Nezakrpan PHP otvorena su vrata. Mi ih zatvaramo.
Hitna pomoć na daljinu za tvrtke u Europi: zakrpati PHP, provjeriti tragove provale, ukloniti zlonamjerni kod, ojačati poslužitelj. Odmah, sa specijaliziranim partnerima, dok incident nije zaključen i dokumentiran.
$ php -v PHP 8.3.35 (cli) (built: Sep 30 2026) ! Stanje prije zakrpe od 21. 10. 2026 $ phpsos pruefen --ziel produktion Način rada ....... php-fpm CVE-2026-109618 .. otvoreno CVE-2026-109619 .. otvoreno Ponovno pokretanje workera .. na čekanju $ phpsos absichern [ok] Paket 8.3.36 instaliran [ok] svi workeri ponovno pokrenuti [ok] Datotečni sustav provjeren na web shellove [ok] Izvješće za upravu izrađeno
- Made in GermanyIT sigurnost iz Njemačke, rad u skladu s europskim pravom o zaštiti podataka.
- Više od 25 godinaViše od 25 godina, zajedno s našom mrežom partnera, specijalizirani smo za IT sigurnost i rad poslužitelja.
- Mreža partneraSpecijalizirani stručnjaci za kibernetičku sigurnost za forenziku, penetracijska testiranja i učvršćivanje poslužitelja, koordinirani preko jedne kontakt osobe.
Jeste li pogođeni? Nazovite nas. Pomažemo.
Hakirani, zaključani, pronađen web shell ili niste sigurni pogađa li vas PHP2Shell: javite nam se odmah. Preuzimamo slučaj od prve poruke, na daljinu i bez dolaska na lokaciju.
Je li Vaš PHP već zakrpan?
Unesite svoju verziju PHP-a. Test je uspoređuje sa sigurnosnim objavama na php.net i kaže što je sljedeći korak. Važno: ni zakrpana verzija ne dokazuje da se prije ažuriranja ništa nije dogodilo.
Koliko je hitna Vaša situacija?
Četiri pitanja, razvrstavanje, prvi koraci i pripremljena WhatsApp poruka za nas. Za razinu 3 vrijedi: ništa ne brisati, ništa ne postavljati iznova, osigurati tragove.
Od hitnog poziva do ojačanog poslužitelja
Preuzimamo tehniku i isporučujemo dokaze koji su potrebni upravi, zaštiti podataka i osiguranju.
Hitna pomoć kod PHP2Shella: pomoć kod PHP sigurnosne ranjivosti
PHP2Shell zatvaramo na Vašim web-poslužiteljima na daljinu: popis stanja, zakrpa ili privremena mjera, ponovno pokretanje svih workera i pisani dokaz.
Čitajte dalje →02Web-stranica hakirana, što učiniti? Hitna pomoć na daljinu
Je li Vaša web-stranica hakirana ili se ponaša neuobičajeno? Na daljinu preuzimamo zaustavljanje napada, osiguravanje tragova, čišćenje i dokumentaciju.
Čitajte dalje →03Usluga PHP zakrpe: instalacija ažuriranja s ponovnim pokretanjem i dokazom
Instaliramo PHP ažuriranje na Vaše poslužitelje, ponovno pokrećemo sve PHP procese i isporučujemo pisani dokaz o verziji, stanju paketa i ponovnom pokretanju.
Čitajte dalje →04Ojačavanje (hardening) PHP web-poslužitelja
Ojačavamo Vaše PHP web-poslužitelje prema utvrđenom planu: izolacija po web-stranici, sigurna PHP konfiguracija, prava nad datotekama, pristupi, zapisnici i sigurnosne kopije.
Čitajte dalje →05Uklanjanje malwarea i web shellova s web-stranice
Uklanjamo zlonamjerni kod, web shellove i stražnja vrata s web-stranica i poslužitelja, iznova gradimo iz pouzdanih izvora i zatvaramo ulaznu točku.
