# Jeste li pogođeni PHP2Shellom? Razjasnite to odmah

> Niste sigurni jesu li Vaši poslužitelji pogođeni PHP2Shellom? Na daljinu provjeravamo verziju, način rada i zakrpe. Nazovite ili pišite putem WhatsAppa.

Izvor: https://phpsos.de/hr/soforthilfe/php2shell-betroffen/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Jeste li pogođeni PHP2Shellom, ovisi o tri stvari: verziji PHP-a, načinu rada i tome je li i kako zakrpano. Ako niste sigurni, javite se odmah. Jeste li pogođeni? Nazovite. Pomažemo. Razjašnjavamo to na daljinu na samom poslužitelju, a ne po osjećaju, i zatvaramo ranjivost ako je otvorena.

> **Djelujte odmah:**
> **Sada ništa ne brisati i ništa ne postavljati iznova.** Čak i ako samo želite razjasniti jeste li pogođeni: ako je poslužitelj možda već napadnut, trebamo datoteke i zapisnike nepromijenjene. [Prijavite hitni slučaj](https://phpsos.de/hr/notfall/), a zatim zajedno prolazimo provjeru.

## Jeste li pogođeni? Ovi slučajevi spadaju na popis za provjeru

PHP2Shell su dvije kritične ranjivosti u samom PHP-u (CVE-2026-109618 i CVE-2026-109619, obje s najvišom ocjenom 9.2 prema CVSS v4.0). Omogućuju zlonamjerni kod na daljinu bez prijave. Pogođeni mogu biti svi načini rada: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Provjerite svaki od tih sustava:

- vlastite poslužitelje, vServere i root poslužitelje s PHP-om
- hosting pakete i upravljane poslužitelje, čak i ako nemate pristup konfiguraciji
- kontejnere i platformske usluge koje donose PHP image
- testne sustave, staging okoline i zaboravljene stare sustave dostupne s interneta
- NAS uređaje, appliance uređaje ili softver pružatelja usluga koji interno koriste PHP

Upravo zaboravljeni sustavi su rizik. Prema Unit 42 postoji više od 22,6 milijuna izloženih, potencijalno ranjivih instanci, a BSI je računao s brzim iskorištavanjem u velikom opsegu.

## Što učiniti odmah

1. **Izraditi popis.** Zapišite sve poslužitelje, domene i hosting ugovore na kojima radi PHP te tko je za njih odgovoran.
2. **Utvrditi verziju PHP-a po sustavu.** Na poslužiteljima naredbom `php -v`. Imajte na umu da naredbeni redak može koristiti drugu verziju od web-poslužitelja.
3. **Razjasniti način rada.** Radi li PHP kao PHP-FPM, kao mod_php ili putem LiteSpeeda? Kod mod_php-a PHP tim rizik procjenjuje najvišim.
4. **Pitati pružatelja hostinga i davatelje usluga.** Pisanim putem: Koja verzija radi, je li ispravak instaliran, jesu li svi procesi ponovno pokrenuti?
5. **Sačuvati zapisnike.** Stručni tisak savjetuje čuvanje zapisnika od 20. 10. 2026.
6. **Ne čekati dugo.** Ako je sustav otvoren, a zakrpa nije odmah moguća, BSI preporučuje web-poslužitelj privremeno odspojiti s mreže.

## Kako PHP SOS konkretno pomaže?

Pogođenost razjašnjavamo na daljinu i uz dokaze.

1. **Procijeniti situaciju:** Dajemo si opisati Vaš popis i razvrstavamo sustave prema dostupnosti i riziku.
2. **Osigurati i zatvoriti:** Gdje je otvoreno, prvo osiguravamo stanje, a zatim zatvaramo ranjivost ažuriranjem uz ponovno pokretanje. Gdje to nije odmah moguće, postavljamo privremene mjere koje nisu potpuna zaštita.
3. **Provjeriti i očistiti:** Provjeravamo je li ranjivost iskorištena prije zakrpe i po potrebi čistimo. Jasno razdvajamo je li poslužitelj pogođen i je li možda već napadnut.
4. **Ojačati i izvijestiti:** Dobivate popis po sustavu: verzija, način rada, dokaz o zakrpi, otvorene točke.

