# Savjetnik: sigurnost PHP-a i poslužitelja > Savjetnik o sigurnosti PHP-a: web shellovi, backdoori, php.ini, SQL injection, XSS, prijenosi datoteka, zapisnici, sigurnosne kopije i sigurnosna zaglavlja. Izvor: https://phpsos.de/hr/ratgeber/ Stanje: 25.10.2026 Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6 Stručni članci za administratore i programere: prepoznati web shellove, ojačati php.ini, analizirati zapisnike, sigurno programirati. - [PHP2Shell vremenski slijed: kronologija od 17. do 25. listopada 2026.](https://phpsos.de/hr/ratgeber/php2shell-chronologie/): Svi potvrđeni datumi o PHP2Shellu na jednom mjestu, od prvog opaženog pokušaja napada do stanja 25.10.2026., i što iz toga slijedi za Vašu provjeru. - [Potvrda PHP ažuriranja od hostinga: kako pitati za status zakrpe](https://phpsos.de/hr/ratgeber/hoster-patch-status-erfragen/): Prikazana verzija PHP-a nakon PHP2Shella malo dokazuje. Ovim predloškom od pružatelja hostinga tražite potvrdu koju možete dokumentirati. - [Prepoznavanje i uklanjanje webshella](https://phpsos.de/hr/ratgeber/webshell-erkennen/): Kako otkriti stražnja vrata na PHP web-poslužiteljima bez uništavanja tragova i zašto samo brisanje rijetko dovoljno. - [Pronalaženje WordPress backdoora: sustavno otkrivanje stražnjih vrata](https://phpsos.de/hr/ratgeber/backdoor-wordpress-finden/): Gdje se stražnja vrata u WordPressu tipično skrivaju i kako ih admini sustavno otkrivaju uz WP-CLI i nekoliko naredbi. - [Sigurna konfiguracija php.ini](https://phpsos.de/hr/ratgeber/php-ini-sicher-konfigurieren/): Koje postavke u php.ini smanjuju površinu napada, kako ih zaštititi od prepisivanja i što nakon PHP2Shella vrijedi dodatno. - [Ispravna uporaba PHP disable_functions](https://phpsos.de/hr/ratgeber/disable-functions/): Uz disable_functions zabranjujete rizične PHP funkcije. Kako popis prilagoditi aplikaciji, a da web-stranica ne prestane raditi. - [open_basedir i izolacija po web-stranici](https://phpsos.de/hr/ratgeber/open-basedir/): Kako uz open_basedir, zasebne sistemske korisnike i odvojene PHP-FPM poolove spriječiti da provala u jednu web-stranicu pogodi sve druge na poslužitelju. - [Prava datoteka na web-poslužitelju](https://phpsos.de/hr/ratgeber/dateirechte-webserver/): Zašto web-poslužitelj ne smije mijenjati vlastiti kod, koja su prava za datoteke i mape smislena i kako brzo provjeriti stvarno stanje. - [composer audit: provjera ovisnosti na ranjivosti](https://phpsos.de/hr/ratgeber/composer-abhaengigkeiten-pruefen/): Kako programeri uz composer audit pronalaze poznate sigurnosne ranjivosti u bibliotekama, automatiziraju provjeru i izbjegavaju tipične pogreške u deploymentu. - [PHP End of Life: rizici zastarjelih verzija](https://phpsos.de/hr/ratgeber/php-end-of-life-risiken/): Što znači kraj podrške za PHP verziju, koje grane nakon PHP2Shella još dobivaju službene zakrpe i kako migraciju učiniti planabilnom. - [Sprječavanje SQL injectiona u PHP-u](https://phpsos.de/hr/ratgeber/sql-injection-php/): Kako programeri u PHP aplikacijama pouzdano isključuju SQL injection uz prepared statements, whitelistove i minimalna prava baze podataka. - [Sprječavanje XSS-a u PHP-u: sigurna obrana od cross-site scriptinga](https://phpsos.de/hr/ratgeber/xss-php/): Kako programeri sprječavaju cross-site scripting u PHP aplikacijama: kodiranje prema kontekstu, auto-escaping u predlošcima, čišćenje HTML-a i Content Security Policy. - [Sigurna provedba učitavanja datoteka u PHP-u: sigurnost PHP