Čitajte dalje →06Incident Response kod napada na poslužitelje
Strukturirana obrada incidenta kod napada na web-poslužitelje: slika stanja, zaustavljanje, uklanjanje, oporavak i naknadna obrada s utvrđenim ulogama.
Čitajte dalje →Ovako radimo u hitnom slučaju
Jasni koraci, jedna kontakt osoba, sve na daljinu. Specijalisti iz naše partnerske mreže uključuju se kada su potrebni forenzika ili penetracijsko testiranje.
Procijeniti situaciju
Pišete nam putem WhatsAppa ili nas nazovete. Razjašnjavamo sustav, verziju PHP-a, pružatelja hostinga i opažanja.
Osigurati i zatvoriti
Osigurati tragove, zakrpati PHP ili postaviti privremene mjere, ponovno pokrenuti sve workere, dokazati stanje zakrpe.
Provjeriti i očistiti
Provjeriti datoteke, bazu podataka, račune i zapisnike na tragove provale. Ukloniti web shellove i stražnja vrata.
Ojačati i izvijestiti
Ojačati konfiguraciju, postaviti nadzor, izvješće za upravu, zaštitu podataka i osiguranje.
Zakrpa još nije moguća? Privremene mjere
php.net navodi postavke koje otežavaju poznate putove napada dok se ažuriranje ne instalira. Odaberite svoj način rada, kopirajte retke i zatim ponovno pokrenite sve PHP procese.
BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje: ako ažuriranje nije odmah moguće, web-poslužitelj privremeno odspojite s mreže.
Privremene mjere prema php.net, nisu zamjena za ažuriranje. memory_limit=-1 samo zajedno s ograničenjem memorije putem kontejnera ili cgroupa. Prije toga sigurnosno kopirajte konfiguraciju.
Tko što radi? Praznina između pružatelja hostinga i agencije
Mnoge se tvrtke oslanjaju na to da će „netko“ zakrpati sustav. Raspodjela u pravilu izgleda ovako:
| Zadatak | Pružatelj hostinga (zajednički hosting) | Agencija / web-dizajn | PHP SOS |
|---|---|---|---|
| Ažurirati PHP paket | uglavnom da | uglavnom ne | da, ili s Vašim pružateljem hostinga |
| Ponovno pokrenuti sve workere i to dokazati | djelomično | ne | da, s dokazom |
| Provjeriti je li prije zakrpe bilo provale | u pravilu ne | djelomično | da |
| Ukloniti web shellove i stražnja vrata | u pravilu ne | djelomično | da |
| Izvješće za upravu, zaštitu podataka, osiguranje | ne | rijetko | da |
| Ojačavanje i stalni nadzor | djelomično | djelomično | da |
Što je dokazano i što sada učiniti
Činjenice iz objava php.net-a i BSI-ja, pripremljene za upravu i administratore.
Što je PHP2Shell? Ranjivost jednostavno objašnjena
PHP2Shell su dvije kritične ranjivosti u samom PHP-u putem kojih napadači mogu bez prijave izvršavati kod na web-poslužiteljima. Ovdje je stanje jasnim riječima.
Čitajte dalje →CVE-2026-109618: RCE zbog stanja Out of Memory
CVE-2026-109618 jedna je od dviju PHP2Shell ranjivosti: stanje Out of Memory može prekinuti PHP usred obrade zahtjeva. Ispravljeno od PHP-a 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
Čitajte dalje →CVE-2026-109619: RCE zbog zastarjelog globalnog stanja
CVE-2026-109619 je druga PHP2Shell ranjivost: interno stanje zahtjeva može ostati nakon oslobađanja memorije i iskoristiti ga sljedeći zahtjev u istom workeru.
Čitajte dalje →CVE-2026-115560: napomena o Session Upload Progressu
CVE-2026-115560 je napomena php.net-a od 23. 10. 2026.: moguće izvršavanje koda samo kod neuobičajene konfiguracije sesija. Mjera do sljedećeg izdanja: session.upload_progress.enabled=0.
