# Koje su verzije PHP-a pogođene?

> Koje verzije PHP-a pogađa PHP2Shell i koje su ispravljene: tablica verzija za 8.5 do 5.4, napomene o backportovima, kraju podrške i postupku.

Izvor: https://phpsos.de/hr/php2shell/betroffene-php-versionen/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** PHP2Shell sigurnosnom ranjivošću PHP-a pogođene su grane 8.2 do 8.5 do izdanja od 21. listopada 2026., a prema stručnom tisku gotovo sve verzije sve do PHP-a 5.4. Ispravljena je u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije više nema službenih ažuriranja, nego samo minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1.

## Koje je verzije pogodila PHP sigurnosna ranjivost?

PHP2Shell obuhvaća dvije ranjivosti, CVE-2026-109618 i CVE-2026-109619, svaku ocijenjenu s 9,2 prema CVSS-u v4.0. Obje omogućuju izvršavanje zlonamjernog koda izdaleka bez prijave. Dana 21. listopada 2026. u 14:00 UTC (16 sati po njemačkom vremenu) PHP projekt objavio je ispravke za sve podržane grane.

| PHP grana | Zadnje stanje prije ispravka | Ispravljeno od | Podrška |
|---|---|---|---|
| 8.5 | 8.5.11 | **8.5.12** | službeno podržano |
| 8.4 | 8.4.26 | **8.4.27** | službeno podržano |
| 8.3 | 8.3.35 | **8.3.36** | službeno podržano |
| 8.2 | 8.2.34 | **8.2.35** | završava 31. 12. 2026. |
| 8.1, 8.0, 7.4 | sva stanja | nema službenog izdanja | samo minimalni backportovi izvornog koda |
| 7.3 do 5.4 | prema stručnom tisku gotovo sve pogođeno | nema ažuriranja | godinama bez podrške |

Podaci o 8.2 do 8.5 potječu iz objava php.net-a. Tvrdnja o verzijama sve do PHP-a 5.4 potječe iz stručnog tiska; cjelovit službeni popis za stare verzije ne postoji.

Za netehničke osobe u nekoliko rečenica: ako je na Vašem poslužitelju verzija iz stupca „Ispravljeno od“ ili viša i ako su nakon toga ponovno pokrenuti svi PHP procesi, PHP2Shell je zatvoren. Ako tamo stoji starija oznaka, ili je u igri backport koji Vaš pružatelj mora potvrditi, ili je ranjivost otvorena. Pitajte svoj IT ili pružatelja hostinga u sumnji točno za te tri točke: verzija, backport, ponovno pokretanje.

## Pogođeni načini rada

Broj verzije je samo pola odgovora. Pogođeni su svi uobičajeni načini pokretanja PHP-a na web-poslužitelju: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. PHP tim rizik kod mod_php ocjenjuje najvišim jer je tamo prikazan exploit prije nego što se uopće izvrši kod aplikacije. Pojedinosti na stranici [Zašto mod_php nosi najviši rizik](https://phpsos.de/hr/php2shell/mod-php-risiko/).

Zaštita ne proizlazi iz aplikacije: bilo da je riječ o WordPressu, Shopwareu, TYPO3-u, Laravelu ili vlastitom razvoju, ažuriranje aplikacije ne zatvara ranjivost u PHP-u.

## Backportovi: kad broj verzije zavarava

Mnoge Linux distribucije i pružatelji hostinga isporučuju PHP u vlastitim paketima. Umjesto prelaska na novu upstream verziju, ispravak preuzimaju kao backport u svoju postojeću verziju. To ima praktičnu posljedicu: prikazani broj ostaje star. Primjer iz aktualne situacije je Plesk, koji i dalje može prikazivati 8.2.34 iako je pogreška ispravljena.

