# Što je PHP2Shell? Ranjivost jednostavno objašnjena

> PHP2Shell jednostavno objašnjen: što stoji iza dvije kritične PHP ranjivosti, koji su poslužitelji pogođeni i koje korake trebate poduzeti već sada.

Izvor: https://phpsos.de/hr/php2shell/was-ist-php2shell/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** PHP2Shell je naziv za dvije kritične sigurnosne ranjivosti u samom PHP-u, CVE-2026-109618 i CVE-2026-109619. Putem njih napadači na ranjivim web-poslužiteljima mogu bez prijave izvršiti zlonamjerni kod. Pomaže samo ažuriranje na ispravljenu verziju PHP-a s naknadnim ponovnim pokretanjem svih PHP procesa.

## Što je PHP2Shell?

PHP je programski jezik na kojem radi velik dio svih web-stranica: tvrtkine stranice s WordPressom ili TYPO3-om, internetske trgovine sa Shopwareom ili WooCommerceom, interni portali i vlastiti razvoji. Dana 21. listopada 2026. PHP projekt objavio je sigurnosna ažuriranja za dvije ranjivosti poznate pod imenom PHP2Shell.

Obje su ranjivosti ocijenjene s 9,2 prema CVSS-u v4.0, dakle kao kritične. Posljedica je u oba slučaja ista: izvršavanje zlonamjernog koda izdaleka, a da se napadač ne mora prijaviti. Stručnjaci govore o „unauthenticated Remote Code Execution“. Tko može izvršavati kod na poslužitelju, može u najgorem slučaju čitati podatke, ugraditi stražnja vrata ili poslužitelj iskoristiti za daljnje napade.

Važno za razumijevanje: ranjivost nije u određenom CMS-u ili dodatku, nego u PHP-u. Ažuriranje WordPressa, Shopwarea ili TYPO3-a stoga je ne zatvara.

## Zašto je ranjivost tako ozbiljna?

Tri točke čine PHP2Shell s gledišta sigurnosnih tijela osobito osjetljivim:

- **Širina:** Pogođeni su uobičajeni načini rada PHP-a, naime PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci.
- **Prijava nije potrebna:** Napadaču ne trebaju ni lozinka ni korisnički račun.
- **Rani trenutak:** Kod Apachea s mod_php prema PHP timu prikazan je exploit prije nego što se uopće izvrši kod aplikacije. Zaštitne funkcije unutar web-stranice tada ne djeluju.

BSI (njemački Savezni ured za sigurnost informacijske tehnologije) proglasio je razinu upozorenja 3 (narančasta). Preporučuje trenutačno ažuriranje, a ako to nije odmah moguće, privremeno isključivanje pogođenih web-poslužitelja s mreže.

## Koji su poslužitelji pogođeni PHP2Shellom?

Ranjivosti su ispravljene u PHP-u 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Stariji stupnjevi tih grana su pogođeni. Za PHP 8.1 i starije više nema službenih ažuriranja; prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Cjelovit pregled pronaći ćete na stranici [Koje su verzije PHP-a pogođene?](https://phpsos.de/hr/php2shell/betroffene-php-versionen/).

Jedna osobitost: Linux distribucije i pružatelji hostinga ponekad ugrađuju ispravke kao backport. Tada primjerice Plesk i dalje prikazuje 8.2.34, iako je pogreška ispravljena. Mjerodavni su stanje paketa i potvrda pružatelja. Kako to provjeriti, objašnjavamo u [Ispravna provjera verzije PHP-a i stanja zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/).

## Što je dokazano, a što je otvoreno?

**Dokazani** su oba CVE broja, ispravljene verzije i privremene mjere koje je objavio php.net. Dana 23. listopada dodana je napomena o još jednoj ranjivosti, CVE-2026-115560, koja djeluje samo kod neuobičajene konfiguracije.

**Vjerojatno** je da napadači i dalje aktivno traže nezakrpane poslužitelje. Prema medijskim izvješćima prvi je pokušaj napada uočen već 17. listopada, dakle prije objave zakrpa. Cloudflare je prijavio pokušaje napada i uveo zaštitna pravila, ali upozorava da pravila samo na temelju podataka zahtjeva nisu dovoljna.

