# BSI razina upozorenja narančasta: što razvrstavanje znači

> BSI razina upozorenja narančasta objašnjena: što znaju četiri razine, zašto se PHP2Shell smatra kritičnim za poslovanje i koje odluke tvrtke sada donose.

Izvor: https://phpsos.de/hr/blog/bsi-warnstufe-orange-erklaert/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** BSI-jeva razina upozorenja narančasta druga je najviša od četiri razine. Znači: IT-prijetnja je kritična za poslovanje, a redovni rad može biti masovno ometen. Za PHP2Shell BSI (njemački Savezni ured za informacijsku sigurnost) dodijelio je ovu razinu 3 i preporučuje trenutačno ažuriranje ili, ako to nije moguće, privremeno odspajanje pogođenih web-poslužitelja s mreže. Za tvrtke narančasta znači: tema danas pripada na stol uprave.

## Što razvrstavanje znači za donositelje odluka

Mnogi direktori u vijestima su čuli za „razinu upozorenja narančasta“ a da ne znaju kako to razvrstati. Je li to alarm za sve ili tema za IT odjel? Kratak odgovor: narančasta je razina pri kojoj BSI polazi od toga da pogođeni bez brze reakcije riskiraju ozbiljne smetnje u poslovanju.

Prema hessenschauu BSI je kod PHP2Shella govorio o iznimnom potencijalu prijetnje. Računao je s brzim iskorištavanjem u velikom opsegu. Potvrđeni uspješni napadi u širokom opsegu u trenutku upozorenja prema BSI-ju nisu bili poznati. Oboje spada zajedno: visoka razina opisuje rizik, a ne već nastalu štetu.

## BSI razina upozorenja narančasta i druge tri razine

BSI svoja kibernetičko-sigurnosna upozorenja razvrstava na ljestvici od 1 do 4. Sljedeća tablica daje značenje u smislu:

| Razina | Boja | Značenje (u smislu) |
|---|---|---|
| 1 | Sivo | IT-prijetnja bez bitnih neobičnosti |
| 2 | Žuto | pojačano praćenje neobičnosti, redovni rad povremeno ometen |
| 3 | Narančasto | stanje kritično za poslovanje, masovno ometanje redovnog rada |
| 4 | Crveno | izrazito kritično stanje, redovni rad u mnogim područjima nije moguće održati |

Razina govori o stanju u cjelini, a ne o Vašem pojedinačnom poslužitelju. Potpuno zakrpan i provjeren web-poslužitelj u dobrom je položaju i pri narančastoj. Nezakrpan poslužitelj s PHP-om 8.1 i mod_php ugrožen je i pri nižoj razini.

### Kako ljestvicu koristiti interno

Mnoge tvrtke imaju vlastite razine uzbune, primjerice u priručniku za hitne slučajeve ili u okviru upravljanja informacijskom sigurnošću. Isplati se BSI-jeve razine tamo čvrsto pridružiti. Jednostavno pravilo može glasiti: kod žutog IT provjerava u okviru redovnog rada. Kod narančastog se uprava obavještava istoga dana, imenuje se odgovorna osoba i pisanim putem prikuplja stanje svih pogođenih sustava. Kod crvenog se sastaje krizni stožer.

Tako od vijesti nastaje uvježbana reakcija. Tko je pridruživanje unaprijed utvrdio, u hitnom slučaju ne mora raspravljati je li stanje „dovoljno ozbiljno“. Kod PHP2Shella to bi pravilo značilo: još 21. listopada popis stanja, plan zakrpa i odluka o isključenjima.

BSI sama upozorenja objavljuje na svojoj web-stranici, gdje se kod novih saznanja i ažuriraju. Isplati se čitati aktualnu verziju, jer se preporuke i procjene tijekom situacije mogu mijenjati.

## Zašto je PHP2Shell narančasto, a ne crveno

Za usporedbu se često navodi Log4Shell. Za ranjivost u Java biblioteci Log4j BSI je u prosincu 2021. proglasio razinu crveno, prema tadašnjim izvješćima među ostalim zato što se ranjivost mogla trivijalno iskoristiti, a kompromitacije su već bile poznate. U siječnju 2022. upozorenje je prema Bundestagu snižen na žuto.

Točan razlog za narančasto kod PHP2Shella zna samo BSI. Uočljive razlike su stanje potvrđenih napada i činjenica da je za sve podržane PHP grane ažuriranje dostupno. Opsežnu usporedbu nudi članak [PHP2Shell i Log4Shell](https://phpsos.de/hr/blog/php2shell-und-log4shell/). Narančasto pritom nije otklanjanje uzbune. Preporuka da se poslužitelji u nuždi odspoje s mreže za tijelo vlasti jasna je poruka.

> **Važno:**
> Razina upozorenja može se promijeniti, u oba smjera. Mjerodavno je aktualno stanje na web-stranici BSI-ja, a ne novinski članak od jučer.

