Slovar: PHP in IT-varnost

Strokovni izrazi (125) v jasnih besedah, vsak s povezavo na ustrezno strokovno stran.

#A B C D E F G H I J K L M N O P R S T U V W X Z

#

2FA: 2FA (dvofaktorska avtentikacija) pri prijavi poleg gesla zahteva še drugo dokazilo, na primer kodo iz aplikacije ali varnostni ključ. Ukradeno geslo samo potem ne zadošča več. Za vse skrbniške dostope do CMS-jev, nadzorne plošče gostovanja in strežnikov naj bo 2FA standard. Uvedba dvofaktorske avtentikacije za skrbniške dostope →
3-2-1-Backup: Pravilo 3-2-1 priporoča tri kopije podatkov na dveh različnih nosilcih, od tega eno na drugem mestu. Vsaj ena kopija naj bo s strežnika nespremenljiva, da je napadalci ne morejo izbrisati ali šifrirati. Varnostna kopija šteje šele, ko je obnovitev preizkušena. Strategija varnostnih kopij strežnika: varnostne kopije po pravilu 3-2-1 →

A

Apache: Spletni strežnik Apache HTTP Server je eden najstarejših in najbolj razširjenih spletnih strežnikov. PHP v njem teče bodisi kot modul (mod_php) bodisi prek PHP-FPM po FastCGI. Z datotekami .htaccess je mogoče konfiguracijo prilagajati po mapah. Zaščita Apacheja z mod_php →
AVV: Pogodba o obdelavi osebnih podatkov (AVV) po 28. členu GDPR je potrebna, kadar izvajalec po naročilu obdeluje osebne podatke ali lahko do njih dostopa. To pogosto velja tudi za ponudnike gostovanja, agencije in IT-izvajalce z dostopom do strežnika. Pogodba med drugim ureja navodila, zaščitne ukrepe in poti prijave. Obdelava po naročilu, kadar ponudniki dostopajo do strežnikov →

B

Backdoor: Backdoor (stranska vrata) je skrit dostop, prek katerega se lahko napadalci po vdoru vrnejo. Lahko je datoteka, skrbniški račun, cron opravilo ali ključ SSH. Zato sodi v vsako čiščenje iskanje vseh vrst dostopov, ne samo datotek. Backdoor v WordPressu: sistematično iskanje stranskih vrat →
Backport: Backport prenese varnostni popravek v starejšo različico programa, ne da bi bilo treba preiti na novo različico. Distribucije Linuxa in ponudniki gostovanja to pogosto počnejo; prikazana številka različice ostane enaka. Ali je backport nameščen, dokazujeta dnevnik sprememb paketa in potrditev ponudnika, ne številka. Nadgradnja PHP ali prenos popravka (backport)? Odločitev za stare sisteme →
Beweissicherung: Zavarovanje dokazov pomeni, da se sledi incidenta zavarujejo, preden se zaradi čiščenja, ponovnega zagona ali nove namestitve izgubijo. Sem sodijo dnevniške datoteke, slike nosilcev podatkov in glede na primer delovni pomnilnik. Strokovni tisk po PHP2Shell svetuje hranjenje dnevnikov strežnika od 20. 10. 2026. Zavarujte dokaze, preden strežnik postavite znova →
Brute Force: Pri napadu brute force napadalec samodejno preizkuša veliko gesel za račun. Cilj so pogosto skrbniške prijave CMS-jev, SSH ali FTP. Zaščito nudijo močna gesla, dvofaktorska prijava in samodejne blokade, kot je Fail2ban. Zaščita skrbniških prijav pred brute force: zaščita pred brute force za vsako prijavo →
BSI: BSI (Bundesamt für Sicherheit in der Informationstechnik, nemški zvezni urad za informacijsko varnost) je nemški zvezni organ za kibernetsko varnost. Objavlja opozorila, priporočila in standarde, kot je IT-Grundschutz. Za PHP2Shell je BSI razglasil opozorilno stopnjo 3 (oranžna) in priporočil takojšnjo posodobitev. Kaj BSI priporoča glede PHP2Shell →

