Ukratko: PHP2Shell sigurnosnom ranjivošću PHP-a pogođene su grane 8.2 do 8.5 do izdanja od 21. listopada 2026., a prema stručnom tisku gotovo sve verzije sve do PHP-a 5.4. Ispravljena je u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja, nego samo minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1.
Koje je verzije pogodila PHP sigurnosna ranjivost?
PHP2Shell obuhvaća dvije ranjivosti, CVE-2026-109618 i CVE-2026-109619, svaku ocijenjenu s 9,2 prema CVSS-u v4.0. Obje omogućuju izvršavanje zlonamjernog koda izdaleka bez prijave. Dana 21. listopada 2026. u 14:00 UTC (16 sati po njemačkom vremenu) PHP projekt objavio je ispravke za sve podržane grane.
| PHP grana | Zadnje stanje prije ispravka | Ispravljeno od | Podrška |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | službeno podržano |
| 8.4 | 8.4.26 | 8.4.27 | službeno podržano |
| 8.3 | 8.3.35 | 8.3.36 | službeno podržano |
| 8.2 | 8.2.34 | 8.2.35 | završava 31. 12. 2026. |
| 8.1, 8.0, 7.4 | sva stanja | nema službenog izdanja | samo minimalni backportovi izvornog koda |
| 7.3 do 5.4 | prema stručnom tisku gotovo sve pogođeno | nema ažuriranja | godinama bez podrške |
Podaci o 8.2 do 8.5 potječu iz objava php.net-a. Tvrdnja o verzijama sve do PHP-a 5.4 potječe iz stručnog tiska; cjelovit službeni popis za stare verzije ne postoji.
Za netehničke osobe u nekoliko rečenica: ako je na Vašem poslužitelju verzija iz stupca „Ispravljeno od“ ili viša i ako su nakon toga ponovno pokrenuti svi PHP procesi, PHP2Shell je zatvoren. Ako tamo stoji starija oznaka, ili je u igri backport koji Vaš pružatelj mora potvrditi, ili je ranjivost otvorena. Pitajte svoj IT ili pružatelja hostinga u sumnji točno za te tri točke: verzija, backport, ponovno pokretanje.
Pogođeni načini rada
Broj verzije je samo pola odgovora. Pogođeni su svi uobičajeni načini pokretanja PHP-a na web-poslužitelju: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. PHP tim rizik kod mod_php ocjenjuje najvišim jer je tamo prikazan exploit prije nego što se uopće izvrši kod aplikacije. Pojedinosti na stranici Zašto mod_php nosi najviši rizik.
Zaštita ne proizlazi iz aplikacije: bilo da je riječ o WordPressu, Shopwareu, TYPO3-u, Laravelu ili vlastitom razvoju, ažuriranje aplikacije ne zatvara ranjivost u PHP-u.
Backportovi: kad broj verzije zavarava
Mnoge Linux distribucije i pružatelji hostinga isporučuju PHP u vlastitim paketima. Umjesto prelaska na novu upstream verziju, ispravak preuzimaju kao backport u svoju postojeću verziju. To ima praktičnu posljedicu: prikazani broj ostaje star. Primjer iz aktualne situacije je Plesk, koji i dalje može prikazivati 8.2.34 iako je pogreška ispravljena.
Za Vas to znači: gornja tablica vrijedi za službena izdanja php.net-a. Kod paketa iz Vaše distribucije ili od pružatelja hostinga odlučuju stanje paketa i potvrda pružatelja. Kako provjeriti oboje, pokazuje Ispravna provjera verzije PHP-a i stanja zakrpe. Za brzi test u naredbenom retku:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, naziv paketa razlikuje se prema verziji i izvoru
dnf info php-fpm # obitelj RHEL
Ispravljena verzija na tvrdom disku još ne znači da radi. Tek nakon ponovnog pokretanja svih PHP procesa poslužitelj radi s ispravljenim kodom.
Što vrijedi za PHP 8.1 i starije?
Za PHP 8.1, 8.0 i 7.4 postoje samo minimalni backportovi izvornog koda, dakle ispravci u izvornom kodu koje netko mora sam preuzeti i kompilirati. Službena izdanja ne izlaze. Neke distribucije s dugoročnom skrbi ugrađuju takve ispravke u svoje pakete; vrijedi li to za Vaš sustav, može se razjasniti samo putem changelogova paketa ili kod pružatelja.
Dugoročno nema puta mimo podržane verzije. Koju verziju PHP-a podnosi Vaš CMS ili shop, provjerite prema sistemskim zahtjevima proizvođača, primjerice na wordpress.org, shopware.com ili typo3.org. Više na stranici PHP 8.1 i starije: što sada vrijedi.
A CVE-2026-115560?
Dana 23. listopada php.net je objavio napomenu o trećoj ranjivosti. Ona djeluje samo kod neuobičajene konfiguracije sesija. Ispravljena verzija prema stanju od 25. listopada još ne postoji; do sljedećeg redovitog izdanja s ispravcima pogrešaka mjera glasi session.upload_progress.enabled=0. Popis verzija očekuje se tek s cjelovitim advisoryjem.
Kako PHP SOS konkretno pomaže?
- Inventar: Bilježimo sve verzije PHP-a na Vašim poslužiteljima, i druge instalacije za pojedine web-stranice koje se rado previde.
- Usporedba: Za svaku instalaciju razjašnjavamo radi li se o službenom izdanju, backportu distribucije ili o nepostojećem ispravku.
- Ažuriranje s dokazom: Putem usluge PHP zakrpe instaliramo ispravak i ponovno pokrećemo sve procese.
- Plan migracije: Za verzije bez službenih ažuriranja planiramo prelazak uz migraciju s PHP-a 8.1 i starijeg i do tada osiguravamo poslužitelj.
Česta pitanja
Je li PHP 8.3.35 još siguran?
Ne, osim ako Vaš pružatelj nije ugradio backport. 8.3.35 je zadnje stanje prije ispravka; PHP2Shell je u grani 8.3 ispravljen od 8.3.36. Kod paketa distribucija broj može ostati isti iako je pogreška ispravljena. Tada vrijedi changelog paketa ili potvrda pružatelja.
Je li PHP 7.4 pogođen PHP2Shellom?
Prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Za 7.4, 8.0 i 8.1 postoje samo minimalni backportovi izvornog koda i nema službenih izdanja. Prelazak na podržanu verziju je pouzdan put.
Zašto Plesk prikazuje 8.2.34 iako je zakrpano?
Distribucije i pružatelji hostinga ponekad ispravke preuzimaju kao backport u svoje postojeće pakete. Broj verzije tada ostaje isti, a pogreška je ipak ispravljena. Provjerite stanje paketa ili zatražite od pružatelja potvrdu zakrpe.
Koju verziju PHP-a sada trebam odabrati?
Podržanu verziju koju Vaša aplikacija prema sistemskim zahtjevima proizvođača odobrava. PHP 8.2 doseže kraj podrške 31. 12. 2026.; tko ionako sada mijenja verziju, trebao bi to uračunati.