# Poslužitelj hakiran, što učiniti? Prvi koraci i hitna pomoć

> Poslužitelj hakiran, što učiniti? Ništa ne brisati, sačuvati tragove, razjasniti pristupe. Preuzimamo na daljinu. Nazovite ili pišite putem WhatsAppa.

Izvor: https://phpsos.de/hr/soforthilfe/server-gehackt-was-tun/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Jeste li pogođeni? Nazovite. Pomažemo. Ako sumnjate da je Vaš poslužitelj hakiran, na prvom mjestu je jedno: sačuvati tragove. Od prve poruke na daljinu preuzimamo prikaz stanja, osiguranje, obuzdavanje, čišćenje i dokumentaciju dok incident nije zaključen.

> **Djelujte odmah:**
> **Sada ništa ne brisati i ništa ne postavljati iznova.** Ni sigurnosnu kopiju ne vraćati prije nego što se stanje osigura. Tko čisti, uništava upravo one tragove koji pokazuju kako je napadač ušao. [Prijavite hitni slučaj](https://phpsos.de/hr/notfall/), zatim ćemo postupati zajedno.

## Jeste li pogođeni? Znakovi da je poslužitelj hakiran

Sumnja je dovoljna da se javite. Napad ne morate dokazati. Tipične naznake su:

- Web-poslužitelj ili PHP-FPM pokreće procese poput `sh` ili `bash`. To je snažan znak upozorenja koji objašnjavamo na stranici [Web-poslužitelj pokreće ljusku](https://phpsos.de/hr/blog/webserver-startet-shell/).
- U mapama za prijenos, predmemoriju ili privremene datoteke nalaze se nove ili nepoznate PHP datoteke.
- Postoje cron poslovi koje nitko nije izradio ili SSH ključevi koje nitko ne može pripisati.
- Opterećenje je bez vidljivog razloga veliko ili poslužitelj uspostavlja neobične odlazne veze.
- E-pošta s Vašeg poslužitelja završava u spamu ili se odbija.
- Pružatelj hostinga, klijent ili upozorenje u pregledniku prijavljuje zlonamjerni kod.
- U CMS-u se pojavljuju administratorski računi koje nitko nije izradio.

Dodatne znakove pronaći ćete na stranici [Jesam li već kompromitiran?](https://phpsos.de/hr/php2shell/bin-ich-gehackt-anzeichen/). Ako se podudara više točaka, poslužitelj smatrajte hakiranim dok se ne dokaže suprotno.

## Poslužitelj hakiran: što učiniti odmah

1. **Ostati miran i ništa ne mijenjati.** Ne brisati datoteke, nikakvi „brzi popravci“, nikakva ponovna instalacija preko starog stanja.
2. **Zabilježiti vrijeme.** Zapišite što ste kada opazili i tko je zadnji unosio promjene u sustav.
3. **Sačuvati zapisnike.** Zapisnici pristupa, pogrešaka i sustava ne smiju se rotirati niti prepisivati. Kod PHP2Shella stručni tisak savjetuje čuvanje zapisnika poslužitelja od 20. 10. 2026.
4. **Smanjiti napadnu površinu.** Poslužitelj odspojite s javne mreže ili ga blokirajte vatrozidom ako bi podaci mogli curiti. Nemojte ga jednostavno isključiti.
5. **Prikupiti pristupe.** Tko ima SSH, panel, FTP, CMS i pristup bazi podataka? Lozinke mijenjajte tek nakon dogovora i samo s čistog uređaja.
6. **Odrediti kontakt osobu.** Osoba s ovlastima za odlučivanje trebala bi biti dostupna, i za isključivanje i ponovna pokretanja.
7. **Javite se odmah.** Nazovite ili pišite putem WhatsAppa. Sve ostalo razjašnjavamo s Vama korak po korak.