C

CDN: CDN (Content Delivery Network) vsebino streže prek številnih porazdeljenih strežnikov in je tako pred pravo spletno stranjo. Številni CDN-ji dodatno ponujajo pravila WAF, na primer Cloudflare proti PHP2Shell. Zaščita deluje samo za promet prek CDN in ne nadomešča posodobitve PHP. Zaščitna pravila Cloudflare proti PHP2Shell: kaj zmorejo in česa ne →
CERT-Bund: CERT-Bund (nemški vladni CERT) je Computer Emergency Response Team nemške zvezne uprave pri BSI. Objavlja opozorilne in informacijske storitve o ranljivostih ter obvešča upravljavce omrežij o ranljivih sistemih. Tudi glede PHP2Shell je CERT-Bund izdal opozorilo. Kaj CERT-EU in CERT-Bund svetujeta glede PHP2Shell →
CERT-EU: CERT-EU je skupina za kibernetsko varnost za institucije, organe in agencije Evropske unije. Po poročilih CERT-EU meni, da so pri PHP2Shell lahko prizadete različice od PHP 5 naprej. Svetuje, da se javno dostopne aplikacije izolirajo, če jih ni mogoče popraviti v kratkem času. Kaj CERT-EU in CERT-Bund svetujeta glede PHP2Shell →
CGI: CGI (Common Gateway Interface) je star vmesnik, pri katerem spletni strežnik za vsako zahtevo zažene zunanji program in vrne njegov izpis. Je preprost, a počasen in ga je za PHP večinoma nadomestil FastCGI. Stare nastavitve CGI se še najdejo na nekaterih sistemih za gostovanje in sistemih Windows. CGI in FastCGI: osnove →
cgroups: cgroups (Control Groups) so funkcija jedra Linux, s katero je mogoče omejiti pomnilnik, CPE in druge vire za skupine procesov. Uporabljajo jih containerji in systemd, na primer z MemoryMax. php.net kot vmesni ukrep proti PHP2Shell priporoča omejitev pomnilnika prek containerja ali cgroup namesto prek RLIMIT_AS ali RLIMIT_DATA. Nastavitev pomnilniških mej s systemd in cgroups →
Chain of Custody: Chain of custody (veriga hrambe dokazov) brez vrzeli dokumentira, kdo je dokaz kdaj zavaroval, predal in obdelal. Skupaj s kontrolnimi vsotami dokazuje, da podatki niso bili spremenjeni. Brez te dokumentacije sledi pred sodiščem ali pri zavarovalnicah izgubijo vrednost. IT-forenzika po napadu na spletni strežnik →
Changelog: Changelog (dnevnik sprememb) našteva spremembe različice programa ali paketa, pri varnostnih popravkih praviloma s številko CVE. V Debianu in Ubuntuju dnevnik sprememb paketa prikaže apt-get changelog, v družini RHEL pa rpm -q --changelog. Tako je backport mogoče dokazati tudi pri enaki številki različice. Dokazovanje številk CVE v changelogu paketa →
CLI: CLI (Command Line Interface) je PHP v ukazni vrstici, na primer za cron opravila, konzolne ukaze CMS-jev in Composer. PHP v CLI je lahko druga različica kot PHP, ki streže spletne strani. Ukaz php -v zato prikaže samo različico ukazne vrstice; popravljeni morata biti obe poti. PHP v ukazni vrstici (CLI) →
CloudLinux: CloudLinux je distribucija Linuxa za shared hosting, ki stranke loči v omejena okolja. Z alt-php daje na voljo številne različice PHP druga ob drugi, tudi starejše. Vsaka od teh različic mora biti popravljena posebej. CloudLinux in alt-php: kaj naj vedo stranke gostovanja →
Command Injection: Pri command injection vnosi nepreverjeni pridejo v sistemski ukaz, ki ga aplikacija izvede. Napadalec tako s pravicami spletnega strežnika zažene lastne ukaze. Zaščito nudita opustitev klicev lupine, kjer je mogoče, in dosledno maskiranje z escapeshellarg(). Preprečevanje command injection v PHP →
Composer: Composer je upravljalnik paketov za PHP. Knjižnice namešča po podatkih v composer.json, natančne različice pa beleži v composer.lock. S composer audit je mogoče nameščene pakete preveriti glede znanih varnostnih ranljivosti; ranljivosti v samem PHP ukaz ne najde. Composer: upravljalnik paketov za PHP →
Container: Container je ločeno izvajalno okolje, ki aplikacijo z vsemi odvisnostmi zažene iz slike (image), na primer z Dockerjem. PHP v containerju izvira iz slike, ne iz gostiteljskega sistema. Posodobitev na gostitelju ga zato ne popravi; sliko je treba znova zgraditi in container znova zagnati. Obratovanje PHP v vsebnikih →
cPanel: cPanel je upravljalni panel za spletno gostovanje, z WHM kot vmesnikom za skrbnika strežnika. Različice PHP so tam večinoma na voljo prek lastnih paketov (EasyApache). Katere gradnje so popravljene, potrdita stanje paketa in ponudnik gostovanja. cPanel in WHM: zaščita PHP →
Credential Stuffing: Pri credential stuffing napadalci preizkušajo dostopne podatke iz prejšnjih uhajanj podatkov pri drugih storitvah. Deluje, ker veliko ljudi gesla uporablja večkrat. Zaščito nudijo enkratna gesla za vsako storitev in dvofaktorska prijava. Uvedba dvofaktorske avtentikacije za skrbniške dostope →
CSP: CSP (Content Security Policy) je glava, ki določa, iz katerih virov sme stran nalagati skripte, slike in drugo vsebino. Otežuje XSS in vnos tujih skript, na primer pri skimmingu. Stroga CSP mora biti skrbno preizkušena, da spletna stran še naprej deluje. Varnostne glave za spletne strani: pravilna nastavitev security headers →
CSRF: CSRF (Cross-Site Request Forgery) brskalnik prijavljenega uporabnika pripravi do tega, da na drugi spletni strani nehote sproži dejanje. Značilne so spremembe v skrbniških območjih. Zaščito nudijo naključni žetoni v obrazcih in piškotki z atributom SameSite. Zaščita pred CSRF v aplikacijah PHP →
CVE: CVE (Common Vulnerabilities and Exposures) je po svetu uporabljen imenik, ki vsaki znani varnostni ranljivosti dodeli enolično številko, na primer CVE-2026-109618. Številka naredi obvestila proizvajalcev, organov in distribucij primerljiva. Prek številke CVE je v dnevniku sprememb paketa mogoče preveriti tudi, ali je popravek nameščen. Dokazovanje številk CVE v changelogu paketa →
CVSS: CVSS (Common Vulnerability Scoring System) ocenjuje resnost ranljivosti na lestvici od 0 do 10. Ocena upošteva na primer, ali je napad mogoč prek omrežja in brez prijave. Ranljivosti PHP2Shell imata vsaka CVSS v4.0 9,2; o konkretnem tveganju v vašem okolju sama vrednost ne pove ničesar.
Cyberversicherung: Zavarovanje za kibernetska tveganja glede na pogodbo krije stroške po napadu, na primer za forenziko, obnovitev ali prekinitev poslovanja. Številne pogodbe vsebujejo obveznosti, kot so pravočasne posodobitve in takojšnja prijava škode. Kaj velja v posameznem primeru, razjasnite z zavarovalnico. Kibernetsko zavarovanje: kaj šteje v škodnem primeru →