Za Vas to znači: gornja tablica vrijedi za službena izdanja php.net-a. Kod paketa iz Vaše distribucije ili od pružatelja hostinga odlučuju stanje paketa i potvrda pružatelja. Kako provjeriti oboje, pokazuje [Ispravna provjera verzije PHP-a i stanja zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/). Za brzi test u naredbenom retku:

```bash
php -v
apt policy php8.3-fpm        # Debian/Ubuntu, naziv paketa razlikuje se prema verziji i izvoru
dnf info php-fpm             # obitelj RHEL
```

> **Važno:**
> Ispravljena verzija na tvrdom disku još ne znači da radi. Tek nakon ponovnog pokretanja svih PHP procesa poslužitelj radi s ispravljenim kodom.

## Što vrijedi za PHP 8.1 i starije?

Za PHP 8.1, 8.0 i 7.4 postoje samo minimalni backportovi izvornog koda, dakle ispravci u izvornom kodu koje netko mora sam preuzeti i kompilirati. Službena izdanja ne izlaze. Neke distribucije s dugoročnom skrbi ugrađuju takve ispravke u svoje pakete; vrijedi li to za Vaš sustav, može se razjasniti samo putem changelogova paketa ili kod pružatelja.

Dugoročno nema puta mimo podržane verzije. Koju verziju PHP-a podnosi Vaš CMS ili shop, provjerite prema sistemskim zahtjevima proizvođača, primjerice na wordpress.org, shopware.com ili typo3.org. Više na stranici [PHP 8.1 i starije: što sada vrijedi](https://phpsos.de/hr/php2shell/php-8-1-und-aelter/).

## A CVE-2026-115560?

Dana 23. listopada php.net je objavio napomenu o trećoj ranjivosti. Ona djeluje samo kod neuobičajene konfiguracije sesija. Ispravljena verzija prema stanju od 25. listopada još ne postoji; do sljedećeg redovitog izdanja s ispravcima pogrešaka mjera glasi `session.upload_progress.enabled=0`. Popis verzija očekuje se tek s cjelovitim advisoryjem.

## Kako PHP SOS konkretno pomaže?

- **Inventar:** Bilježimo sve verzije PHP-a na Vašim poslužiteljima, i druge instalacije za pojedine web-stranice koje se rado previde.
- **Usporedba:** Za svaku instalaciju razjašnjavamo radi li se o službenom izdanju, backportu distribucije ili o nepostojećem ispravku.
- **Ažuriranje s dokazom:** Putem [usluge PHP zakrpe](https://phpsos.de/hr/leistungen/php-patch-service/) instaliramo ispravak i ponovno pokrećemo sve procese.
- **Plan migracije:** Za verzije bez službenih ažuriranja planiramo prelazak uz [migraciju s PHP-a 8.1 i starijeg](https://phpsos.de/hr/leistungen/php-migration-legacy/) i do tada osiguravamo poslužitelj.


## Česta pitanja

**Je li PHP 8.3.35 još siguran?**  
Ne, osim ako Vaš pružatelj nije ugradio backport. 8.3.35 je zadnje stanje prije ispravka; PHP2Shell je u grani 8.3 ispravljen od 8.3.36. Kod paketa distribucija broj može ostati isti iako je pogreška ispravljena. Tada vrijedi changelog paketa ili potvrda pružatelja.

**Je li PHP 7.4 pogođen PHP2Shellom?**  
Prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Za 7.4, 8.0 i 8.1 postoje samo minimalni backportovi izvornog koda i nema službenih izdanja. Prelazak na podržanu verziju je pouzdan put.

**Zašto Plesk prikazuje 8.2.34 iako je zakrpano?**  
Distribucije i pružatelji hostinga ponekad ispravke preuzimaju kao backport u svoje postojeće pakete. Broj verzije tada ostaje isti, a pogreška je ipak ispravljena. Provjerite stanje paketa ili zatražite od pružatelja potvrdu zakrpe.

**Koju verziju PHP-a sada trebam odabrati?**  
Podržanu verziju koju Vaša aplikacija prema sistemskim zahtjevima proizvođača odobrava. PHP 8.2 doseže kraj podrške 31. 12. 2026.; tko ionako sada mijenja verziju, trebao bi to uračunati.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net: podržane verzije](https://www.php.net/supported-versions.php)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)