uploada](https://phpsos.de/hr/ratgeber/datei-upload-sicher/): Obrasci za upload čest su put za webshellove. Kako ispravno provjeriti vrste datoteka, sigurno ih pohraniti i spriječiti da poslužitelj izvršava učitane skripte. - [Osiguravanje sesija u PHP-u: sigurnost PHP sesija u praksi](https://phpsos.de/hr/ratgeber/session-sicherheit-php/): Sesije drže korisnike prijavljenima i zato su vrijedna meta. Kako sigurno konfigurirati kolačiće, ID-ove sesija i mjesta pohrane te provesti PHP2Shell napomenu o Upload Progressu. - [Nesigurna deserijalizacija u PHP-u: unserialize i sigurnost](https://phpsos.de/hr/ratgeber/deserialisierung-php/): unserialize() s tuđim podacima u najgorem slučaju može dovesti do izvršavanja koda. Kako ga zamijeniti JSON-om, ograničiti ga gdje mora ostati i pronaći rizična mjesta u kodu. - [Sprječavanje Local File Inclusiona u PHP-u: LFI i RFI](https://phpsos.de/hr/ratgeber/lfi-rfi/): Ako include ili require preuzimaju putanje iz zahtjeva, napadači mogu učitavati tuđe datoteke. Kako sigurno izgraditi odabir stranica i predloške te dodatno osigurati poslužitelj. - [Zaštita admin prijava od brute forcea: zaštita svake prijave](https://phpsos.de/hr/ratgeber/brute-force-login-schutz/): Automatizirani pokušaji lozinki pogađaju svaku dostupnu stranicu za prijavu. Kako usporiti napadače uz rate limiting i Fail2ban, zaštititi račune drugim faktorom i ispravno pohraniti lozinke. - [DDoS ili hakerski napad? Ispravno razvrstavanje napada](https://phpsos.de/hr/ratgeber/ddos-oder-exploit/): Spora web-stranica, veliko opterećenje, čudne datoteke: stoji li iza toga DDoS ili provala, odlučuje o ispravnoj reakciji. Kako stanje razvrstati s nekoliko provjera. - [Analiza logova web-poslužitelja nakon napada: ispravno čitanje access loga](https://phpsos.de/hr/ratgeber/logfiles-auswerten/): Log datoteke nakon napada često su najvažniji trag. Kako ispravno osigurati access, error i PHP logove, pronaći upadljive zahtjeve i izbjeći tipične pogreške pri analizi. - [Postavljanje dvofaktorske autentifikacije za admin pristupe](https://phpsos.de/hr/ratgeber/zwei-faktor-admin/): Ukradena lozinka ne smije biti dovoljna za preuzimanje Vašeg poslužitelja ili shopa. Kako odabrati prikladan postupak, osigurati sve admin pristupe i planirati hitne pristupe. - [Strategija sigurnosnih kopija za poslužitelje: kopije prema pravilu 3-2-1](https://phpsos.de/hr/ratgeber/backups-3-2-1/): Sigurnosna kopija pomaže samo ako preživi napad i može se vratiti. Kako provesti pravilo 3-2-1 za web-poslužitelje i ispravno planirati čuvanje i testove. - [Sigurnosna zaglavlja za web-stranice: ispravno postavljanje](https://phpsos.de/hr/ratgeber/sicherheits-header/): Sigurnosna zaglavlja upućuju preglednik da bolje zaštiti Vaše posjetitelje. Kako postaviti najvažnija zaglavlja u Nginxu i Apacheu, postupno uvesti Content Security Policy i provjeriti rezultat. - [Uklanjanje Google upozorenja „Ova web-stranica je hakirana“](https://phpsos.de/hr/ratgeber/google-warnung-entfernen/): Upozorenje o hakiranju u rezultatima pretrage košta posjetitelje i povjerenje. Kako temeljito očistiti web-stranicu, pronaći skrivene spam stranice i zatražiti ponovnu provjeru u Search Consoleu. - [Kontrolni popis nakon hakiranja: 20 točaka za naknadno postupanje](https://phpsos.de/hr/ratgeber/checkliste-nach-dem-hack/): Nakon napada važan je ispravan redoslijed. Ovaj kontrolni popis u 20 točaka vodi kroz obuzdavanje, osiguravanje dokaza, čišćenje, nove pristupe, obveze i dokumentirano zaključivanje.