D

DDoS: Napad DDoS (Distributed Denial of Service) storitev preobremeni z zahtevami iz številnih virov, dokler ni več dosegljiva. Podatki se pri tem praviloma ne ukradejo. DDoS je treba ločiti od exploita, ki ciljno izkoristi ranljivost. DDoS ali vdor hekerjev? Pravilna ocena napada →
Defacement: Pri defacementu napadalci vidno spremenijo začetno stran ali vsebine spletne strani, na primer s sporočili ali slikami. Je opazen, a pogosto samo viden znak globljega vdora. Spletno stran je treba do razjasnitve obravnavati kot ogroženo. Spletna stran vdrta, kaj storiti? Nujna pomoč na daljavo →
Deserialisierung: Deserializacija shranjene podatke pretvori nazaj v objekte, v PHP na primer z unserialize(). Če podatki izvirajo od uporabnikov, lahko napadalci objekte sestavijo tako, da se ob nalaganju izvede neželena koda. Za uporabniške podatke je varnejša izbira JSON. Nevarna deserializacija v PHP: unserialize in varnost →
disable_functions: disable_functions je nastavitev v php.ini, s katero se izklopijo posamezne funkcije PHP, običajno tiste za izvajanje sistemskih ukazov. Nastavi se lahko samo v php.ini, ne v kodi aplikacije. Napadalcem otežuje življenje, vendar ne nadomešča posodobitev ali pravilnih pravic. Pravilna uporaba PHP disable_functions →
display_errors: display_errors določa, ali PHP sporočila o napakah prikaže neposredno v brskalniku. V produkciji mora biti vrednost Off, napake pa se z log_errors zapisujejo v dnevnik. Vidna sporočila sicer izdajo poti, različice in odlomke kode. display_errors off: izklop izpisa napak v produkciji →
DSGVO Art. 33: 33. člen GDPR zavezuje upravljavce, da kršitev varstva osebnih podatkov po možnosti v 72 urah po seznanitvi prijavijo pristojnemu nadzornemu organu. Obveznost odpade samo, če za prizadete osebe verjetno ni tveganja. V posameznem primeru svetujejo pooblaščenci za varstvo podatkov ali odvetniki. Obveznost prijave po GDPR: 72 ur po incidentu →
DSGVO Art. 34: 34. člen GDPR ureja obveščanje prizadetih oseb samih. Potrebno je, če kršitev varstva podatkov verjetno povzroči visoko tveganje za njihove pravice in svoboščine. Ali to velja, je treba oceniti s pooblaščenci za varstvo podatkov ali odvetniki. Obveznost prijave po GDPR: 72 ur po incidentu →

E

EDR: EDR (Endpoint Detection and Response) je programska oprema na strežnikih in delovnih mestih, ki opazuje procese, dostope do datotek in omrežne povezave ter sumljivo vedenje javi ali ustavi. Na spletnih strežnikih lahko na primer prepozna, da PHP-FPM zažene lupino. Ker za PHP2Shell ni potrjenih IOC, je takšna analiza vedenja še posebej pomembna. Opozorilni znak: spletni strežnik zažene lupino →
Embargo: Embargo je dogovorjeni rok, v katerem podrobnosti ranljivosti ostanejo zaupne, dokler popravki niso pripravljeni. Tako lahko proizvajalci in distribucije pripravijo posodobitve. Pri PHP2Shell so podrobnosti po več poročilih postale javne pred iztekom embarga; php.net je zato popravke napovedal 20. 10. 2026. Zakaj je ranljivost PHP postala znana pred popravkom →
End of Life: End of Life (EOL) pomeni, da različica programske opreme od proizvajalca ne prejema več posodobitev, tudi varnostnih popravkov ne. PHP 8.1 in starejše od projekta PHP ne prejemajo več uradnih posodobitev; za 7.4, 8.0 in 8.1 obstajajo samo minimalni backporti izvorne kode. Sistemi z EOL programsko opremo potrebujejo načrt nadgradnje. PHP End of Life: tveganja zastarelih različic →
Exploit: Exploit je koda ali postopek, ki konkretno ranljivost dejansko izkoristi. Ko popravek izide, ga lahko napadalci analizirajo in iz njega izpeljejo exploite. Zato se po objavi popravka čas do napadov pogosto občutno skrajša. Časovno okno med popravkom in napadom →
expose_php: expose_php določa, ali PHP svojo različico izda v glavi HTTP X-Powered-By. V produkciji naj bo nastavitev na Off, da napadalci ne vidijo takoj, katera različica PHP teče. To je zaščita informacij, ne nadomestilo za posodobitev. expose_php in glave Server: skrivanje podatkov o različicah →
Extension: Extension (razširitev) PHP dopolni s funkcijami, na primer za podatkovne zbirke, slike ali šifriranje. Razširitve tečejo v istem procesu kot PHP in imajo enake pravice. Izklop nepotrebnih razširitev zmanjša napadalno površino. Razumevanje razširitev PHP (extensions) →

F

Fail2ban: Fail2ban bere dnevniške datoteke in po ponavljajočih se neuspelih poskusih začasno blokira naslove IP v požarnem zidu. Značilni primeri uporabe so SSH, e-pošta in skrbniške prijave spletnih strani. Proti porazdeljenim napadom iz številnih naslovov pomaga le omejeno. Postavitev Fail2ban za spletne strežnike →
FastCGI: FastCGI je protokol, prek katerega spletni strežnik zahteve posreduje trajno delujočim programskim procesom, na primer PHP-FPM. Za razliko od klasičnega CGI se za vsako zahtevo ne zažene nov proces. Ker procesi zaporedoma obdelujejo več zahtev, je po posodobitvah pomemben čist ponovni zagon. CGI in FastCGI: osnove →
Forensik: IT-forenzika po incidentu metodično preiskuje, kaj se je zgodilo: kako je napadalec prišel noter, kaj je storil in kateri podatki so prizadeti. Podlaga so zavarovane kopije nosilcev podatkov, delovnega pomnilnika in dnevnikov. Rezultati so pomembni za obveznosti prijave, zavarovanje in kazensko ovadbo. IT-forenzika po napadu na spletni strežnik →
FPM-Pool: Pool je skupina procesov PHP-FPM z lastno konfiguracijo, lastnim socketom in idealno lastnim sistemskim uporabnikom. Poseben pool za vsako spletno stran spletne strani med seboj loči, tako da vdor v eno stran ne doseže neposredno datotek drugih. V poolu je mogoče nastavitve trdno določiti s php_admin_value. Izolacija poolov PHP-FPM po spletnih straneh →
FrankenPHP: FrankenPHP je sodoben aplikacijski strežnik za PHP na osnovi spletnega strežnika Caddy. PHP je tam neposredno vdelan, v načinu workerja aplikacija med zahtevami ostane v pomnilniku. FrankenPHP po navedbah ekipe PHP spada med prizadete načine delovanja; po posodobitvi je treba strežnik znova zagnati z novim PHP. Zaščita FrankenPHP →

G

GHSA: GHSA je oznaka GitHub Security Advisory, torej varnostnega obvestila v podatkovni zbirki GitHub. Številni odprtokodni projekti, tudi PHP, tam poleg številke CVE objavljajo svoja obvestila. Za PHP2Shell sta to GHSA-w8hw-w9fx-j79w in GHSA-6wmf-4rv5-p3rp.

