Ukratko: Contao sigurnost kod PHP2Shella ovisi o PHP-u poslužitelja, a ne o Contau. Pobrinite se da su i web PHP i PHP naredbenog retka Contao Managera zakrpani. Potom provjerite .env, vlastite predloške, mapu files i pristupe backendu i Manageru.
Contao i PHP2Shell: o čemu je riječ
Contao je CMS raširen u njemačkom govornom području koji se od verzije 4 temelji na frameworku Symfony. PHP ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju izvršavanje zlonamjernog koda na daljinu bez prijave. Odnose se na sam PHP, dakle i na svaku Contao instalaciju na nezakrpanom poslužitelju.
Mnoge Contao web-stranice pripadaju srednjim poduzećima, savezima i općinama, a održavaju ih agencije. Zato prvo razjasnite tko je odgovoran za PHP: pružatelj hostinga, agencija ili Vaš vlastiti IT.
Čest je nesporazum vezan uz način održavanja. Contao može zaključati web-stranicu za posjetitelje, ali tu zaključanu stranicu isporučuje sam PHP. Svaki zahtjev dakle i dalje dolazi do PHP interpretera. Način održavanja stoga ne štiti od PHP2Shella. Kada BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelji do ažuriranja isključe s mreže, misli se na blokadu na razini poslužitelja ili hostinga, a ne na postavku u CMS-u.
Contao sigurnost počinje s dvije verzije PHP-a
Contao koristi PHP na dva načina. Web-poslužitelj obrađuje pozive stranica uglavnom putem PHP-FPM-a. Contao Manager i Contao konzola dodatno rade s PHP-om naredbenog retka, primjerice za instalacije, ažuriranja i cron zadatke. Na hosting paketima s više verzija PHP-a to mogu biti dva različita programa.
Contao Manager u konfiguraciji poslužitelja prikazuje koju PHP programsku datoteku koristi. Web verziju vidite u hosting panelu. Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backportovi mogu nositi starije brojeve. Oba puta moraju biti zakrpana i svi procesi ponovno pokrenuti. Koje PHP verzije podržava Vaša verzija Contaa, provjerite prema sistemskim zahtjevima na contao.org. Više o provjeri na stranici Ispravna provjera verzije i stanja zakrpe PHP-a.
Direktoriji i datoteke u Contau
| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
.env, .env.local |
Pristup bazi podataka, APP_SECRET |
Nakon sumnje obnoviti |
config/config.yaml |
Konfiguracija instalacije | Neočekivane izmjene |
public/ (starije verzije web/) |
Korijen dokumenata s index.php, datotekom Contao Managera, assetima |
Dodatne PHP datoteke |
files/ |
Upravljanje datotekama urednika | Nema PHP datoteka |
templates/ |
Vlastiti predlošci, klasično kao .html5 s PHP-om |
Nepoznati ili izmijenjeni predlošci |
system/config/localconfig.php |
Starije postavke | Umetnuti kôd |
var/ |
Predmemorija i logovi | Osigurati logove, ponovno generirati predmemoriju |
Upravo se templates/ podcjenjuje: klasični Contao predlošci s nastavkom .html5 PHP su datoteke. Umetnuta naredba u vlastitom predlošku izvršava se pri svakom pozivu stranice i preživljava Contao ažuriranja.
Neopasne prve provjere:
# PHP datoteke u upravljanju datotekama
find files -type f -name "*.php"
# Predlošci izmijenjeni od 17.10.2026
find templates -type f -newermt "2026-10-17"
# Dostupne Contao naredbe i provjera ovisnosti
vendor/bin/contao-console list contao
composer audit
Contao Manager može instalirati pakete i tako na poslužitelj unijeti proizvoljan kôd. Nakon sumnje provjerite njegove korisničke račune, dodijelite nove lozinke i uklonite pristupe bivših pružatelja usluga.
Backend, Manager i proširenja
Backend se nalazi na /contao. Provjerite korisnike s administratorskim pravima i korisničke grupe s dalekosežnim pravima, primjerice na upravljanje datotekama, predloške ili upravljanje korisnicima. Contao donosi dvofaktorsku prijavu; koristite je za sve račune s povišenim pravima.
Proširenja se instaliraju putem Composera ili Contao Managera. Svako donosi PHP kôd, a starija proširenja bez održavanja usporavaju nadogradnju PHP-a. Na poslužiteljima s više web-stranica svaka bi instalacija trebala raditi odvojeno kako se incident ne bi prelio na susjedne stranice; više o tome na stranici open_basedir i izolacija po web-stranici.
Što Contao ažuriranje može, a što ne
Contao ažuriranje putem Managera ili Composera zatvara poznate pogreške u Contau i proširenjima. Ne zakrpava PHP i ne pokreće ponovno ni PHP-FPM ni pozadinske procese. Vlastiti predlošci, datoteke u files/ i strani korisnički računi ostaju nepromijenjeni. Nakon promjene glavne verzije PHP-a trebalo bi ponovno generirati predmemoriju i web-stranicu provjeriti u testnom okruženju.
Kod web-stranica s mnogo urednika nakon zakrpe isplati se pogledati prava u backendu. Tko smije uređivati predloške, može u klasične .html5 predloške pohraniti PHP kôd. To ovlaštenje pripada samo malom broju tehnički upućenih osoba. Isto vrijedi za pristup upravljanju datotekama s pravima uploada u javno dostupne mape.
Kako PHP SOS konkretno pomaže?
- Utvrđujemo web i CLI PHP Vaše Contao instalacije te dajemo potvrditi zakrpu i ponovno pokretanje.
- Osiguravamo logove, datoteke i bazu podataka prije nego što išta promijenimo.
- Provjeravamo predloške,
files/, korijen dokumenata te backend i Manager račune. - Prelazak PHP-a s dokazom na zahtjev preuzima naš PHP servis zakrpa, usklađeno s Vašom agencijom.
Česta pitanja
Pogađa li PHP2Shell Contao?
Sam Contao nema novu ranjivost. No ako web-stranica radi na nezakrpanom PHP-u, ranjiva je kao i svaka PHP aplikacija. Contao ažuriranje ne zatvara PHP ranjivost.
Zašto je Contao Manager važan za sigurnost?
Contao Manager može instalirati, ažurirati i uklanjati pakete. Tko ima pristup njemu, može ubaciti proizvoljan kôd. Pristup stoga treba jaku lozinku i malo ovlaštenih osoba.
Sadrže li Contao predlošci PHP kôd?
Klasični predlošci s nastavkom .html5 jesu PHP predlošci. Vlastiti predlošci u mapi templates stoga mogu sadržavati PHP. Nepoznate ili nedavno izmijenjene predloške trebali biste moći objasniti.