## Kako dokazati pogođenost

Sam broj verzije nije dovoljan jer pružatelji ispravke prenose unatrag. Ubuntu 24.04 prema izvješćima i nakon ažuriranja i dalje prikazuje 8.3.6. Tri su puta pouzdana:

| Put | Što pokazuje | Granica |
|---|---|---|
| Usporediti verziju s ispravljenim stanjima | 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili viša je ispravljena | vrijedi samo za izvorne verzije, ne za backportove |
| Test na `memory_hard_limit_percent` | `bool(false)` znači: direktiva nepoznata, dakle pogođeno | izvesti zasebno po verziji i načinu rada |
| Pretražiti changelog paketa po CVE brojevima | dokazuje backportove kod distribucija | izvor je sigurnosni arhiv pružatelja |

Test izgleda ovako:

```bash
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
```

Kako uredno provjeriti verziju i stanje zakrpe, piše na stranici [Ispravna provjera verzije PHP-a i stanja zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/). Pregled grana daje stranica [Koje su verzije PHP-a pogođene?](https://phpsos.de/hr/php2shell/betroffene-php-versionen/). Zašto prikaz unatoč zakrpi može izgledati star, objašnjava članak [php -v prikazuje stari broj](https://phpsos.de/hr/blog/php-v-zeigt-alte-nummer/).

## Pogođeno i više se ne može zakrpati: PHP 8.1 i stariji

Za PHP 8.1 i starije više ne postoje službena ažuriranja PHP projekta, samo minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1. Tko koristi takvu verziju, uglavnom ima dva puta: pružatelja s dokazanim backportom ili prelazak na održavanu verziju. Komercijalne ponude dugoročne podrške postoje, ali pokrivaju li PHP2Shell i kada, pružatelj mora potvrditi pisanim putem. Pomažemo pri procjeni na stranici [PHP 8.1 i stariji: što sada vrijedi](https://phpsos.de/hr/php2shell/php-8-1-und-aelter/) i pri provedbi u [usluzi zakrpanja PHP-a](https://phpsos.de/hr/leistungen/php-patch-service/).

## Što nam trebate poslati

- popis Vaših poslužitelja, domena i pružatelja hostinga
- verziju PHP-a po sustavu, koliko je poznata
- način rada i web-poslužitelj, koliko su poznati
- podatak je li uključen Cloudflare ili druga zaštita i može li se izvorni poslužitelj dosegnuti izravno
- odgovore Vašeg pružatelja hostinga, ako ste ih već zatražili
- kontakt osobu za odobrenja i ponovna pokretanja

## Zašto PHP SOS

Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu koja prolazi Vaš popis i dokazuje svaku tvrdnju, umjesto da samo čita brojeve verzija. Radimo na daljinu, bez dolaska, i dokumentiramo što smo provjerili. Izjavu poput „sigurno“ dajemo samo koliko se može dokazati. Za veća okruženja dolazi u obzir [PHP2Shell hitna pomoć](https://phpsos.de/hr/leistungen/php2shell-soforthilfe/).

## Jeste li pogođeni? Nazovite. Pomažemo.

Ako ne znate jeste li pogođeni, to je dovoljan razlog da se javite odmah. Nazovite ili pišite putem WhatsAppa. Preuzimamo od prve poruke i razjašnjavamo to s Vama na poslužitelju. [Prijavite hitni slučaj odmah](https://phpsos.de/hr/notfall/).


## Česta pitanja

**Jesam li pogođen PHP2Shellom ako koristim samo WordPress ili web-shop?**  
Moguće da. Ranjivosti su u PHP-u, a ne u CMS-u. Odlučujuće je koja verzija PHP-a i koji način rada se kod Vas stvarno isporučuje, a WordPress ažuriranje tu ništa ne mijenja.

**Je li broj verzije dovoljan da znam jesam li zakrpan?**  
Ne uvijek. Distribucije i pružatelji hostinga ispravke ponekad ugrađuju kao backport pa broj ostaje isti. Mjerodavni su changelog paketa s CVE brojevima ili pisana potvrda Vašeg pružatelja.

**Postoji li brz test sadrži li moja verzija PHP-a ispravak?**  
Prema PHP priručniku pogođena je verzija koja ne poznaje direktivu memory_hard_limit_percent. Test se mora izvesti zasebno za svaku verziju PHP-a i način rada, jer naredbeni redak može koristiti drugu verziju od web-poslužitelja.

**Jesu li pogođene i starije verzije PHP-a poput 7.4 ili 8.0?**  
Prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Za 8.1 i starije PHP projekt više ne izdaje službena ažuriranja, samo minimalne backportove izvornog koda. Je li ih pružatelj instalirao, mora potvrditi.

**Štiti li me Cloudflare ako sam pogođen?**  
Djelomično. Cloudflare je uveo zaštitna pravila, ali i sam upozorava da ona ne zamjenjuju ažuriranje. Ako je Vaš izvorni poslužitelj dostupan izravno, zaštita se zaobilazi.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [PHP priručnik: osnovna konfiguracija (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [PHP: podržane verzije](https://www.php.net/supported-versions.php)
- [BSI: Savezni ured za informacijsku sigurnost](https://www.bsi.bund.de/)