H

HSTS: HSTS (HTTP Strict Transport Security) je glava, s katero spletna stran brskalniku sporoči, naj jo določen čas odpira samo prek HTTPS. To prepreči, da bi se povezave znižale na nešifriran HTTP. Pred vklopom mora HTTPS zanesljivo delovati na vseh zadevnih domenah. Varnostne glave za spletne strani: pravilna nastavitev security headers →
.htaccess: Datoteke .htaccess so konfiguracijske datoteke po mapah za Apache in združljive strežnike, kot je LiteSpeed. CMS-ji jih uporabljajo za preusmeritve in zaščito dostopa, napadalci za skrite preusmeritve. Nginx .htaccess ne upošteva; zaščitna pravila morajo tam v konfiguracijo strežnika. Varna konfiguracija Apache za PHP →
Härtung: Utrjevanje pomeni, da se sistem nastavi tako, da ponuja čim manj napadalne površine: samo potrebne storitve, skromne pravice, varne privzete nastavitve. Pri strežnikih PHP sodijo zraven na primer ločeni pooli, blokirane funkcije in brez izvajanja PHP v mapah za nalaganje. Utrjevanje omejuje škodo, a ne nadomešča posodobitev. Utrjevanje strežnika za spletne strežnike PHP →

I

Image-Digest: Image digest je zgoščena vrednost (sha256), ki enolično določa vsebino slike containerja. Za razliko od oznake (tag), kot je php:8.3-fpm, ki jo je mogoče premakniti na nove gradnje, se digest nikoli ne spremeni. Kdor slike trdno določi z digestom, ga mora po varnostni posodobitvi zavestno posodobiti. Uradne slike PHP Docker: oznake, digesti in ponovna gradnja →
Incident Response: Incident response je urejena obravnava varnostnega incidenta: prepoznati, omejiti, zavarovati sledi, očistiti, obnoviti in dokumentirati ugotovitve. Določen potek prepreči, da bi se v naglici uničili dokazi ali spregledala stranska vrata. Pomembne so jasne odgovornosti in neprekinjena dokumentacija. Incident response ob napadih na strežnike →
ini_set(): ini_set() je funkcija PHP, s katero skripta med izvajanjem spremeni nastavitve. Kaj sme skripta spremeniti, je odvisno od načina spreminjanja posamezne nastavitve. Ker lahko ini_set() pokliče tudi škodljiva koda, sodijo zaščitne nastavitve v konfiguracijo strežnika ali poola, ne v kodo aplikacije. php.ini razložena: zgradba, ravni in prednost →
Integritätsprüfung: Pri preverjanju celovitosti se datoteke primerjajo z znanim izvirnim stanjem, večinoma prek kontrolnih vsot. Številni CMS-ji za to ponujajo lastne ukaze, na primer za WordPress, Nextcloud ali Matomo. Prilagojenih datotek, nalaganj in vsebin podatkovne zbirke takšna primerjava ne zajame. Primerjava jedrnih datotek CMS z originalom →
IOC: IOC (Indicator of Compromise) so konkretne sledi napada, na primer imena datotek, zgoščene vrednosti, naslovi IP ali domene. Z njimi je mogoče sisteme ciljno preveriti glede znanega napada. Za PHP2Shell ni objavljenih, potrjenih IOC; odkrivanje temelji na analizi vedenja. Ali sem že ogrožen? Znaki po PHP2Shell →
ISO 27001: ISO/IEC 27001 je mednarodni standard za sisteme upravljanja informacijske varnosti (ISMS). Zahteva urejeno ravnanje s tveganji, ukrepi in izboljšavami, vključno z upravljanjem ranljivosti in incidentov. Podjetja se lahko po njem certificirajo. ISO 27001 in TISAX: kaj zadeva spletne strežnike →
IT-Grundschutz: IT-Grundschutz urada BSI je metodika z moduli in zahtevami za informacijsko varnost v podjetjih in organih. Obstajajo posebni moduli na primer za spletne strežnike in spletne aplikacije. Uporabi se lahko kot podlaga za ISMS ali certificiranje. CIS Benchmarki in moduli BSI za spletne strežnike →

J

JIT: JIT (Just-in-Time compiler) med izvajanjem pogosto izvajano kodo PHP prevede v strojno kodo. Prišel je s PHP 8.0 in je del OPcache. Za običajne spletne strani je pridobitev na hitrosti večinoma majhna, pri računsko zahtevnih nalogah pa večja. JIT in zmogljivost v PHP 8 →

K

Kryptominer: Kriptominer je škodljiva programska oprema, ki na tujih strežnikih računa kriptovaluto. Značilni znaki so trajno visoka obremenitev CPE in neznani procesi. Miner kaže, da lahko napadalec izvaja kodo; strežnik naj se potem šteje za ogroženega. Kriptorudar na spletnem strežniku: znaki in postopek →

L

Least Privilege: Least privilege (načelo minimalnih pravic) pomeni, da vsak uporabnik in vsak proces dobi samo pravice, ki jih res potrebuje. Če PHP teče s skromnimi pravicami, lahko napadalec po vdoru povzroči manj škode. To zadeva sistemske uporabnike, pravice datotek, račune podatkovnih zbirk in skrbniške dostope. Least Privilege: pravice uporabnika spletnega strežnika →
Lessons Learned: Lessons learned je priprava po incidentu: kaj se je zgodilo, kaj je delovalo dobro, kaj je treba spremeniti? Cilj so konkretni ukrepi z odgovornimi osebami in roki, ne obtoževanje. Rezultati se vključijo v načrt za nujne primere, postopek popravljanja in usposabljanja. Lessons learned: boljši po incidentu →
LFI: LFI (Local File Inclusion) obstaja, ko aplikacija vključi lokalno datoteko, na katere pot lahko napadalec vpliva. Tako je mogoče brati konfiguracijske datoteke ali pod določenimi pogoji izvesti vnesena koda. Zaščito nudijo trdni seznami dovoljenih namesto imen datotek iz uporabniških vnosov. Preprečevanje Local File Inclusion v PHP: LFI in RFI →
LiteSpeed: LiteSpeed je spletni strežnik, ki je v veliki meri združljiv s konfiguracijami Apache, kot je .htaccess, in PHP povezuje prek lastnega vmesnika LSAPI. Pri ponudnikih gostovanja je razširjen; OpenLiteSpeed je prosta različica. LiteSpeed po navedbah ekipe PHP spada med načine delovanja, ki jih PHP2Shell prizadene. LiteSpeed in LSAPI: posodobitev PHP →