Čitajte dalje →Koje su verzije PHP-a pogođene?
PHP2Shell je ispravljen u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja. Tablica pokazuje stanje po grani.
Čitajte dalje →Ispravna provjera verzije PHP-a i stanja zakrpe
Sam prikazani broj verzije PHP-a ne govori je li PHP2Shell zatvoren. Odlučujući su stanje paketa, backportovi i rade li novi procesi doista.
Čitajte dalje →Za Vašu platformu i Vaš poslužitelj
Gdje se zlonamjerni kod skriva u WordPressu, Shopwareu ili TYPO3-u i kako stvarno zakrpati sustav na Pleskovu, cPanelu ili u kontejneru.
Platforme
Poslužitelji i hosting
Svaka djelatnost ima druge podatke koje može izgubiti
Zdravstveni podaci, tajne klijenata, podaci o plaćanju: provjeru i izvješće prilagođavamo Vašim obvezama.
10 koraka prije nego što preuzmemo
Označite što je obavljeno. Popis ostaje spremljen u Vašem pregledniku.
Oznake se spremaju samo u Vašem pregledniku.
72 sata, NIS2, osiguranje
Opća orijentacija za upravu. Nije pravni savjet.
Obveza prijave prema GDPR-u: 72 sata nakon incidenta
Nakon napada na web-poslužitelj može postojati obveza prijave nadzornom tijelu. Ovdje općenito stoji kada teče 72 sata i što sve spada u to.
Čitajte dalje →NIS2 i sigurnost web-poslužitelja
NIS2 mnoge tvrtke obvezuje na upravljanje rizicima i prijave. Ovdje općenito stoji što to znači za web-poslužitelje i gdje naći pouzdane podatke.
Čitajte dalje →Kibernetičko osiguranje: što vrijedi u slučaju štete
Kod napada o isplati često odlučuju rana obavijest osiguravatelju, osigurani dokazi i usklađeni koraci. Ovdje općenito stoje tipične točke.
Čitajte dalje →Odgovornost uprave kod IT sigurnosnih ranjivosti
IT sigurnost je zadaća uprave. Ovdje općenito stoji koje dužnosti pažnje vrijede i kako direktori kod ranjivosti poput PHP2Shella mogu razumljivo donositi odluke.
Čitajte dalje →Stručni članci za administratore i programere
PHP2Shell vremenski slijed: kronologija od 17. do 25. listopada 2026.
Svi potvrđeni datumi o PHP2Shellu na jednom mjestu, od prvog opaženog pokušaja napada do stanja 25.10.2026., i što iz toga slijedi za Vašu provjeru.
Čitajte dalje →Potvrda PHP ažuriranja od hostinga: kako pitati za status zakrpe
Prikazana verzija PHP-a nakon PHP2Shella malo dokazuje. Ovim predloškom od pružatelja hostinga tražite potvrdu koju možete dokumentirati.
Čitajte dalje →Prepoznavanje i uklanjanje webshella
Kako otkriti stražnja vrata na PHP web-poslužiteljima bez uništavanja tragova i zašto samo brisanje rijetko dovoljno.
Čitajte dalje →Pronalaženje WordPress backdoora: sustavno otkrivanje stražnjih vrata
Gdje se stražnja vrata u WordPressu tipično skrivaju i kako ih admini sustavno otkrivaju uz WP-CLI i nekoliko naredbi.
Čitajte dalje →Sigurna konfiguracija php.ini
Koje postavke u php.ini smanjuju površinu napada, kako ih zaštititi od prepisivanja i što nakon PHP2Shella vrijedi dodatno.
Čitajte dalje →Ispravna uporaba PHP disable_functions
Uz disable_functions zabranjujete rizične PHP funkcije. Kako popis prilagoditi aplikaciji, a da web-stranica ne prestane raditi.
Čitajte dalje →Stanje, upute, pomoć pri odlučivanju
Od BSI-jeve razine upozorenja preko changelogova paketa do pitanja hoćete li sustav postaviti iznova ili ga očistiti. Svaki članak s izvorima.
