# Zakrpati, isključiti ili čekati? Pomoć pri odlučivanju kod PHP ranjivosti

> Skinuti web-stranicu s mreže zbog PHP ranjivosti? Pomoć pri odlučivanju između zakrpe, isključenja i čekanja, s kriterijima, tijekom i iskrenim granicama.

Izvor: https://phpsos.de/hr/blog/patchen-abschalten-abwarten/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Treba li zbog PHP ranjivosti web-stranicu skinuti s mreže, ovisi o jednom pitanju: radi li PHP na tom poslužitelju dokazano na ispravljenom stanju i jesu li svi procesi ponovno pokrenuti? Ako da, isključenje nije potrebno. Ako ažuriranje nije odmah moguće, BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje web-poslužitelj privremeno skinuti s mreže. Čekanje je opravdano samo ako sustav ne koristi PHP, nije javno dostupan ili je pružatelj pisano potvrdio zakrpu.

## Situacija u kojoj morate odlučiti

PHP2Shell obuhvaća dvije ranjivosti u samom PHP-u, CVE-2026-109618 i CVE-2026-109619, obje ocijenjene s CVSS v4.0 9.2. Omogućuju izvršavanje zlonamjernog koda na daljinu bez prijave. Ispravljene verzije dostupne su od 21. 10. 2026.: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja.

BSI je proglasio razinu upozorenja narančasto i savjetuje trenutačno ažuriranje, a zamjenski privremeno isključenje. Prema medijskim izvješćima grad Mainz, uredi hessenske zemaljske vlade i druge javne ustanove preventivno su skinuli web-stranice s mreže; hessenska državna kancelarija nije prijavila napad. Što tvrtke iz toga mogu zaključiti, piše u članku [Tijela vlasti skidaju web-stranice s mreže](https://phpsos.de/hr/blog/behoerden-webseiten-offline/).

Za odgovorne u tvrtkama pitanje je praktičnije: što radimo s našim shopom, našim portalom, našom web-stranicom tvrtke, danas?

## Isključiti web-stranicu, zakrpati ili čekati: tri opcije u usporedbi

Sljedeća tablica stavlja opcije jednu uz drugu. Ne zamjenjuje procjenu Vašeg pojedinačnog slučaja, ali čini odvagivanje vidljivim.

| Kriterij | Odmah zakrpati | Privremeno isključiti | Čekati |
|---|---|---|---|
| Zaštita od PHP2Shella | Visoka, ako su zakrpa i ponovno pokretanje dokazani | Visoka za vrijeme isključenja | Nikakva dok je nezakrpano |
| Prekid rada | Kratak, za ažuriranje i ponovno pokretanje | Sati do dana | Nema |
| Preduvjet | Podržana verzija PHP-a, pristup, prozor održavanja | Odluka uprave, statična zamjenska stranica | Dokazan razlog zašto nema rizika |
| Trud | Nizak do srednji | Nizak tehnički, visok organizacijski | Nizak, ali trud provjere za dokaz |
| Tipičan slučaj | Poslužitelj s PHP-om 8.2 do 8.5 | Stari sustav s PHP-om 8.1 ili starijim, nejasno stanje | Sustav bez PHP-a ili samo interno dostupan |
| Preostali rizik | Raniji upad ostaje moguć | Raniji upad ostaje moguć | U cijelosti postoji |

Jedan redak zaslužuje pozornost: ni zakrpa ni isključenje ne razjašnjavaju je li se prije već nešto dogodilo. Prema medijskim izvješćima prvi uočeni pokušaj napada bio je 17. 10. 2026., dakle prije zakrpe. Pogled na moguće tragove stoga pripada uz svaku opciju.

## U pet pitanja do odluke

Prolazite pitanja redom. Prvi jasan odgovor najčešće vodi do odluke.

1. **Radi li na sustavu uopće PHP i je li dostupan s interneta?** Ako ne, sustav nije izravno pogođen PHP2Shellom. Dokumentirajte kako ste to utvrdili.
2. **Je li stanje zakrpe dokazano?** Dokazano znači: ispravljena verzija ili backport s CVE brojevima u changelogu paketa i ponovno pokretanje svih PHP procesa. Prikaz verzije u panelu nije dovoljan. Kako to provjeriti, piše u članku [Kako ispravno provjeriti verziju PHP-a i stanje zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/).
3. **Može li se ažuriranje instalirati u idućih nekoliko sati?** Ako da: zakrpati, ponovno pokrenuti, provjeriti. Do tada mogu pomoći prijelazne mjere.
4. **Nije li to moguće, primjerice zbog PHP-a 8.1 ili nedostatka pristupa?** Tada je prema BSI-ju put privremeno isključenje. Prijelazne mjere prema php.net-u smanjuju rizik, ali ne štite u potpunosti; pojedinosti su u članku [Hitne mjere dok još ne možete zakrpati](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/).
5. **Postoje li znakovi kompromitacije?** Tada pitanje više nije „zakrpati ili isključiti“, nego „obraditi incident“. Isključiti, osigurati dokaze, ne brisati prenagljeno.