M

Managed Server: Pri upravljanem strežniku (managed server) ponudnik zagotovi lasten strežnik in po pogodbi prevzame določene dele delovanja, pogosto posodobitve operacijskega sistema in PHP. Kaj natanko sodi zraven, piše v pogodbi in se med ponudniki močno razlikuje. Če je dvom, naj se odgovornost za popravke pisno potrdi. Upravljani strežnik: razjasnitev odgovornosti →
memory_limit: memory_limit omejuje, koliko delovnega pomnilnika sme zasesti posamezna skripta PHP; privzeto je 128 MB. Ko je meja dosežena, PHP prekine z napako zaradi pomanjkanja pomnilnika. Proti CVE-2026-109618 php.net vmesno svetuje memory_limit=-1, trdno nastavljen, in omejitev pomnilnika prek containerja ali cgroup. Pravilna nastavitev memory_limit →
mod_php: mod_php je modul PHP za spletni strežnik Apache. PHP teče neposredno v procesu Apache in praviloma z njegovimi uporabniškimi pravicami. Ekipa PHP tveganje zaradi PHP2Shell pri mod_php ocenjuje kot najvišje; tam je bil prikazan exploit, še preden se sploh izvede koda aplikacije. mod_php razložen: PHP v procesu Apache →
ModSecurity: ModSecurity je razširjen odprtokodni WAF, ki teče kot modul v Apache, Nginx ali drugih spletnih strežnikih. Zahteve ocenjuje na podlagi pravil in jih lahko beleži ali blokira. Večinoma se uporablja skupaj z OWASP Core Rule Set. Uporaba ModSecurity in OWASP Core Rule Set →
Monitoring: Nadzor (monitoring) je stalno spremljanje sistemov, na primer dosegljivosti, obremenitve, dnevniških datotek in sprememb datotek. Varnostni nadzor ciljno išče nepravilnosti, kot so nove datoteke PHP ali lupine, ki jih zažene spletni strežnik. Pomaga le, če nekdo opozorila tudi pravočasno oceni. Varnostni nadzor za spletne strežnike →

N

Nginx: Nginx je razširjen spletni strežnik in reverse proxy. PHP ne izvaja sam, ampak zahteve prek FastCGI posreduje PHP-FPM. Pomembna je konfiguracija, ki PHP posreduje samo prave datoteke PHP in izvzame mape za nalaganje. Zaščita Nginxa s PHP-FPM →
NIS2: NIS2 je direktiva EU, ki za številna podjetja in ustanove določa obveznosti glede obvladovanja tveganj in prijave varnostnih incidentov. Zajema občutno več panog in velikosti podjetij kot predhodna ureditev. Ali je vaše podjetje zajeto, razjasnite na podlagi nacionalnega prenosa in s pravnim svetovanjem. NIS2 in varnost spletnih strežnikov →
Notfallplan: IT-načrt za nujne primere določa, kdo ob incidentu kaj naredi: kontakte, poti odločanja, prve korake, ponovni zagon. Na voljo mora biti tudi brez povezave, če sistemi odpovedo. Redne vaje pokažejo, ali v resnem primeru deluje. Izdelava načrta ukrepanja ob IT-incidentu za spletne strežnike →

O

OPcache: OPcache je priloženi predpomnilnik bajtne kode v PHP. Že prevedeno kodo shrani v skupni pomnilnik, da se datoteke PHP ne prevajajo znova ob vsaki zahtevi. Po posodobitvi ali čiščenju je treba predpomnilnik izprazniti oziroma znova zagnati PHP, sicer lahko še naprej teče stara koda. OPcache razložen: predpomnilnik bajtne kode PHP →
open_basedir: open_basedir omejuje, do katerih map smejo skripte PHP dostopati s funkcijami za delo z datotekami. Na strežnikih z več spletnimi stranmi prepreči, da bi ena stran preprosto brala datoteke druge. Popolne izolacije ne zagotavlja; zraven sodijo ločeni sistemski uporabniki in pooli FPM. open_basedir in izolacija po spletnih straneh →
Origin-Server: Origin strežnik je dejanski spletni strežnik za CDN ali reverse proxyjem. Če je dosegljiv tudi neposredno prek svojega naslova IP, lahko napadalci predhodno zaščito zaobidejo. Origin zato naj sprejema samo povezave od CDN ali proxyja. Zaščitna pravila Cloudflare proti PHP2Shell: kaj zmorejo in česa ne →
Out of Memory: Out of Memory označuje stanje, ko program ne dobi več pomnilnika in mora prekiniti delovanje. V PHP se to zgodi, ko je presežen memory_limit. Pri CVE-2026-109618 lahko tak prekinitev preseka PHP, medtem ko so podatki zahteve le delno inicializirani. memory_limit in Out-of-Memory: kaj se dogaja v notranjosti →
OWASP CRS: OWASP Core Rule Set (CRS) je prosto dostopen nabor pravil za ModSecurity in združljive WAF-e. Prepozna značilne razrede napadov, kot sta SQL injection ali command injection. Pravila je treba prilagoditi aplikaciji, sicer blokirajo tudi zakonite zahteve. Uporaba ModSecurity in OWASP Core Rule Set →
OWASP Top 10: OWASP Top 10 je redno posodobljen seznam najpomembnejših tveganj za spletne aplikacije, ki ga izdaja neprofitna fundacija OWASP. Služi kot podlaga za razvoj, preverjanja in usposabljanja. Dopolnjujejo ga OWASP Cheat Sheets s konkretnimi protiukrepi.

