Ukratko: PHP2Shell je naziv za dvije kritične sigurnosne ranjivosti u samom PHP-u, CVE-2026-109618 i CVE-2026-109619. Putem njih napadači na ranjivim web-poslužiteljima mogu bez prijave izvršiti zlonamjerni kod. Pomaže samo ažuriranje na ispravljenu verziju PHP-a s naknadnim ponovnim pokretanjem svih PHP procesa.
Što je PHP2Shell?
PHP je programski jezik na kojem radi velik dio svih web-stranica: tvrtkine stranice s WordPressom ili TYPO3-om, internetske trgovine sa Shopwareom ili WooCommerceom, interni portali i vlastiti razvoji. Dana 21. listopada 2026. PHP projekt objavio je sigurnosna ažuriranja za dvije ranjivosti poznate pod imenom PHP2Shell.
Obje su ranjivosti ocijenjene s 9,2 prema CVSS-u v4.0, dakle kao kritične. Posljedica je u oba slučaja ista: izvršavanje zlonamjernog koda izdaleka, a da se napadač ne mora prijaviti. Stručnjaci govore o „unauthenticated Remote Code Execution“. Tko može izvršavati kod na poslužitelju, može u najgorem slučaju čitati podatke, ugraditi stražnja vrata ili poslužitelj iskoristiti za daljnje napade.
Važno za razumijevanje: ranjivost nije u određenom CMS-u ili dodatku, nego u PHP-u. Ažuriranje WordPressa, Shopwarea ili TYPO3-a stoga je ne zatvara.
Zašto je ranjivost tako ozbiljna?
Tri točke čine PHP2Shell s gledišta sigurnosnih tijela osobito osjetljivim:
- Širina: Pogođeni su uobičajeni načini rada PHP-a, naime PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci.
- Prijava nije potrebna: Napadaču ne trebaju ni lozinka ni korisnički račun.
- Rani trenutak: Kod Apachea s mod_php prema PHP timu prikazan je exploit prije nego što se uopće izvrši kod aplikacije. Zaštitne funkcije unutar web-stranice tada ne djeluju.
BSI (njemački Savezni ured za sigurnost informacijske tehnologije) proglasio je razinu upozorenja 3 (narančasta). Preporučuje trenutačno ažuriranje, a ako to nije odmah moguće, privremeno isključivanje pogođenih web-poslužitelja s mreže.
Koji su poslužitelji pogođeni PHP2Shellom?
Ranjivosti su ispravljene u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Stariji stupnjevi tih grana su pogođeni. Za PHP 8.1 i starije više nema službenih ažuriranja; prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Cjelovit pregled pronaći ćete na stranici Koje su verzije PHP-a pogođene?.
Jedna osobitost: Linux distribucije i pružatelji hostinga ponekad ugrađuju ispravke kao backport. Tada primjerice Plesk i dalje prikazuje 8.2.34, iako je pogreška ispravljena. Mjerodavni su stanje paketa i potvrda pružatelja. Kako to provjeriti, objašnjavamo u Ispravna provjera verzije PHP-a i stanja zakrpe.
Što je dokazano, a što je otvoreno?
Dokazani su oba CVE broja, ispravljene verzije i privremene mjere koje je objavio php.net. Dana 23. listopada dodana je napomena o još jednoj ranjivosti, CVE-2026-115560, koja djeluje samo kod neuobičajene konfiguracije.
Vjerojatno je da napadači i dalje aktivno traže nezakrpane poslužitelje. Prema medijskim izvješćima prvi je pokušaj napada uočen već 17. listopada, dakle prije objave zakrpa. Cloudflare je prijavio pokušaje napada i uveo zaštitna pravila, ali upozorava da pravila samo na temelju podataka zahtjeva nisu dovoljna.
Otvoreno je koliko je poslužitelja već uspješno napadnuto. Potvrđeni uspješni napadi u širem opsegu prema BSI-ju isprva nisu bili poznati. Ne postoje objavljeni, potvrđeni indikatori kompromitacije (Indicators of Compromise). Je li poslužitelj bio pogođen, stoga se može procijeniti samo analizom ponašanja. Vremenski slijed sažima kronologija od 17. do 25. listopada.
Što tvrtke sada trebaju učiniti
- Razjasniti tko je odgovoran: vlastiti poslužitelj, upravljani poslužitelj ili pružatelj hostinga.
- Ažurirati PHP na ispravljenu verziju ili potvrđeni backport.
- Ponovno pokrenuti sve PHP procese. Same nove datoteke nisu dovoljne dok stari procesi rade u memoriji.
- Osigurati zapisnike, i to od 20. listopada. Stručni tisak savjetuje čuvanje tih podataka.
- Provjeriti tragove. Zakrpa ne uklanja već ubačeni zlonamjerni softver i ne dokazuje da se prije nije ništa dogodilo. Napomene daje stranica Jesam li već kompromitiran?.
Ažuriranje zatvara vrata, ali ne čisti iza sebe. Ako je Vaš poslužitelj između 17. listopada i zakrpe bio dostupan, provjera tragova je obveza, a ne dodatak.
Kako PHP SOS konkretno pomaže?
Uz hitnu pomoć kod PHP2Shella preuzimamo korake koje mnoge tvrtke interno ne mogu kratkoročno pokriti:
- Popis stanja: Utvrđujemo verziju PHP-a, način rada i stanje paketa svakog pogođenog poslužitelja.
- Zakrpa ili prijelaz: Instaliramo ažuriranje ili, gdje to još nije moguće, postavljamo privremene mjere php.net-a i razjašnjavamo treba li poslužitelj privremeno s mreže.
- Ponovno pokretanje i dokaz: Ponovno pokrećemo sve PHP procese i dokumentiramo stanje prije i poslije.
- Provjera tragova: Osiguravamo zapisnike od 20. listopada i provjeravamo upadljivosti dok incident nije zaključen i dokumentiran.
Česta pitanja
Je li PHP2Shell WordPress ranjivost?
Ne. Ranjivosti su u PHP-u, dakle u programskom jeziku na kojem rade WordPress, Shopware, TYPO3 i mnogi drugi sustavi. Ažuriranje CMS-a stoga ih ne zatvara. Odlučujuće je stanje PHP-a na poslužitelju.
Moram li kao klijent pružatelja hostinga sam nešto učiniti?
Kod shared hostinga PHP ažuriranje u pravilu instalira pružatelj hostinga. Ipak biste trebali pisano zatražiti potvrdu da je verzija PHP-a koju koristite zakrpana i ponovno pokrenuta. Je li se prije zakrpe nešto dogodilo, ažuriranje ne otkriva.
Odakle ime PHP2Shell?
Ime opisuje posljedicu: putem PHP-a napadač u najgorem slučaju može dobiti naredbeni redak, dakle shell, na poslužitelju. Službene oznake su CVE brojevi CVE-2026-109618 i CVE-2026-109619.
Je li moja web-stranica već napadnuta ako je isključena s mreže?
Ne nužno. Neki su pružatelji iz opreza isključili web-stranice, kako to BSI preporučuje kad ažuriranje nije odmah moguće. To je zaštitna mjera, a ne dokaz napada.