## Ako isključujete: isključite ispravno

Isključenje treba ukloniti napadnu površinu, a ne samo sakriti početnu stranicu. Stranica o održavanju koja se i dalje generira putem PHP-a ne ispunjava tu svrhu. Bolja je statična HTML stranica koju web-poslužitelj isporučuje bez PHP-a ili preusmjeravanje na drugi poslužitelj.

Mislite na sve što visi na istom PHP-u: podstranice, sučelja za aplikacije ili robno poslovanje, administratorska područja, povratne pozive za plaćanje. Ako je pogođen shop, unaprijed razgovarajte s pružateljem plaćanja i logistikom. I obavijestite zaposlenike i klijente jasnim riječima: stranica je preventivno izvan mreže, kontakt ide telefonom i e-poštom. To je bolje od šutnje koja hrani nagađanja.

Važan je i kraj isključenja. Odredite pod kojim uvjetom stranica ponovno ide na mrežu, primjerice „PHP na ispravljenom stanju, ponovno pokretanje provjereno, prva provjera tragova bez nalaza“. Tako od kočnice u nuždi nastaje uređen tijek.

> **Važno:**
> Isključenje nije poraz. Više javnih tijela prema medijskim izvješćima učinilo je upravo to a da napada nije bilo. Preventivno isključenje ne znači automatski da je web-stranica hakirana.

## Kada Vam pružatelj usluga nije potreban

Ne zahtijeva svaka odluka vanjsku pomoć. Ako je Vaša web-stranica kod pružatelja hostinga koji pisano potvrđuje stanje zakrpe i ponovno pokretanje, a nema neobičnosti, s kratkom dokumentacijom dobro ste postavljeni. Isto vrijedi ako Vaš vlastiti IT može sam zakrpati poslužitelj s podržanom verzijom PHP-a i ovladava kontrolom.

Pomoć se isplati ako rade sustavi sa starom verzijom PHP-a, stanje je nejasno, pogođeno je više poslužitelja ili postoje znakovi provale.

## Kako PHP SOS konkretno pomaže?

1. S Vama u kratkom vremenu razjašnjavamo koji su sustavi pogođeni i koje je stanje zakrpe dokazano.
2. Upravi isporučujemo podlogu za odluku na jednoj stranici: opcije, rizici, preporučeni put.
3. Provodimo odabrani put, dakle zakrpu s ponovnim pokretanjem, prijelazne mjere ili uredno isključenje sa statičnom zamjenskom stranicom, u okviru naše [PHP2Shell hitne pomoći](https://phpsos.de/hr/leistungen/php2shell-soforthilfe/).
4. Provjeravamo tragove od 17. 10. 2026. i dokumentiramo rezultat.

## Zaključak

Zakrpati je normalan slučaj, isključiti je prava kočnica u nuždi, a čekati je opravdano samo uz dokaz. Tko iskreno odgovori na pet pitanja i odluku zabilježi pisanim putem, postupa u duhu preporuke BSI-ja i kasnije može pokazati zašto.


## Česta pitanja

**Moram li zbog PHP2Shella skinuti web-stranicu s mreže?**  
Ne, ako PHP već radi na ispravljenom stanju i ako su svi procesi ponovno pokrenuti. BSI preporučuje privremeno isključenje za slučaj da trenutačno ažuriranje nije moguće.

**Što košta više: isključenje, u prihodu, ili rizik?**  
Na to se može odgovoriti samo u pojedinačnom slučaju. Ispad od nekoliko sati najčešće je lakše planirati od provale čije posljedice i trajanje nitko ne zna. Odvagivanje zabilježite pisanim putem, neovisno o ishodu.

**Smije li stranica o održavanju raditi na istom poslužitelju?**  
Da, ako se isporučuje kao statična datoteka bez PHP-a. Ako se stranica o održavanju i dalje generira putem PHP-a, napadna površina ostaje.

**Je li čekanje ikad ispravan izbor?**  
Da, u jasno ograničenim slučajevima: ako na sustavu ne radi PHP, ako nije dostupan s interneta ili ako je pružatelj pisano potvrdio zakrpu i ponovno pokretanje. Čekanje bez takvih dokaza nije opcija, nego rizik.

**Tko bi trebao donijeti odluku?**  
Osoba koja odgovara za poslovni rizik, u pravilu uprava ili vlasnik. IT isporučuje činjenice. Tko odlučuje, trebalo bi unaprijed stajati u planu za hitne slučajeve.

## Izvori

- [BSI: upozorenje o PHP2Shellu](https://www.bsi.bund.de/)
- [php.net: sigurnosne objave](https://www.php.net/)
- [hessenschau: web-stranice tijela vlasti u Hessenu isključene](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [ZDFheute: sigurnosna ranjivost u PHP-u](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)