P

Patch: Popravek (patch) je proizvajalčev popravek, ki zapre ranljivost v programski kodi. Deluje šele, ko je nameščen in so vsi tekoči procesi znova zagnani. Popravek ne odstrani že vnesene škodljive programske opreme in ne dokazuje, da prej ni bilo nič narobe. Storitev popravljanja PHP: namestitev posodobitve z ponovnim zagonom in dokazilom →
PECL: PECL (PHP Extension Community Library) je imenik razširitev PHP, napisanih v jeziku C, ki niso del standardnega obsega. Takšne razširitve morajo ustrezati nameščeni različici PHP. Po zamenjavi glavne različice PHP jih je pogosto treba znova zgraditi ali zamenjati. Razumevanje razširitev PHP (extensions) →
PHP: PHP je skriptni jezik, ki teče predvsem na spletnih strežnikih in tam ustvarja spletne strani. Številni razširjeni CMS-ji in sistemi za spletne trgovine, kot so WordPress, TYPO3 ali Shopware, so napisani v PHP. Ranljivost v interpreterju PHP zato zadeva vse aplikacije, ki tečejo na njem, ne glede na njihovo lastno stanje posodobitev. Kaj je PHP? Programski jezik, razložen →
php-cgi: php-cgi je program PHP za delovanje prek CGI ali FastCGI. Po navedbah ekipe PHP spada med načine delovanja, ki jih PHP2Shell prizadene. Kjer se php-cgi še uporablja, se splača preveriti, ali je mogoč prehod na PHP-FPM. php-cgi: staro breme s tveganjem →
PHP-FPM: PHP-FPM (FastCGI Process Manager) je samostojna storitev, ki procese PHP upravlja v poolih in prek FastCGI sprejema zahteve spletnega strežnika. Danes je običajni način delovanja z Nginxom in na številnih strežnikih Apache. Po posodobitvi PHP je treba PHP-FPM znova zagnati, da ne tečejo stari procesi. PHP-FPM razložen: upravljalnik procesov, pooli in workerji →
php.ini: Datoteka php.ini je osrednja konfiguracijska datoteka PHP. Določa omejitve ter varnostne nastavitve in nastavitve napak, na primer memory_limit ali display_errors. Pogosto ima vsak SAPI (FPM, CLI, Apache) svojo php.ini, ki jo je treba vzdrževati ločeno. php.ini razložena: zgradba, ravni in prednost →
PHP2Shell: PHP2Shell je ime za dve kritični ranljivosti v samem PHP, CVE-2026-109618 in CVE-2026-109619, vsaka s CVSS v4.0 9,2. Omogočata izvajanje škodljive kode na daljavo brez prijave. Odpravljeni sta v PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35, objavljeni 21. 10. 2026. Kaj je PHP2Shell? Ranljivost preprosto razložena →
php_admin_value: php_admin_value nastavi nastavitev PHP v poolu FPM ali konfiguraciji Apache tako, da je aplikacije ne morejo prepisati z ini_set() ali .htaccess. Za stikala obstaja php_admin_flag. php.net to pot priporoča za vmesne ukrepe proti PHP2Shell, na primer za memory_limit. php_admin_value: zaklepanje nastavitev pred prepisovanjem →
Plesk: Plesk je razširjen upravljalni panel za spletne strežnike, s katerim je mogoče nastaviti domene, različice PHP in handlerje za vsako spletno stran. Prinaša lastne pakete PHP, lahko pa uporablja tudi pakete PHP distribucije. Pri backportih Plesk lahko še naprej prikazuje starejšo številko, kot je 8.2.34, čeprav je popravljeno. Strežnik Plesk: preverjanje različic PHP in popravljanje →
post_max_size: post_max_size določa, kako velika sme biti vsebina zahteve POST skupaj; privzeto je 8 MB. Kot vmesni ukrep proti PHP2Shell php.net navaja 8M za spletne strani brez nalaganja datotek in 32M z nalaganjem. upload_max_filesize mora biti pod tem. Smiselna omejitev post_max_size in upload_max_filesize →
Proof of Concept: Proof of Concept (PoC) je dokaz, da je ranljivost mogoče izkoristiti, pogosto v obliki preproste demonstracijske kode. Proizvajalcem in raziskovalcem služi za oceno, lahko pa napadalcem služi kot predloga. Objavljen PoC zato praviloma poveča nujnost popravljanja.

R

Ransomware: Ransomware šifrira podatke in za dešifriranje zahteva odkupnino, pogosto skupaj z grožnjo, da bodo ukradeni podatki objavljeni. Ogrožen spletni strežnik je lahko vstopna točka za to. Najučinkovitejša zaščita so ločene, preizkušene varnostne kopije in načrt za nujne primere. Strategija varnostnih kopij strežnika: varnostne kopije po pravilu 3-2-1 →
RCE: RCE (Remote Code Execution) pomeni, da lahko napadalec na tujem sistemu na daljavo izvede lastno kodo. Če za to prijava ni potrebna, govorimo o unauthenticated RCE, najtežjem razredu ranljivosti spletnih strežnikov. Z RCE lahko napadalec bere podatke, ustvari stranska vrata in strežnik še naprej zlorablja. Kaj je PHP2Shell? Ranljivost preprosto razložena →
Release-Zyklus: Vsaka različica PHP najprej prejema popravke napak, nato pa nekaj časa samo še varnostne popravke. Kdaj posamezna različica preneha, projekt PHP objavlja na php.net med podprtimi različicami. PHP 8.2 po navedbah php.net konec podpore doseže 31. 12. 2026. Različice PHP in cikel izdaj →
Reverse Proxy: Reverse proxy sprejema zahteve iz interneta in jih posreduje enemu ali več strežnikom za njim. Lahko prevzame TLS, razporeja obremenitev in služi kot mesto za pravila filtriranja ali WAF. Zaščito nudi samo, če strežniki za njim niso dodatno dosegljivi tudi neposredno. Filtriranje zahtev za nalaganje na robu: priložnosti in tveganja →
RFI: RFI (Remote File Inclusion) je različica, pri kateri aplikacija kodo z tujega naslova naloži in izvede. V PHP vključevanje oddaljenih datotek preprečuje nastavitev allow_url_include=Off, ki je že dolgo privzeta. Stare aplikacije in konfiguracije je treba glede tega preveriti. Preprečevanje Local File Inclusion v PHP: LFI in RFI →
Root-Server: Root strežnik je najet strežnik, na katerem ima stranka polne skrbniške pravice. S tem je tudi polna odgovornost za posodobitve, utrjevanje in nadzor pri stranki. Ponudnik zagotovi samo strojno opremo in omrežje. Samostojna zaščita root strežnika in strežnika vServer →

