# Plesk poslužitelj: provjera PHP verzija i zakrpa

> Plesk PHP ažuriranje nakon PHP2Shella: kako provjeriti handlere, stanje paketa i backporte, ponovno pokrenuti sve PHP-FPM usluge i uredno dokazati zakrpu.

Izvor: https://phpsos.de/hr/server/plesk/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Plesk PHP ažuriranje dovršeno je tek kad je svaka instalirana PHP verzija na ispravljenom stanju, kad su sve PHP-FPM usluge ponovno pokrenute i kad to možete dokazati stanjem paketa i vremenom pokretanja procesa. Sam broj verzije prikazan u panelu za to nije dovoljan jer ga backporti često ostavljaju nepromijenjenim.

## O čemu se kod PHP2Shella na Plesk poslužiteljima radi

PHP2Shell označava dvije kritične ranjivosti u samom PHP-u (CVE-2026-109618 i CVE-2026-109619, svaka CVSS v4.0 9,2). One napadačima omogućuju izvršavanje koda na poslužitelju bez prijave. Pogođeni su, među ostalim, PHP-FPM i Apache s mod_php, dakle upravo načini rada koje Plesk postavlja za web-stranice.

PHP projekt je 21. 10. 2026. objavio ispravljene verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja. Plesk poslužitelji imaju jednu posebnost: ovdje često paralelno radi više PHP verzija, dijelom od samog Plesk-a, dijelom od operacijskog sustava. Svaka od njih traži vlastitu provjeru.

> **Važno:**
> Ažuriranje u panelu zamjenjuje datoteke na disku. Dok stari PHP procesi rade u memoriji, ranjivost ostaje otvorena. Bez ponovnog pokretanja svih workera zakrpa nije djelotvorna.

## Plesk PHP ažuriranje: najprije popišite postojeće stanje

Prije ažuriranja izradite popis svih PHP handlera i domena koje ih koriste. To možete putem panela (Alati i postavke, PHP postavke) ili naredbenim retkom. Sljedeće naredbe ništa ne mijenjaju, samo čitaju.

```bash
# Svi registrirani PHP handleri s verzijom i putanjom
plesk bin php_handler --list

# Verzija svake PHP verzije koju je instalirao Plesk (putanja kao primjer)
for p in /opt/plesk/php/*/bin/php; do echo "$p"; "$p" -v | head -1; done
```

Za svaki handler zabilježite: verziju, način rada (FPM, FastCGI, Apache modul) i broj domena. Handler bez domene nije razlog za olakšanje. Može se kasnije dodijeliti ili raditi na testnim poddomenama.

## Provjerite stanje paketa, a ne prikaz

Plesk prikazuje broj verzije koji PHP sam javlja. Ako Plesk ili distribucija isporuče ispravak kao backport, tamo i dalje može stajati primjerice 8.2.34, iako je ispravak ugrađen. Obrnuto, naizgled aktualan broj može zavarati ako paket još nije povučen. Odlučujući su instalirano stanje paketa i pisana potvrda pružatelja.

```bash
# Debian/Ubuntu (nazivi paketa kao primjer)
dpkg -l | grep -E 'plesk-php|php[0-9.]+-(fpm|cli)'

# AlmaLinux/Rocky/RHEL (nazivi paketa kao primjer)
rpm -qa | grep -E 'plesk-php|^php' | sort
```

Usporedite verzije paketa s podacima u Plesk zapisnicima promjena i napomenama Vaše distribucije. Ako tamo nije jednoznačno dokumentirano da su CVE-2026-109618 i CVE-2026-109619 ispravljeni, pitajte pružatelja. Predložak za to naći ćete u članku [Pitajte pružatelja hostinga za stanje zakrpe](https://phpsos.de/hr/ratgeber/hoster-patch-status-erfragen/).

## Instalirajte ažuriranje i ponovno pokrenite sve workere

Samo ažuriranje provodi se putem Plesk instalera ili upravitelja paketa sustava. Nakon toga slijedi korak koji najčešće izostaje: ponovno pokretanje. Svaka PHP verzija pod Pleskom ima vlastitu FPM uslugu. Ponovno pokrenite sve, ne samo onu glavne domene.

```bash
# Popis svih PHP-FPM usluga (nazivi usluga kao primjer)
systemctl list-units --type=service | grep -i 'php.*fpm'

# Ponovno pokrenite svaku uslugu, npr.:
systemctl restart plesk-php84-fpm

# Provjerite vrijeme pokretanja PHP procesa koji rade
ps -eo pid,lstart,cmd | grep -E 'php-fpm|php-cgi' | grep -v grep
```

Ako domena radi s Apacheom i mod_php, Apache ponovno pokrenite u cijelosti. Ako je vrijeme pokretanja PHP procesa prije ažuriranja, proces još nije obnovljen. Više o ovom koraku nalazi se u članku [Ponovno pokretanje PHP-FPM-a i svih workera](https://phpsos.de/hr/php2shell/php-fpm-neustart/).