**Otvoreno** je koliko je poslužitelja već uspješno napadnuto. Potvrđeni uspješni napadi u širem opsegu prema BSI-ju isprva nisu bili poznati. Ne postoje objavljeni, potvrđeni indikatori kompromitacije (Indicators of Compromise). Je li poslužitelj bio pogođen, stoga se može procijeniti samo analizom ponašanja. Vremenski slijed sažima [kronologija od 17. do 25. listopada](https://phpsos.de/hr/ratgeber/php2shell-chronologie/).

## Što tvrtke sada trebaju učiniti

1. **Razjasniti tko je odgovoran:** vlastiti poslužitelj, upravljani poslužitelj ili pružatelj hostinga.
2. **Ažurirati PHP** na ispravljenu verziju ili potvrđeni backport.
3. **Ponovno pokrenuti sve PHP procese.** Same nove datoteke nisu dovoljne dok stari procesi rade u memoriji.
4. **Osigurati zapisnike,** i to od 20. listopada. Stručni tisak savjetuje čuvanje tih podataka.
5. **Provjeriti tragove.** Zakrpa ne uklanja već ubačeni zlonamjerni softver i ne dokazuje da se prije nije ništa dogodilo. Napomene daje stranica [Jesam li već kompromitiran?](https://phpsos.de/hr/php2shell/bin-ich-gehackt-anzeichen/).

> **Važno:**
> Ažuriranje zatvara vrata, ali ne čisti iza sebe. Ako je Vaš poslužitelj između 17. listopada i zakrpe bio dostupan, provjera tragova je obveza, a ne dodatak.

## Kako PHP SOS konkretno pomaže?

Uz [hitnu pomoć kod PHP2Shella](https://phpsos.de/hr/leistungen/php2shell-soforthilfe/) preuzimamo korake koje mnoge tvrtke interno ne mogu kratkoročno pokriti:

- **Popis stanja:** Utvrđujemo verziju PHP-a, način rada i stanje paketa svakog pogođenog poslužitelja.
- **Zakrpa ili prijelaz:** Instaliramo ažuriranje ili, gdje to još nije moguće, postavljamo privremene mjere php.net-a i razjašnjavamo treba li poslužitelj privremeno s mreže.
- **Ponovno pokretanje i dokaz:** Ponovno pokrećemo sve PHP procese i dokumentiramo stanje prije i poslije.
- **Provjera tragova:** Osiguravamo zapisnike od 20. listopada i provjeravamo upadljivosti dok incident nije zaključen i dokumentiran.


## Česta pitanja

**Je li PHP2Shell WordPress ranjivost?**  
Ne. Ranjivosti su u PHP-u, dakle u programskom jeziku na kojem rade WordPress, Shopware, TYPO3 i mnogi drugi sustavi. Ažuriranje CMS-a stoga ih ne zatvara. Odlučujuće je stanje PHP-a na poslužitelju.

**Moram li kao klijent pružatelja hostinga sam nešto učiniti?**  
Kod shared hostinga PHP ažuriranje u pravilu instalira pružatelj hostinga. Ipak biste trebali pisano zatražiti potvrdu da je verzija PHP-a koju koristite zakrpana i ponovno pokrenuta. Je li se prije zakrpe nešto dogodilo, ažuriranje ne otkriva.

**Odakle ime PHP2Shell?**  
Ime opisuje posljedicu: putem PHP-a napadač u najgorem slučaju može dobiti naredbeni redak, dakle shell, na poslužitelju. Službene oznake su CVE brojevi CVE-2026-109618 i CVE-2026-109619.

**Je li moja web-stranica već napadnuta ako je isključena s mreže?**  
Ne nužno. Neki su pružatelji iz opreza isključili web-stranice, kako to BSI preporučuje kad ažuriranje nije odmah moguće. To je zaštitna mjera, a ne dokaz napada.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Savezni ured za sigurnost informacijske tehnologije](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)