S

SAPI: SAPI (Server Application Programming Interface) je vmesnik, prek katerega PHP komunicira z okoljem, na primer z Apacheem, PHP-FPM ali ukazno vrstico. Od uporabljenega SAPI je odvisno, kako se procesi PHP zaženejo, ponovno uporabijo in znova zaženejo. Pri PHP2Shell je po navedbah ekipe PHP prizadetih več načinov delovanja, pri čemer ima mod_php najvišje tveganje. SAPI razložen: kako PHP govori s spletnim strežnikom →
SEO-Spam: SEO spam so vnesene strani, povezave ali preusmeritve, s katerimi napadalci tuje ponudbe uvrščajo v iskalnike. Pogosto manipulirane vsebine vidijo samo iskalniki ali obiskovalci iz Googla. Poleg čiščenja je potem nujen pregled v Google Search Console. SEO spam in tuje strani v indeksu Googla →
serialize_handler: session.serialize_handler določa, v kakšni obliki PHP shranjuje podatke seje, na primer php, php_binary ali php_serialize. Opozorilo za CVE-2026-115560 zadeva samo nenavadno konfiguracijo, v kateri se ta oblika med izvajanjem preklaplja in je session upload progress aktiven. Rešitev do naslednje izdaje s popravki je session.upload_progress.enabled=0. CVE-2026-115560: opozorilo o session upload progress →
Session: Seja poveže več zahtev istega obiskovalca, na primer za prijavo ali košarico. PHP podatke shrani na strani strežnika in brskalniku dodeli ID seje, privzeto v piškotku PHPSESSID. Kdor pozna tuji ID seje, lahko pod določenimi pogoji nastopa kot ta uporabnik. Seje in piškotki v PHP →
session.upload_progress: Session upload progress je funkcija PHP, ki napredek tekočih nalaganj datotek shranjuje v seji; privzeto je vklopljena. php.net vmesno svetuje session.upload_progress.enabled=0 v php.ini, poolu FPM ali konfiguraciji strežnika, nato pa znova zagnati vse workerje. Nastavitev sama po strokovnih poročilih ne zapre obeh ranljivosti PHP2Shell; posodobitev ostaja obvezna. Izklop session.upload_progress: pravilno in trajno →
Shared Hosting: Pri shared hostingu si številne stranke delijo strežnik, ki ga upravlja ponudnik gostovanja. Ponudnik je odgovoren za PHP, operacijski sistem in spletni strežnik, stranka za svojo aplikacijo. Pri PHP2Shell to pomeni: pri ponudniku gostovanja poizvedite o stanju popravkov in preverite lastno spletno stran glede sledi. Shared hosting: kaj naredi ponudnik in kaj morate storiti vi →
Sicherheits-Header: Varnostne glave (security headers) so glave odgovora HTTP, ki brskalniku predpišejo zaščitna pravila, na primer Content-Security-Policy, Strict-Transport-Security ali X-Content-Type-Options. Obiskovalce ščitijo pred nekaterimi napadi v brskalniku. Proti ranljivostim na strežniku, kot je PHP2Shell, ne pomagajo. Varnostne glave za spletne strani: pravilna nastavitev security headers →
SIEM: SIEM (Security Information and Event Management) osrednje zbira dnevniške podatke iz številnih sistemov in jih ocenjuje glede varnostnih dogodkov. Tako je mogoče prepoznati povezave, ki v posameznih dnevnikih utonejo. SIEM potrebuje vzdrževana pravila in ljudi, ki obravnavajo opozorila. Varnostni nadzor za spletne strežnike →
Skimming: Pri skimmingu v spletnih trgovinah napadalci v blagajno vnesejo JavaScript, ki bere plačilne in kupčeve podatke ter jih pošilja naprej. Koda je pogosto skrita v datotekah teme, sledilnih skriptah ali vnosih v podatkovni zbirki. Kupci tega ne opazijo, trgovec pogosto šele zaradi opozoril plačilnih ponudnikov. Spletna trgovina vdrta? IT-varnost za trgovce →
SQL-Injection: Pri SQL injection napadalec prek vnosov v aplikacijo vnese lastne ukaze za podatkovno zbirko. Tako je mogoče podatke prebrati ali spremeniti. Zaščito nudijo pripravljeni stavki (prepared statements) z nadomestnimi znaki namesto sestavljenih besedil SQL. Preprečevanje SQL injection v PHP →
SSRF: SSRF (Server-Side Request Forgery) aplikacijo pripravi do tega, da po naročilu napadalca pošilja zahteve na druge naslove, tudi na notranje sisteme. Tako postanejo dosegljive storitve, ki so navzven pravzaprav zaščitene. Zaščito nudijo seznami dovoljenih ciljev in blokiranje notranjih naslovnih območij. Preprečevanje Server-Side Request Forgery (SSRF) v PHP →
Superglobals: Superglobals so spremenljivke, ki jih PHP ponuja v vsaki skripti, na primer $_GET, $_POST, $_COOKIE, $_FILES, $_SERVER in $_SESSION. Vsebujejo podatke trenutne zahteve, ki večinoma izvirajo od obiskovalca. Vse v njih je treba obravnavati kot nezaupanja vredno in preveriti. Superglobals: $_GET, $_POST, $_FILES in druge →
sury.org: sury.org je repozitorij paketov Ondřeja Surýja z aktualnimi in starejšimi različicami PHP za Debian in Ubuntu. Je ponudba tretje osebe in ne varnostni arhiv Debiana. Po poročilih so tam bile na voljo gradnje za vse veje od 5.6 do 8.5. Repozitorij sury.org: paketi PHP iz vira tretjega ponudnika →

T

Threat Hunting: Threat hunting je aktivno iskanje napadalcev v lastnem omrežju, ne da bi obstajalo opozorilo. Izhodišče so hipoteze, na primer: je proces spletnega strežnika od 20. 10. zagnal lupino? Tako se najdejo vdori, ki jih samodejna orodja spregledajo. Opozorilni znak: spletni strežnik zažene lupino →
TISAX: TISAX je postopek preverjanja in izmenjave za informacijsko varnost v avtomobilski industriji. Temelji na katalogu zahtev nemške zveze avtomobilske industrije (VDA) in ga upravlja ENX Association. Dobavitelji morajo z njim proizvajalcem dokazati svojo raven varnosti. ISO 27001 in TISAX: kaj zadeva spletne strežnike →
TLS: TLS (Transport Layer Security) šifrira povezavo med brskalnikom in strežnikom; prepoznavno po HTTPS. Trenutno priporočeni sta TLS 1.2 in 1.3, starejše različice protokola naj bodo izklopljene. TLS ščiti podatke na poti, ne pa pred ranljivostmi na samem strežniku. Pravilna konfiguracija TLS in HTTPS →
Type Juggling: Type juggling je samodejna pretvorba tipov v PHP, na primer pri ohlapni primerjavi z ==. Zaradi tega lahko veljajo za enake vrednosti, ki to niso, kar postane nevarno pri preverjanju gesel ali žetonov. Zaščito nudijo stroge primerjave z === in hash_equals() za skrivnosti. Type juggling v PHP: ohlapne primerjave kot varnostno tveganje →

