kraju dobivate pisani dokaz o stanju.
Pomoć kod PHP sigurnosne ranjivosti: zašto se mora djelovati odmah
Dana 21. 10. 2026. u 16 sati po njemačkom vremenu PHP projekt objavio je zakrpe za CVE-2026-109618 i CVE-2026-109619. Obje ranjivosti ocijenjene su s 9,2 prema CVSS-u v4.0 i omogućuju izvršavanje zlonamjernog koda izdaleka, a da se nitko ne mora prijaviti. Pogođeni su uobičajeni načini rada: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed.
BSI (njemački Savezni ured za sigurnost informacijske tehnologije) izdao je razinu upozorenja 3 (narančasta). Preporučuje trenutačno ažuriranje, a ako to nije odmah moguće, privremeno isključivanje web-poslužitelja s mreže. Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. Potvrđeni uspješni napadi u širem opsegu prema BSI-ju isprva nisu bili poznati, no Cloudflare je već prijavio pokušaje napada.
Za upravu i vlasnike to znači: svaki javno dostupan PHP poslužitelj kandidat je dok se ne dokaže suprotno. Razumljivo objašnjenje ranjivosti pronaći ćete na stranici Što je PHP2Shell?.
Za koga je hitna pomoć kod PHP2Shella namijenjena?
Za tvrtke, agencije i javna tijela koja pokreću PHP aplikacije, a situaciju ne mogu ili ne žele sami obraditi u potrebnoj dubini. To se odnosi na vlastite root poslužitelje i vServere, ali i na poslužitelje s Pleskom ili cPanelom, kontejnerska okruženja i upravljane poslužitelje kod kojih je nejasno tko je odgovoran.
Pomoć često treba i onaj tko ima pružatelja hostinga. Mnogi pružatelji ugrađuju backportove; tada Plesk i dalje prikazuje 8.2.34, iako je stanje paketa zakrpano. Obrnuto, može se prikazati novi broj verzije dok stari PHP procesi još rade u memoriji. Koja se stanja smatraju ispravljenima, piše na stranici Koje su verzije PHP-a pogođene?.
Kako PHP SOS konkretno pomaže?
- Popis stanja: Bilježimo sve PHP instalacije, načine rada i verzije na Vašim poslužiteljima, uključujući stanje paketa i pokrenute procese. Rezultat je popis koji sustavi su pogođeni, ispravljeni ili nejasni.
- Zakrpa ili privremena mjera: Gdje je moguće, instaliramo ispravljene verzije (8.5.12, 8.4.27, 8.3.36, 8.2.35) ili pakete Vaše distribucije. Ako to nije odmah moguće, provodimo privremene mjere prema php.net-u i otvoreno kažemo da ne pružaju potpunu zaštitu.
- Ponovno pokretanje i kontrola: Ponovno pokrećemo sve PHP workere i procese te nakon toga provjeravamo da više ne radi nijedan stari proces. Same nove datoteke ne zatvaraju ranjivost.
- Prva potraga za tragovima: Osiguravamo zapisnike poslužitelja od 20. 10. i tražimo upadljivosti poput novih PHP datoteka, nepoznatih cron poslova ili neuobičajenih procesa. Budući da ne postoje objavljeni, potvrđeni indikatori kompromitacije (Indicators of Compromise), ova provjera počiva na analizi ponašanja.
- Dokaz i sljedeći koraci: Dobivate pisano izvješće. Ako postoji sumnja na kompromitaciju, preporučujemo odgovarajuće daljnje korake, primjerice uklanjanje zlonamjernog softvera ili forenzičku istragu.
Zakrpa ne uklanja već ubačeni zlonamjerni softver i ne dokazuje da se prije nije ništa dogodilo. Zato uz hitnu pomoć uvijek ide i pogled na razdoblje od 17. 10. 2026.
Što dobivate od nas
- pregled svih provjerenih poslužitelja s verzijom PHP-a, stanjem paketa, načinom rada i statusom zakrpe
- dokumentaciju instaliranih ažuriranja ili postavljenih privremenih mjera
- dokaz da su svi PHP procesi ponovno pokrenuti
- procjenu potrage za tragovima, odvojeno na dokazano, vjerojatno i nepoznato
- popis otvorenih točaka, primjerice sustava s PHP-om 8.1 ili starijim
Ovo izvješće možete proslijediti upravi, službenicima za zaštitu podataka ili osiguravatelju. Pravnu ocjenu ono ne preuzima.
Što trebamo od Vas
- Pristup: SSH ili pristup panelu s dovoljnim ovlastima, odnosno dopuštenje Vašem pružatelju hostinga da nam daje informacije
- Kontakt osoba: osoba koja smije donositi odluke, primjerice o kratkom radu izvan mreže ili o ponovnom pokretanju
- Pregled: koje web-stranice, shopovi i aplikacije rade na kojim poslužiteljima
- Prozor za održavanje: Vaši uvjeti kada se ponovna pokretanja smiju provoditi
- Sigurnosne kopije: informacija gdje se nalaze aktualne sigurnosne kopije
Za administratore koji žele unaprijed sami provjeriti često je dovoljan i ovaj neopasan pogled na stanje:
php -v
# Debian/Ubuntu: instalirani PHP paketi s verzijom
dpkg -l | grep -i php
# pokrenuti PHP procesi i vrijeme njihova pokretanja
ps -eo pid,lstart,cmd | grep -i php
Što ne obećavamo
Ne obećavamo apsolutnu sigurnost ni tvrdnju da Vaš poslužitelj nikada nije bio napadnut ako dokazi to ne podupiru. Na incidentu radimo dok nije zaključen i dokumentiran. Postoji li obveza prijave prema GDPR-u ili treba li obavijestiti Vaše osiguranje, razjasnite sa službenikom za zaštitu podataka, odvjetnikom ili osiguravateljem. Za to isporučujemo tehničke činjenice.
Ako Vam treba samo ažuriranje s dokazom, odgovara naša usluga PHP zakrpe. Ako već postoje znakovi napada, pravi je početak hitna pomoć kod hakirane web-stranice.
Česta pitanja
Je li dovoljno da je moj pružatelj hostinga ažurirao PHP?
To može biti dovoljno ako pružatelj hostinga pisano potvrdi stanje paketa i ako su svi PHP procesi ponovno pokrenuti. Sam prikazani broj verzije nije dokaz jer distribucije ugrađuju backportove. Je li poslužitelj već prije bio napadnut, zakrpa ionako ne otkriva.
Mora li moja web-stranica za hitnu pomoć biti isključena s mreže?
Ne nužno. BSI preporučuje privremeno isključiti web-poslužitelje s mreže ako ažuriranje nije odmah moguće. Je li to kod Vas potrebno, odlučujemo zajedno nakon popisa stanja.
Štiti li ažuriranje WordPressa ili Shopwarea od PHP2Shella?
Ne. PHP2Shell se nalazi u samom PHP-u, a ne u CMS-u. Ažuriranje CMS-a i dalje je smisleno, ali ovu ranjivost ne zatvara.
Što se događa s PHP-om 8.1 ili starijim?
Za te verzije PHP projekt više ne izdaje službena ažuriranja, samo minimalne backportove izvornog koda za 7.4, 8.0 i 8.1. Poslužitelj privremeno osiguravamo i s Vama planiramo prelazak na podržanu verziju.