## Što narančasto ne znači

Tri nesporazuma trenutačno nam se često javljaju:

- **„Narančasto znači da smo hakirani.“** Ne. Razina opisuje stanje prijetnje, a ne nalaz na Vašim sustavima.
- **„Narančasto vrijedi samo za tijela vlasti.“** Ne. Upozorenja su upućena svim operaterima pogođenih sustava, i malim tvrtkama.
- **„Ako imamo Cloudflare ili WAF, narančasto nas se ne tiče.“** Ne. Zaštitna pravila smanjuju rizik, ali ne zamjenjuju PHP ažuriranje.

Proizlaze li iz upozorenja pravne obveze, primjerice u okviru [NIS2](https://phpsos.de/hr/compliance/nis2/), ovisi o Vašoj branši i veličini. To nije pravni savjet; pojedinosti razjasnite sa svojim pravnim savjetnikom ili službenikom za zaštitu podataka.

## Razvrstavanje pretvoriti u odluke

Razina upozorenja vrijedi onoliko koliko vrijede odluke koje iz nje proizlaze. Za PHP2Shell tvrtkama preporučujemo ovaj redoslijed:

1. **Razjasniti pogođenost:** Koji poslužitelji i web-stranice rade s PHP-om, tko ih vodi?
2. **Dokazati razinu zakrpe:** ispravljena verzija 8.5.12, 8.4.27, 8.3.36 ili 8.2.35, ili backport koji je potvrdio pružatelj.
3. **Osigurati ponovno pokretanje:** Svi PHP procesi moraju biti ponovno pokrenuti.
4. **Ako to ne ide odmah:** postaviti prijelazne mjere ili poslužitelj privremeno odspojiti s mreže, kako preporučuje BSI. Mogućnosti opisuje [Hitne mjere bez zakrpe](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/).
5. **Provjeriti tragove i sigurnosno pohraniti logove:** od 20. listopada.
6. **Dokumentirati odluke:** tko je što i kada odlučio i na kojoj osnovi.

Upravo se posljednja točka podcjenjuje. Tko je kod službenog upozorenja razine narančasto postupao razumljivo i provjerljivo, u boljem je položaju prema osiguravateljima, kupcima i nadzornim tijelima. Pozadinu daje stranica o [odgovornosti uprave](https://phpsos.de/hr/compliance/geschaeftsfuehrer-haftung/).

## Kako PHP SOS konkretno pomaže?

- **Stanje za Vašu tvrtku:** BSI-jevo razvrstavanje prevodimo u popis Vaših pogođenih sustava s prioritetom.
- **Provedba preporuke:** Zakrpamo, ponovno pokrenemo ili postavimo prijelazne mjere dok ažuriranje nije moguće.
- **Dokaz:** Dobivate dokumentaciju što je kada učinjeno na kojem poslužitelju.
- **Praćenje:** Ako BSI promijeni razvrstavanje ili stignu nove objave, procjenjujemo ih za Vaše sustave.

Više na [PHP2Shell hitna pomoć](https://phpsos.de/hr/leistungen/php2shell-soforthilfe/).

## Zaključak

Razina upozorenja narančasta druga je najviša razina BSI-ja i za PHP2Shell dobro je obrazložena. Ne traži paniku, ali traži odluku istoga dana: zakrpati, ponovno pokrenuti, provjeriti ili privremeno isključiti. Tko to dokumentira, upozorenje je ispravno pročitao.


## Česta pitanja

**Koliko razina upozorenja ima BSI?**  
BSI-jeva kibernetičko-sigurnosna upozorenja koriste četiri razine: 1 / sivo, 2 / žuto, 3 / narančasto i 4 / crveno. Narančasta je druga najviša razina i opisuje IT-prijetnju kritičnu za poslovanje s masovnim ometanjem redovnog rada.

**Je li razina upozorenja narančasta obveza djelovanja?**  
Samo upozorenje je stručna procjena s preporukama za postupanje. Koje obveze iz njega proizlaze za Vašu tvrtku, primjerice iz NIS2, ugovora ili uvjeta osiguranja, ovisi o pojedinom slučaju. Razjasnite to sa svojim pravnim savjetnikom; ovo nije pravni savjet.

**Zašto PHP2Shell nije razina crveno?**  
Razloge za razvrstavanje određuje sam BSI. Upadljiva je razlika u odnosu na Log4Shell, koji je 2021. dobio crveno: tamo su prema tadašnjim izvješćima kompromitacije već bile poznate. Kod PHP2Shella potvrđeni uspješni napadi u širokom opsegu prema BSI-ju u početku nisu bili poznati.

**Može li se razina upozorenja promijeniti?**  
Da. BSI prilagođava razvrstavanje situaciji, prema gore i prema dolje. Log4Shell je primjerice prema njemačkom Bundestagu u siječnju 2022. snižen s crvenog na žuto. Aktualno stanje provjerite izravno kod BSI-ja.

## Izvori

- [BSI: Savezni ured za informacijsku sigurnost (Njemačka)](https://www.bsi.bund.de/)
- [hessenschau: Brojne web-stranice tijela vlasti u Hessenu isključene](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [php.net: sigurnosne objave](https://www.php.net/)