## Odspojiti s mreže ili pustiti da radi?

To je najčešće pitanje u prvim minutama i nema općeg odgovora. Ako radi web-shop s plaćanjima ili portal s podacima o klijentima, uglavnom prevladava zaštita podataka. Tada je privremena izolacija ispravna, primjerice putem stranice o održavanju ili pravila vatrozida koje samo Vaše administratore propušta.

Tvrdo isključivanje rijetko je najbolji prvi korak, jer se u radnoj memoriji nalaze tragovi koje ponovno pokretanje briše. Bolja je slika sustava, primjerice snapshot kod pružatelja hostinga, prije nego što se išta promijeni. U situaciji s PHP2Shellom BSI preporučuje web-poslužitelje privremeno odspojiti s mreže ako ažuriranje nije odmah moguće. To ne znači da je svaki isključeni poslužitelj hakiran.

Hoćete li u svom slučaju izolirati, ograničiti ili pustiti da radi, odlučujemo s Vama na temelju onoga što se nalazi na sustavu.

## Postaviti iznova ili očistiti?

Mnogi bi poslužitelj najradije odmah ponovno izgradili. To nije pogrešno, ali tek nakon osiguranja. Inače ostaje nejasno kako je napadač ušao, a isti put stoji otvoren i novom sustavu. Odvagivanje opisuje stranica [Ponovno postaviti poslužitelj ili ga očistiti?](https://phpsos.de/hr/blog/neu-aufsetzen-oder-bereinigen/), a osiguranje prije ponovne izgradnje stranica [Osigurajte dokaze prije ponovne instalacije](https://phpsos.de/hr/blog/beweise-sichern-vor-neuinstallation/).

Važno: sama PHP zakrpa ne rješava problem. Ona zatvara ranjivost, ali ne uklanja već ubačeni zlonamjerni softver. Kako pronaći tragove u zapisnicima, opisuje stranica [Analiza zapisnika web-poslužitelja nakon napada](https://phpsos.de/hr/ratgeber/logfiles-auswerten/). I pretpostavite da su pristupni podaci iz konfiguracijskih datoteka pročitani: pristupi bazi podataka, e-pošti i API-ju spadaju na popis tajni koje treba obnoviti.

## Kako PHP SOS konkretno pomaže?

1. **Procijeniti situaciju:** S Vama razjašnjavamo što je opaženo, koji bi sustavi mogli biti pogođeni i koji se podaci tamo nalaze.
2. **Osigurati i zatvoriti:** Osiguravamo datoteke, bazu podataka i zapisnike prije nego što se išta promijeni. Zatim obuzdavamo napad i zatvaramo ulazna vrata, kod PHP2Shella zakrpom i ponovnim pokretanjem svih PHP procesa.
3. **Provjeriti i očistiti:** Tražimo web shellove, stražnja vrata, cron poslove i tuđe pristupe te ih uklanjamo. Pojedinosti su na stranici [Uklanjanje malwarea i web shellova](https://phpsos.de/hr/leistungen/malware-entfernung/).
4. **Ojačati i izvijestiti:** Dobivate dokumentaciju s vremenskom crtom, nalazištima i preporukama. Ako incident nadiđe jedan poslužitelj, prelazimo na strukturirani [odgovor na incident](https://phpsos.de/hr/leistungen/incident-response/).

## Što ne bi trebalo činiti

U stresu se događaju izbježive pogreške. Ne brišite „sumnjive“ datoteke na sumnju ako ih prije niste osigurali. Ne izvršavajte naredbe s foruma koje ne razumijete. I ne instalirajte sigurnosne dodatke na poslužitelj koji je možda već kompromitiran: zlonamjerni kod može zavarati skenere, a rezultat Vas uljuljkuje u lažnu sigurnost. Oprez i kod savjeta da se blokiraju svi zahtjevi s određenim ID-om sesije; stručni autori takve savjete o PHP2Shellu izričito odbacuju. Vlastitu verziju možete pouzdano provjeriti naredbom `php -v` i uvidom u changelog paketa svoje distribucije, jer backportovi često ostavljaju broj verzije isti.

