Ukratko: Ako je Vaša web-trgovina hakirana ili radi na nezakrpanoj verziji PHP-a, radi se istodobno o tri stvari: podacima kupaca, blagajni i Vašem prometu. Kontrolirano prebacite trgovinu u način održavanja, osigurajte zapisnike od 20. 10. 2026. i razjasnite tko na Vašem poslužitelju ažurira i ponovno pokreće PHP.
Što je u web-trgovini na kocki
Web-trgovina je više od web-stranice. Upravlja korisničkim računima s hash vrijednostima lozinki, adresama za dostavu i račun, poviješću narudžbi, bonovima, a često i sučeljima prema sustavu za upravljanje robom, dostavnim službama i tržnicama. Tko može izvršavati kod na poslužitelju, u pravilu dolazi do baze podataka i do tamo pohranjenih API ključeva.
Podaci o karticama najčešće nisu kod Vas, nego kod pružatelja usluga plaćanja. To smiruje samo djelomično: napadač može u proces narudžbe ubaciti JavaScript koji u pregledniku čita unose. Takve skimming skripte u radu trgovine jedva se primjećuju jer narudžbe prolaze sasvim normalno.
Tome se pridodaju sučelja. Trgovina koja narudžbe predaje sustavu za upravljanje robom, dostavnim službama i tržnicama pristupne ključeve za to najčešće pohranjuje u konfiguracijskim datotekama na poslužitelju. Tko ih kopira, može u ime trgovca izrađivati naljepnice za dostavu, mijenjati zalihe ili zlorabiti račune na tržnicama.
Tipični shop sustavi i zašto ih PHP2Shell pogađa
Raširene shop sustave u srednjim poduzećima pokreće PHP: Shopware 6, WooCommerce, Magento, OXID, PrestaShop i mnoge starije instalacije Shopwarea 5. PHP2Shell (CVE-2026-109618 i CVE-2026-109619, svaki CVSS 9.2) nalazi se u samom PHP-u. Napadačima ne treba korisnički račun ni administratorski pristup.
Za trgovce to znači: najnovije ažuriranje trgovine ne štiti. Odlučujuće je je li PHP na poslužitelju na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili je pružatelj hostinga instalirao backport te jesu li nakon toga svi PHP procesi ponovno pokrenuti. Za stare trgovine na PHP-u 8.1 ili starijem PHP projekt više ne izdaje službena ažuriranja. Tada je uz hitni slučaj na redu i migracija, koju ne želite obavljati pod vremenskim pritiskom u sezoni.
Hakirana web-trgovina: što incident konkretno znači
Kompromitirana web-trgovina uzrokuje štetu na više razina koje se međusobno pojačavaju:
- Promet: Svaki sat u načinu održavanja košta narudžbe. Trgovina koja neprimijećeno nastavlja raditi, međutim, može biti znatno skuplja.
- Podaci kupaca: Procurjele adrese i narudžbe koriste se za ciljane phishing poruke koje djeluju vjerodostojno jer navode stvarne narudžbe.
- Vidljivost: Ako Google prepozna zlonamjerni kod, u rezultatima pretraživanja pojavljuje se upozorenje. Kako ga se riješiti, piše u savjetniku Uklanjanje Googleova upozorenja.
- Partneri: Pružatelji usluga plaćanja i tržnice imaju vlastite propise za sigurnosne incidente. Tko prijavi prekasno, riskira probleme pri obračunu.
Tko je odgovoran: agencija, pružatelj hostinga ili trgovac?