PHP2Shell: što je dokazano, a što nije
Provjera činjenica o PHP2Shellu: koje tvrdnje potječu iz primarnih izvora, koje iz medijskih izvješća i koje se tvrdnje ne mogu održati.
Čitajte dalje →Promjena PHP verzije u korisničkom području hostinga
Kako u korisničkom području svog pružatelja hostinga promijeniti PHP verziju, koju verziju odabrati i što provjeriti prije i poslije.
Čitajte dalje →Znak upozorenja: web-poslužitelj pokreće ljusku
Ako PHP-FPM ili proces web-poslužitelja pokrene ljusku, to je jedan od najjačih znakova upozorenja na provalu. Kako provjeriti stablo procesa, razvrstati iznimke i trajno nadzirati obrazac.
Čitajte dalje →Izolacija PHP-FPM poolova po web-stranici
Zaseban pool za svaku web-stranicu početak je, a ne kraj. Evo kako provjeriti postojeće poolove i ojačati socketove, ekstenzije, status stranice, resurse i zapisnike.
Čitajte dalje →Sigurno spremati lozinke u PHP-u: ispravna primjena password_hash
Kako razvojni inženjeri u PHP-u spremaju lozinke pomoću password_hash i password_verify, biraju odgovarajući postupak i zamjenjuju stare MD5 ili SHA-1 hashove bez resetiranja lozinke svim korisnicima.
Čitajte dalje →Ugovori s IT pružateljima usluga: jasno urediti sigurnosne obveze
PHP2Shell je pokazao koliko je često nejasno tko mora zakrpati. Koje sigurnosne obveze pripadaju u ugovore s agencijom, hosterom i IT pružateljem usluga.
Čitajte dalje →Programski jezik PHP, razumljivo objašnjen
Kako PHP generira stranicu, što su SAPI, PHP-FPM i OPcache i zašto upravo to odlučuje o sigurnosti. Uz to pojmovnik sa svim stručnim pojmovima.
Što je PHP2Shell?
PHP2Shell označava dvije kritične ranjivosti u samom PHP-u (CVE-2026-109618 i CVE-2026-109619, CVSS 9.2). Napadačima mogu omogućiti izvršavanje zlonamjernog koda na poslužitelju bez prijave. Zakrpe postoje od 21. 10. 2026.
Koje su verzije PHP-a sigurne?
Ispravci su sadržani u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Pružatelji hostinga i distribucije ponekad ugrađuju backportove bez promjene broja verzije. Odlučujuće je stanje paketa ili pisana potvrda pružatelja.
Je li dovoljno ažurirati WordPress ili web-shop?
Ne. Ranjivost je u PHP-u, a ne u CMS-u. Ažuriranje CMS-a je ne zatvara. A PHP zakrpa ne uklanja zlonamjerni kod koji je prethodno već ubačen.
Koliko brzo možete pomoći?
Radimo na daljinu i započinjemo čim stignu pristupni podaci. Pošaljite nam putem WhatsAppa sustav, verziju PHP-a i svoje opažanje. Zatim izravno dogovaramo daljnji postupak.
Radite li i za agencije i klijente pružatelja hostinga?
Da. Radimo izravno za tvrtke, u pozadini po nalogu agencija i u dogovoru s Vašim pružateljem hostinga ako on upravlja poslužiteljem.
Moramo li prijaviti incident?
Ako bi mogli biti pogođeni osobni podaci, prema čl. 33. GDPR-a u pravilu vrijedi rok za prijavu od 72 sata od saznanja. Primjenjuje li se on na Vas, razjasnite sa svojim službenikom za zaštitu podataka. Mi za to isporučujemo tehničku dokumentaciju.
Svaki sat se računa. Pišite nam odmah.
Ukratko opišite sustav, verziju PHP-a i opažanje. Javit ćemo Vam se, razjasniti situaciju i raditi na daljinu dok incident nije zaključen i dokumentiran.