Ukratko: Tjedan dana nakon prvog uočenog pokušaja napada PHP2Shell je aktualno ponajprije pitanje provedbe: zakrpe za PHP 8.2 do 8.5 dostupne su od 21. listopada, velike distribucije su ih slijedile, BSI (njemački Savezni ured za informacijsku sigurnost) upozorava razinom narančasto. Pokušaji napada su uočeni, a potvrđene uspješne napade u širokom opsegu BSI u početku nije prijavio. Otvorene ostaju stare verzije, poslužitelji koji nisu ponovno pokrenuti i pitanje što se zbilo prije zakrpe.
Stanje u tri rečenice
PHP2Shell su dvije kritične ranjivosti u samom PHP interpreteru, CVE-2026-109618 i CVE-2026-109619, svaka ocijenjena s CVSS v4.0 9.2. Omogućuju izvršavanje koda izdaljine bez prijave, dakle slučaj kojeg se sigurnosni stručnjaci najviše boje. Pogođeni su PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed; najveći rizik PHP tim vidi kod mod_php-a.
Ovaj pregled razvrstava stanje na 25. listopada 2026. prema sudionicima. Tijek dan po dan nalazi se u PHP2Shell kronologiji, ovdje se radi o cjelokupnoj slici.
Što je nakon tjedan dana dokazano
Pouzdani su podaci PHP projekta: izdanja 8.5.12, 8.4.27, 8.3.36 i 8.2.35 od 21. listopada zatvaraju obje ranjivosti. Za PHP 7.4, 8.0 i 8.1 postoje samo minimalni backportovi izvornog koda, a ne službena izdanja. php.net naglašava da nema potpunih prijelaznih mjera i da je ažuriranje jedini siguran put.
Dana 23. listopada dodana je napomena o CVE-2026-115560. Odnosi se samo na neobičnu konfiguraciju sesija; kao rješenje php.net navodi session.upload_progress.enabled=0 do idućeg redovitog bugfix izdanja.
I velike distribucije zauzele su stav. Provjerili smo službene objave:
| Pružatelj | Stanje prema službenoj objavi |
|---|---|
| Ubuntu | USN-8948-1 za 22.04, 24.04, 26.04 i 26.10; USN-8948-2 za 14.04 do 20.04 preko Ubuntu Pro |
| Debian | Ispravljeni paketi za bookworm (php8.2, DLA-4848-1) i trixie (php8.4, DSA-6574-1) |
| Red Hat | Bilten RHSB-2026-013 za RHEL 7 do 10; neka ažuriranja dostupna, druga u izradi |
Red Hat CVE-2026-109618 vlastitom ocjenom razvrstava kao „Important“ i to obrazlaže višom složenošću napada. To je drukčija metoda ocjenjivanja od one PHP projekta i nije razlog za odgađanje ažuriranja.
Kako tijela vlasti ocjenjuju stanje
BSI je proglasio razinu upozorenja 3 / narančasto. Preporučuje trenutačno ažuriranje i, ako to ne ide odmah, privremeno odspajanje pogođenih web-poslužitelja s mreže. BSI je računao s brzim iskorištavanjem u velikom opsegu. Što razvrstavanje znači, objašnjava stranica Što BSI preporučuje o PHP2Shellu.
Prema izvješćima CERT-EU smatra mogućim da su pogođene verzije od PHP-a 5 i savjetuje izolirati javno dostupne aplikacije ako se ne mogu pravodobno zakrpati. CERT-Bund (njemački državni CERT) i sigurnosna tvrtka Huntress također su upozorili.
Preporuka da se u nuždi isključi vidljivo je provedena. Prema medijskim izvješćima grad Mainz preventivno je skinuo svoj središnji web-portal s mreže; uredi su ostali dostupni telefonom i e-poštom. U Hessenu su prema hessenschauu stranice zemaljske vlade, BKA-a (njemački Savezni ured kriminalističke policije) te gradova Kassela i Wiesbadena privremeno bile izvan mreže. Državna kancelarija nije prijavila napad, a stranice su navečer ponovno bile dostupne. Prema izvješćima slično su postupile i druge općine, visoka učilišta i klinike.
Što je poznato o napadima
Ovdje je razdvajanje opažanja i potvrde osobito važno.
- Uočeno: Prema medijskim izvješćima 17. listopada postojao je prvi pokušaj napada koji je uočio Amazon. Cloudflare i Patchstack izvijestili su o pokušajima napada; Cloudflare je uz to vidio izmijenjene obrasce napada.