## Privremena zaštita ako ažuriranje još nedostaje

Ako za neku verziju zakrpa još nije dostupna, php.net preporučuje privremene mjere. One nisu potpuna zaštita. Pod Pleskom vrijednosti koje aplikacije ne smiju nadjačati postavite kao `php_admin_value` u dodatnim FPM direktivama domene ili na razini cijelog poslužitelja u php.ini odgovarajuće verzije.

```ini
; Primjer dodatnih PHP-FPM direktiva u Pleskju
php_admin_value[session.upload_progress.enabled] = 0
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M
```

Uz uploade php.net predviđa `post_max_size = 32M`, a `upload_max_filesize` ispod toga. Na PHP-u 8.5 dodaje se `fatal_error_backtraces=0`. Ograničenje memorije putem `memory_limit=-1` smije se koristiti samo zajedno s ograničenjem na razini kontejnera ili cgroupa. Nakon toga ponovno slijedi restart svih workera. Pojedinosti su u članku [Hitne mjere bez zakrpe](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/). BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelji privremeno odvoje s mreže ako ažuriranje nije odmah moguće.

## Nakon zakrpe: osigurajte zapisnike i provjerite tragove

Zakrpa zatvara ranjivost za budućnost. Ne uklanja zlonamjerni softver koji je ubačen prije i ne dokazuje da se ništa nije dogodilo. Zato sačuvajte zapisnike web-poslužitelja od 20. 10. 2026. Plesk ih po domeni sprema u direktorij `logs`; u ovoj situaciji nemojte skraćivati rok čuvanja.

Obratite pozornost na nove ili izmijenjene PHP datoteke u direktorijima za upload, nepoznate planirane zadatke i nove administratorske račune. Objavljenih, potvrđenih indikatora kompromitacije (Indicators of Compromise) zasad nema; prepoznavanje se temelji na analizi ponašanja. Ako pronađete nepravilnosti, ne nastavljajte na vlastitu ruku, nego najprije osigurajte stanje sustava.

## Kako PHP SOS konkretno pomaže?

- Popisujemo sve PHP handlere Vašeg Plesk poslužitelja, pridružujemo im domene i provjeravamo stvarno stanje paketa po verziji.
- U okviru naše [usluge PHP zakrpa](https://phpsos.de/hr/leistungen/php-patch-service/) instaliramo ažuriranja, ponovno pokrećemo sve usluge i kao dokaz dokumentiramo vremena pokretanja procesa.
- Gdje zakrpa nedostaje, privremene mjere prema php.net-u postavljamo na razini cijelog poslužitelja i tako da se ne mogu nadjačati.
- Osiguravamo zapisnike i tražimo tragove kompromitacije, a u slučaju nalaza uz [odgovor na incidente](https://phpsos.de/hr/leistungen/incident-response/).
- Nakon toga trajno ojačavamo poslužitelj i uklanjamo PHP verzije koje nisu potrebne.


## Česta pitanja

**Zašto Plesk nakon ažuriranja i dalje prikazuje PHP 8.2.34?**  
Distribucije i pružatelji sigurnosne ispravke ponekad ugrađuju kao backport, a da se broj verzije ne promijeni. Tada su mjerodavni stanje paketa i potvrda pružatelja. Sam prikaz ne dokazuje ni da zakrpa postoji ni da je nema.

**Je li dovoljno u Plesk panelu kliknuti na Ažuriraj?**  
Ažuriranje postavlja nove datoteke, ali PHP procesi koji rade i dalje u memoriji koriste stari kod. Novo stanje postaje aktivno tek nakon ponovnog pokretanja svih PHP-FPM usluga i web-poslužitelja. Nakon toga provjerite vrijeme pokretanja procesa.

**Moram li zakrpati i PHP verzije koje nijedna domena ne koristi?**  
Da, ako ostaju instalirane. Nekorišteni handler kasnije se može slučajno dodijeliti ili biti dostupan putem testnih okruženja. Nepotrebne verzije bolje je u potpunosti deinstalirati.

**Pomaže li WordPress ažuriranje u Plesk Toolkitu protiv PHP2Shella?**  
Ne. PHP2Shell pogađa sam PHP, a ne CMS. Ažuriranje CMS-a ipak je korisno, ali ovu ranjivost ne zatvara.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net: podržane verzije](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)