# PHP2Shell: sve o kritičnoj PHP ranjivosti

> PHP2Shell razumljivo objašnjen: CVE-2026-109618 i CVE-2026-109619, pogođene verzije, provjera, ponovno pokretanje i privremene mjere.

Izvor: https://phpsos.de/hr/php2shell/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

Dvije kritične ranjivosti u samom PHP-u, CVSS 9.2, zlonamjerni kod bez prijave. Ovdje piše što je dokazano, koje su verzije sigurne i što sada učiniti.

- [Što je PHP2Shell? Ranjivost jednostavno objašnjena](https://phpsos.de/hr/php2shell/was-ist-php2shell/): PHP2Shell su dvije kritične ranjivosti u samom PHP-u putem kojih napadači mogu bez prijave izvršavati kod na web-poslužiteljima. Ovdje je stanje jasnim riječima.
- [CVE-2026-109618: RCE zbog stanja Out of Memory](https://phpsos.de/hr/php2shell/cve-2026-109618/): CVE-2026-109618 jedna je od dviju PHP2Shell ranjivosti: stanje Out of Memory može prekinuti PHP usred obrade zahtjeva. Ispravljeno od PHP-a 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
- [CVE-2026-109619: RCE zbog zastarjelog globalnog stanja](https://phpsos.de/hr/php2shell/cve-2026-109619/): CVE-2026-109619 je druga PHP2Shell ranjivost: interno stanje zahtjeva može ostati nakon oslobađanja memorije i iskoristiti ga sljedeći zahtjev u istom workeru.
- [CVE-2026-115560: napomena o Session Upload Progressu](https://phpsos.de/hr/php2shell/cve-2026-115560/): CVE-2026-115560 je napomena php.net-a od 23. 10. 2026.: moguće izvršavanje koda samo kod neuobičajene konfiguracije sesija. Mjera do sljedećeg izdanja: session.upload_progress.enabled=0.
- [Koje su verzije PHP-a pogođene?](https://phpsos.de/hr/php2shell/betroffene-php-versionen/): PHP2Shell je ispravljen u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja. Tablica pokazuje stanje po grani.
- [Ispravna provjera verzije PHP-a i stanja zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/): Sam prikazani broj verzije PHP-a ne govori je li PHP2Shell zatvoren. Odlučujući su stanje paketa, backportovi i rade li novi procesi doista.
- [Zašto mod_php nosi najviši rizik](https://phpsos.de/hr/php2shell/mod-php-risiko/): Kod Apachea s mod_php PHP tim rizik od PHP2Shella ocjenjuje najvišim: tamo je prikazan exploit prije nego što se izvrši kod aplikacije. Ovako provjeravate i djelujete.
- [Nakon ažuriranja: ponovno pokrenite PHP-FPM i sve workere](https://phpsos.de/hr/php2shell/php-fpm-neustart/): PHP ažuriranje djeluje tek kad su svi PHP procesi ponovno pokrenuti. Ovdje su naredbe za PHP-FPM, Apache, LiteSpeed i kontejnere te provjera ponovnog pokretanja.
- [Hitne mjere ako još ne možete zakrpati](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/): Ako PHP ažuriranje još nije moguće, privremene mjere php.net-a smanjuju rizik, ali ne štite potpuno. Ovako ih ispravno postavljate.
- [PHP 8.1 i starije: što sada vrijedi](https://phpsos.de/hr/php2shell/php-8-1-und-aelter/): Za PHP 8.1, 8.0, 7.4 i starije verzije nema službenih ažuriranja protiv PHP2Shella. Što backportovi izvornog koda pružaju i kako izgleda put do podržane verzije.
- [Zakrpa za PHP u Docker kontejnerima](https://phpsos.de/hr/php2shell/docker-container-patchen/): Kontejneri se ne zakrpavaju sami. Protiv PHP2Shella morate iznova izgraditi ili povući PHP image i svaki kontejner iznova stvoriti iz novog image-a.
- [Jesam li već kompromitiran? Znakovi nakon PHP2Shella](https://phpsos.de/hr/php2shell/bin-ich-gehackt-anzeichen/): Za PHP2Shell nema potvrđenih indikatora kompromitacije. Po čemu ipak prepoznajete je li Vaš poslužitelj hakiran i kako provjeriti bez uništavanja tragova.