## Što nam trebate poslati

- kratak opis: što je uočeno, od kada, što je zadnje mijenjano
- vrsta sustava: vlastiti poslužitelj, vServer, upravljani poslužitelj ili hosting paket
- pristup putem SSH-a ili panela ili dopuštenje da razgovaramo s Vašim pružateljem hostinga
- napomene o postojećim sigurnosnim kopijama i njihovoj starosti
- upozorenja pružatelja hostinga, preglednika ili klijenata u izvornom tekstu

Ako nešto od toga nedostaje, ipak se javite. Praznine zatvaramo u razgovoru.

## Zašto PHP SOS

Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu, radimo na daljinu, bez dolaska, u cijeloj Njemačkoj i Europi. Svaki se korak dokumentira, a otvoreno razdvajamo dokazano, vjerojatno i nepoznato. Obećanja koja nitko ne može ispuniti ne dajemo. Pregled naknadne obrade nalazi se u [Kontrolnom popisu nakon hakiranja](https://phpsos.de/hr/ratgeber/checkliste-nach-dem-hack/), cjelokupna hitna pomoć na stranici [Web-stranica hakirana? Hitna pomoć na daljinu](https://phpsos.de/hr/leistungen/website-gehackt-notfallhilfe/). O obvezi prijave kod povreda podataka pročitajte [pravilo od 72 sata](https://phpsos.de/hr/compliance/dsgvo-meldepflicht-72-stunden/); pravnu procjenu prepuštamo službenicima za zaštitu podataka i odvjetnicima.

## Jeste li pogođeni? Nazovite. Pomažemo.

Ne čekajte da iz sumnje nastane veća šteta. Preuzimamo od prve poruke i ostajemo uz Vas dok incident nije zaključen i dokumentiran. [Prijavite hitni slučaj odmah](https://phpsos.de/hr/notfall/).


## Česta pitanja

**Poslužitelj hakiran: trebam li ga odmah isključiti?**  
Ne ishitreno. Isključivanje može uništiti prolazne tragove u radnoj memoriji. Bolje je poslužitelj odspojiti s mreže ili ga izolirati vatrozidom i prvo osigurati stanje. Ako niste sigurni, javite nam se prije toga.

**Kako saznati je li moj poslužitelj doista hakiran?**  
Naznake daju procesi koje pokreće web-poslužitelj, nove PHP datoteke u mapama za prijenos ili predmemoriju, nepoznati cron poslovi i SSH ključevi te neuobičajene odlazne veze. Sigurnost daje tek analiza zapisnika i datoteka. Ne postoje potvrđeni PHP2Shell indikatori, otkrivanje se temelji na analizi ponašanja.

**Je li PHP ažuriranje dovoljno ako je poslužitelj već hakiran?**  
Ne. Zakrpa zatvara ulazna vrata, ali ne uklanja već ubačeni zlonamjerni softver i ne dokazuje da se prije nije ništa dogodilo. Nakon ažuriranja moraju se uz to ponovno pokrenuti svi PHP procesi.

**Moram li hakirani poslužitelj prijaviti?**  
Ako bi mogli biti pogođeni osobni podaci, prijava nadzornom tijelu u roku od 72 sata može biti potrebna. Procjenu daje Vaš službenik za zaštitu podataka ili odvjetnik, a mi za to isporučujemo tehničke činjenice.

**Mogu li hakirani poslužitelj očistiti sam?**  
Kod malih sustava to je moguće, ali rizično: tko ukloni samo vidljive datoteke, često previdi stražnja vrata, cron poslove ili pristupe. Mi provjeravamo je li čišćenje dovoljno ili je smislenije ponovno izgraditi sustav iz čistih izvora.

## Izvori

- [BSI: Savezni ured za informacijsku sigurnost](https://www.bsi.bund.de/)
- [GDPR čl. 33.: prijava nadzornom tijelu](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)