U

upload_max_filesize: upload_max_filesize omejuje velikost posamezne naložene datoteke; privzeto sta 2 MB. Vrednost mora biti manjša od post_max_size, ker je datoteka del zahteve POST. Preveč radodarne vrednosti brez koristi povečajo napadalno površino. Smiselna omejitev post_max_size in upload_max_filesize →
.user.ini: Datoteke .user.ini so nastavitve PHP po mapah, ki jih upoštevata PHP-FPM in CGI. Z njimi lahko upravljavci spletnih strani brez dostopa do strežnika spremenijo posamezne vrednosti, vendar samo tiste, ki jih PHP za to dovoli. Varnostnih nastavitev, kot je session.upload_progress.enabled=0 proti PHP2Shell, po navedbah php.net ne smete nastavljati prek .user.ini. php.ini razložena: zgradba, ravni in prednost →

V

VdS 10000: VdS 10000 je smernica organizacije VdS Schadenverhütung za informacijsko varnost v malih in srednjih podjetjih. Je slajša od ISO 27001 in prilagojena zmožnostim MSP. Certificiranje po njej je mogoče. VdS 10000: informacijska varnost za mala in srednje velika podjetja →
Virtuelles Patching: Virtualno popravljanje blokira napade na znano ranljivost pred aplikacijo, običajno z WAF, ne da bi spremenilo ranljivo kodo. Pridobi čas, dokler pravi popravek ni mogoč. Pri PHP2Shell na primer Cloudflare opozarja, da samo pravila na podlagi podatkov zahteve ne zadoščajo; posodobitev ostaja obvezna. WAF in virtualno popravljanje za PHP →
vServer: vServer (virtualni strežnik) je virtualni računalnik na deljeni strojni opremi, z lastnim operacijskim sistemom in praviloma z dostopom root. Za varnost velja enako kot pri root strežniku: posodobitve in utrjevanje so stvar stranke. Številni vServerji tečejo s vnaprej nameščenimi paneli, kot je Plesk. Samostojna zaščita root strežnika in strežnika vServer →

W

WAF: WAF (Web Application Firewall) preverja zahteve HTTP pred aplikacijo in blokira znane vzorce napadov. Lahko teče kot storitev v oblaku, kot proxy ali kot modul spletnega strežnika. Pridobi čas, a ne nadomešča posodobitve, in ga je mogoče zaobiti, če je strežnik dosegljiv tudi neposredno. WAF in virtualno popravljanje za PHP →
Warnstufe: BSI pri varnostnih opozorilih razvršča stanje ogroženosti v stopnje, ki so označene tudi z barvo. Stopnja 3 (oranžna) pomeni poslovno kritično stanje z možnim obsežnim motenjem rednega obratovanja. Za PHP2Shell velja opozorilna stopnja 3 / oranžna. Opozorilna stopnja BSI oranžna: kaj pomeni ocena →
Webshell: Webshell je skripta, ki jo napadalci odložijo na spletni strežnik, da ga prek brskalnika upravljajo na daljavo. Pogosto je majhna, zakrita in skrita v mapah za nalaganje ali predpomnilnik. Webshell ostane tudi po posodobitvi PHP ali CMS-ja in jo je treba iskati ciljno. Prepoznavanje in odstranitev webshella →

X

XSS: XSS (Cross-Site Scripting) pomeni, da se tuj JavaScript prek spletne strani izvede v brskalniku drugih obiskovalcev. S tem je mogoče prevzeti seje ali brati vnose v obrazce. Zaščito nudita dosledno kodiranje vseh izpisov in Content Security Policy. Preprečevanje XSS v PHP: zanesljiva obramba pred Cross-Site Scriptingom →
XXE: XXE (XML External Entities) izkorišča dejstvo, da lahko razčlenjevalniki XML naložijo zunanje sklice v dokumentih. S tem je pod določenimi pogoji mogoče brati datoteke s strežnika ali sprožiti notranje zahteve. Zaščito nudi izklop nalaganja zunanjih entitet pri obdelavi nezaupanja vrednih podatkov XML. Preprečevanje XML External Entities (XXE) v PHP →

Z

ZAC: Zentrale Ansprechstellen Cybercrime (ZAC, osrednje kontaktne točke za kibernetsko kriminaliteto) nemške policije so specializirane kontaktne točke za podjetja in organe, ki so postali žrtve kibernetskega napada. Obstajajo v vseh nemških zveznih deželah in pri BKA (nemški zvezni kriminalistični urad). Sprejemajo ovadbe in svetujejo glede nadaljnjega ravnanja. Vložitev ovadbe: osrednje kontaktne točke za kibernetsko kriminaliteto →
Zeitleiste: Časovnica (timeline) kronološko uredi vse sledi incidenta: vnose v dnevnikih, spremembe datotek, prijave, procese. Pokaže, kdaj se je napad začel in v kakšnem vrstnem redu so se stvari zgodile. Pomembno je enotno časovno območje, najbolje UTC. Sestavljanje časovnice incidenta →
Zend Engine: Zend Engine je jedro interpreterja PHP. Kodo PHP prevede v notranje ukaze (opcode), jih izvede in upravlja pomnilnik. Napake v Zend Engine vplivajo na vsako aplikacijo PHP in jih je mogoče odpraviti samo s posodobitvijo PHP. Zend Engine: srce PHP →
Zero-Day: Zero-day je ranljivost, ki se izkorišča ali je javno znana, preden proizvajalec zagotovi popravek. Upravljavci imajo tedaj nič dni vnaprej. Do popravka pomagajo samo vmesni ukrepi, odklop od omrežja in nadzor. Časovno okno med popravkom in napadom →

Takojšnji stik

Vsaka ura šteje. Pišite nam zdaj.

Na kratko opišite sistem, različico PHP in opažanje. Odzovemo se, razjasnimo stanje in delamo na daljavo, dokler incident ni zaključen in dokumentiran.

WhatsApp nujno Pokličite