PHP2Shell: sve o kritičnoj PHP ranjivosti
Dvije kritične ranjivosti u samom PHP-u, CVSS 9.2, zlonamjerni kod bez prijave. Ovdje piše što je dokazano, koje su verzije sigurne i što sada učiniti.
Što je PHP2Shell? Ranjivost jednostavno objašnjena
PHP2Shell su dvije kritične ranjivosti u samom PHP-u putem kojih napadači mogu bez prijave izvršavati kod na web-poslužiteljima. Ovdje je stanje jasnim riječima.
Čitajte dalje →02CVE-2026-109618: RCE zbog stanja Out of Memory
CVE-2026-109618 jedna je od dviju PHP2Shell ranjivosti: stanje Out of Memory može prekinuti PHP usred obrade zahtjeva. Ispravljeno od PHP-a 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
Čitajte dalje →03CVE-2026-109619: RCE zbog zastarjelog globalnog stanja
CVE-2026-109619 je druga PHP2Shell ranjivost: interno stanje zahtjeva može ostati nakon oslobađanja memorije i iskoristiti ga sljedeći zahtjev u istom workeru.
Čitajte dalje →04CVE-2026-115560: napomena o Session Upload Progressu
CVE-2026-115560 je napomena php.net-a od 23. 10. 2026.: moguće izvršavanje koda samo kod neuobičajene konfiguracije sesija. Mjera do sljedećeg izdanja: session.upload_progress.enabled=0.
Čitajte dalje →05Koje su verzije PHP-a pogođene?
PHP2Shell je ispravljen u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja. Tablica pokazuje stanje po grani.
Čitajte dalje →06Ispravna provjera verzije PHP-a i stanja zakrpe
Sam prikazani broj verzije PHP-a ne govori je li PHP2Shell zatvoren. Odlučujući su stanje paketa, backportovi i rade li novi procesi doista.
Čitajte dalje →07Zašto mod_php nosi najviši rizik
Kod Apachea s mod_php PHP tim rizik od PHP2Shella ocjenjuje najvišim: tamo je prikazan exploit prije nego što se izvrši kod aplikacije. Ovako provjeravate i djelujete.
Čitajte dalje →08Nakon ažuriranja: ponovno pokrenite PHP-FPM i sve workere
PHP ažuriranje djeluje tek kad su svi PHP procesi ponovno pokrenuti. Ovdje su naredbe za PHP-FPM, Apache, LiteSpeed i kontejnere te provjera ponovnog pokretanja.
Čitajte dalje →09Hitne mjere ako još ne možete zakrpati
Ako PHP ažuriranje još nije moguće, privremene mjere php.net-a smanjuju rizik, ali ne štite potpuno. Ovako ih ispravno postavljate.
Čitajte dalje →10PHP 8.1 i starije: što sada vrijedi
Za PHP 8.1, 8.0, 7.4 i starije verzije nema službenih ažuriranja protiv PHP2Shella. Što backportovi izvornog koda pružaju i kako izgleda put do podržane verzije.
Čitajte dalje →11Zakrpa za PHP u Docker kontejnerima
Kontejneri se ne zakrpavaju sami. Protiv PHP2Shella morate iznova izgraditi ili povući PHP image i svaki kontejner iznova stvoriti iz novog image-a.
Čitajte dalje →12Jesam li već kompromitiran? Znakovi nakon PHP2Shella
Za PHP2Shell nema potvrđenih indikatora kompromitacije. Po čemu ipak prepoznajete je li Vaš poslužitelj hakiran i kako provjeriti bez uništavanja tragova.
Čitajte dalje →Svaki sat se računa. Pišite nam odmah.
Ukratko opišite sustav, verziju PHP-a i opažanje. Javit ćemo Vam se, razjasniti situaciju i raditi na daljinu dok incident nije zaključen i dokumentiran.