- Reproducirano: watchTowr je CVE-2026-109618 prema izvješćima prema vlastitim navodima reproducirao.
- Nepotvrđeno: BSI u početku nije prijavio potvrđena uspješna iskorištavanja u širokom opsegu. Huntress u trenutku svoje objave nije vidio napade u okruženjima partnera.
- Nepoznato: Nema objavljenih, potvrđenih Indicators of Compromise. Tko želi provjeriti je li poslužitelj pogođen, mora paziti na obrasce ponašanja.
O opsegu kruže dvije brojke. Istraživači Unita 42 tvrtke Palo Alto Networks došli su do više od 22,6 milijuna potencijalno ranjivih instanci dostupnih s mreže. CybelAngel navodi oko 2,24 milijuna dostupnih PHP hostova, od toga prema vlastitoj analizi 59 posto na verzijama bez nadolazećeg službenog ispravka. Obje mjere različite stvari i nisu izravno usporedive. Razvrstavanje daje članak Kako ispravno razumjeti brojke.
Što je otvoreno
Tri pitanja određuju sljedeće tjedne:
- Stare verzije: Velik dio dostupnih PHP instalacija prema navedenim analizama radi na granama bez službenog ispravka. Pokrivaju li komercijalne ponude dugoročne podrške PHP2Shell, mora se svaki put pisanim putem potvrditi kod pružatelja.
- Nepotpuna ažuriranja: Novi paketi djeluju tek kad su ponovno pokrenuti svi PHP procesi. Red Hat izričito upozorava da puko ponovno učitavanje nije dovoljno.
- Vrijeme prije zakrpe: Između 17. i 21. listopada poslužitelji su bili ranjivi dok su već tekli pokušaji napada. Zakrpa ne dokazuje da se u tom vremenu ništa nije dogodilo.
Sačuvajte logove web-poslužitelja i PHP-a od 20. listopada, kako preporučuje stručni tisak. Bez logova se najvažnije otvoreno pitanje za Vaš poslužitelj kasnije više ne može razjasniti.
Što bi operateri sada trebali provjeriti
Za vlastitu procjenu stanja dovoljne su četiri točke provjere po poslužitelju: Je li PHP na ispravljenom stanju ili potvrđenom backportu? Rade li svi procesi od ažuriranja? Je li session.upload_progress.enabled isključen na strani poslužitelja dok sigurnosna obavijest o CVE-2026-115560 još nedostaje? Ima li neobičnosti od 17. listopada?
Za posljednju točku pomaže stranica Jesam li već kompromitiran?. Proces web-poslužitelja koji pokreće shell, nove PHP datoteke u mapama za upload, nepoznati cron poslovi ili SSH ključevi znakovi su upozorenja koji opravdavaju detaljniju istragu.
Kako PHP SOS konkretno pomaže?
- Razinu zakrpe svakog poslužitelja procjenjujemo prema stanju paketa, changelogu i vremenima pokretanja procesa.
- Gdje zakrpa nije dostupna, postavljamo prijelazne mjere s php.net-a i razjašnjavamo put do podržane verzije.
- Sigurnosno pohranjujemo logove od 20. listopada i tražimo tragove iz vremena prije zakrpe.
- PHP2Shell hitnom pomoći objedinjujemo te korake za tvrtke kojima je brzo potrebna jasnoća.
Česta pitanja
Iskorištava li se PHP2Shell već aktivno?
Cloudflare i Patchstack izvijestili su o pokušajima napada. Potvrđene uspješne napade u širokom opsegu BSI u početku nije prijavio. Huntress u trenutku svoje objave nije vidio napade u okruženjima partnera.
Je li opasnost prošla nakon zakrpa?
Ne. Zakrpe štite samo poslužitelje koji su ih instalirali i ponovno pokrenuli sve PHP procese. Sustavi na PHP-u 8.1 i starijem ostaju ranjivi bez potvrđenog backporta, a zakrpa ne uklanja prethodno ubačeni zlonamjerni softver.
Zašto su web-stranice tijela vlasti bile izvan mreže?
Prema medijskim izvješćima grad Mainz i više tijela u Hessenu preventivno su isključili svoje web-stranice. To odgovara BSI-jevoj preporuci za poslužitelje koji se ne mogu odmah ažurirati. Isključenje ne znači da se napad dogodio.
Postoje li obilježja za prepoznavanje PHP2Shell napada?
Objavljenih, potvrđenih Indicators of Compromise za sada nema. Prepoznavanje se temelji na analizi ponašanja, primjerice PHP procesa koji pokreću shell ili novih PHP datoteka u mapama za upload.