U mnogim trgovinama pitanje PHP-a pada između svih stolica. Agencija je izgradila trgovinu i održava dodatke, pružatelj hostinga upravlja poslužiteljem, a trgovac pretpostavlja da će se jedan od njih pobrinuti. Kod upravljanog hostinga zakrpa obično pružatelj hostinga, kod vlastitog vServera nitko automatski.
| Zadatak | Tipično odgovoran | Provjerite |
|---|---|---|
| Ažurirati PHP paket | Pružatelj hostinga ili skrbnik poslužitelja | Pisana potvrda sa stanjem paketa |
| Ponovno pokrenuti PHP procese | tko upravlja poslužiteljem | Vrijeme ponovnog pokretanja |
| Trgovina i dodaci | Agencija | Ugovor o održavanju i pristupi |
| Obavijestiti pružatelja usluga plaćanja | Trgovac | Ugovorne obveze prijave |
PHP zakrpa ne dokazuje da se prije nije ništa dogodilo. Ako je trgovina napadnuta između 17. 10. i trenutka zakrpe, ubačeni kod može nastaviti raditi. Dajte to provjeriti prije nego što javite da je opasnost prošla.
Prvi sati: redoslijed za trgovce
- Trgovinu prebacite u način održavanja ili je, ako to nije moguće, privremeno odspojite s mreže.
- Osigurajte zapisnike web-poslužitelja, PHP-a i trgovine od 20. 10. 2026. prije nego što ih rotacija obriše.
- Od pružatelja hostinga zatražite pisanu potvrdu stanja PHP paketa i ponovnog pokretanja.
- Obnovite administratorske lozinke, API ključeve za plaćanje, dostavu i tržnice te pristupe bazi podataka, i to tek nakon čišćenja.
- Provjerite blagajnu, dodatke za plaćanje i uključene skripte na izmjene.
Ako postoje naznake curenja podataka, teče rok od 72 sata prema GDPR-u. Pravnu procjenu donosite sa svojim službenikom za zaštitu podataka i, prema potrebi, odvjetnikom.
Kako PHP SOS konkretno pomaže?
- Na daljinu provjeravamo stvarno stanje PHP paketa, način rada (primjerice mod_php ili PHP-FPM) i jesu li svi workeri ponovno pokrenuti.
- Istražujemo datoteke trgovine, bazu podataka i blagajnu na web shellove, skimming kod i nove administratorske račune te uklanjamo pronađeni zlonamjerni softver.
- Usklađujemo se s Vašom agencijom i Vašim pružateljem hostinga kako se održavanje trgovine i rad poslužitelja ne bi mimoilazili.
- Nalaze i mjere dokumentiramo tako da ih možete predočiti pružatelju usluga plaćanja, osiguratelju i službeniku za zaštitu podataka.
- Nakon toga ojačavamo poslužitelj i, na želju, preuzimamo stalni nadzor.
Česta pitanja
Moram li zbog PHP2Shella isključiti svoju web-trgovinu s mreže?
BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelji privremeno odspoje s mreže ako PHP ažuriranje nije odmah moguće. Za web-trgovinu je način održavanja sa stranicom s obavijesti često bolji put od poruke o pogrešci. Čim se PHP zakrpa i svi se procesi ponovno pokrenu, trgovina se može ponovno otvoriti.
Jesu li podaci o kreditnim karticama u mojoj web-trgovini ugroženi?
U većini web-trgovina podaci o karticama ne nalaze se na vlastitom poslužitelju, nego kod pružatelja usluga plaćanja. Opasan je, međutim, manipulirani kod u blagajni koji prisvaja unose prije nego što stignu do pružatelja. Zato blagajna pri svakoj provjeri nakon napada spada u opseg.
Je li dovoljno ažurirati Shopware ili WooCommerce?
Ne. PHP2Shell pogađa sam PHP, a ne shop sustav. Ažuriranje trgovine ne zatvara ranjivost, a PHP zakrpa ne uklanja već ubačeni zlonamjerni kod.
Koga moram obavijestiti nakon curenja podataka?
Kod osobnih podataka u obzir dolazi prijava tijelu za zaštitu podataka u roku od 72 sata, a ovisno o riziku i obavijest pogođenim osobama. Tome se pridodaju ugovorne obveze prema pružatelju usluga plaćanja i osiguratelju. Procjenu u pojedinačnom slučaju donosite sa službenikom za zaštitu podataka i odvjetnikom.