# Contao sigurnost nakon PHP2Shella: kako ispravno zaštititi web-stranice

> Contao sigurnost nakon PHP2Shella: provjerite PHP za web i Contao Manager, kontrolirajte .env i predloške te zaštitite backend i pristup Manageru.

Izvor: https://phpsos.de/hr/plattformen/contao/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Contao sigurnost kod PHP2Shella ovisi o PHP-u poslužitelja, a ne o Contau. Pobrinite se da su i web PHP i PHP naredbenog retka Contao Managera zakrpani. Potom provjerite `.env`, vlastite predloške, mapu `files` i pristupe backendu i Manageru.

## Contao i PHP2Shell: o čemu je riječ

Contao je CMS raširen u njemačkom govornom području koji se od verzije 4 temelji na frameworku Symfony. PHP ranjivosti CVE-2026-109618 i CVE-2026-109619 prema PHP timu omogućuju izvršavanje zlonamjernog koda na daljinu bez prijave. Odnose se na sam PHP, dakle i na svaku Contao instalaciju na nezakrpanom poslužitelju.

Mnoge Contao web-stranice pripadaju srednjim poduzećima, savezima i općinama, a održavaju ih agencije. Zato prvo razjasnite tko je odgovoran za PHP: pružatelj hostinga, agencija ili Vaš vlastiti IT.

Čest je nesporazum vezan uz način održavanja. Contao može zaključati web-stranicu za posjetitelje, ali tu zaključanu stranicu isporučuje sam PHP. Svaki zahtjev dakle i dalje dolazi do PHP interpretera. Način održavanja stoga ne štiti od PHP2Shella. Kada BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelji do ažuriranja isključe s mreže, misli se na blokadu na razini poslužitelja ili hostinga, a ne na postavku u CMS-u.

## Contao sigurnost počinje s dvije verzije PHP-a

Contao koristi PHP na dva načina. Web-poslužitelj obrađuje pozive stranica uglavnom putem PHP-FPM-a. Contao Manager i Contao konzola dodatno rade s PHP-om naredbenog retka, primjerice za instalacije, ažuriranja i cron zadatke. Na hosting paketima s više verzija PHP-a to mogu biti dva različita programa.

Contao Manager u konfiguraciji poslužitelja prikazuje koju PHP programsku datoteku koristi. Web verziju vidite u hosting panelu. Ispravljene upstream verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35; backportovi mogu nositi starije brojeve. Oba puta moraju biti zakrpana i svi procesi ponovno pokrenuti. Koje PHP verzije podržava Vaša verzija Contaa, provjerite prema sistemskim zahtjevima na contao.org. Više o provjeri na stranici [Ispravna provjera verzije i stanja zakrpe PHP-a](https://phpsos.de/hr/php2shell/php-version-pruefen/).

## Direktoriji i datoteke u Contau

| Mjesto | Sadržaj | Točka provjere |
|---|---|---|
| `.env`, `.env.local` | Pristup bazi podataka, `APP_SECRET` | Nakon sumnje obnoviti |
| `config/config.yaml` | Konfiguracija instalacije | Neočekivane izmjene |
| `public/` (starije verzije `web/`) | Korijen dokumenata s `index.php`, datotekom Contao Managera, assetima | Dodatne PHP datoteke |
| `files/` | Upravljanje datotekama urednika | Nema PHP datoteka |
| `templates/` | Vlastiti predlošci, klasično kao `.html5` s PHP-om | Nepoznati ili izmijenjeni predlošci |
| `system/config/localconfig.php` | Starije postavke | Umetnuti kôd |
| `var/` | Predmemorija i logovi | Osigurati logove, ponovno generirati predmemoriju |

Upravo se `templates/` podcjenjuje: klasični Contao predlošci s nastavkom `.html5` PHP su datoteke. Umetnuta naredba u vlastitom predlošku izvršava se pri svakom pozivu stranice i preživljava Contao ažuriranja.

Neopasne prve provjere:

```bash
# PHP datoteke u upravljanju datotekama
find files -type f -name "*.php"
# Predlošci izmijenjeni od 17.10.2026
find templates -type f -newermt "2026-10-17"
# Dostupne Contao naredbe i provjera ovisnosti
vendor/bin/contao-console list contao
composer audit
```

> **Važno:**
> Contao Manager može instalirati pakete i tako na poslužitelj unijeti proizvoljan kôd. Nakon sumnje provjerite njegove korisničke račune, dodijelite nove lozinke i uklonite pristupe bivših pružatelja usluga.

## Backend, Manager i proširenja

Backend se nalazi na `/contao`. Provjerite korisnike s administratorskim pravima i korisničke grupe s dalekosežnim pravima, primjerice na upravljanje datotekama, predloške ili upravljanje korisnicima. Contao donosi dvofaktorsku prijavu; koristite je za sve račune s povišenim pravima.

Proširenja se instaliraju putem Composera ili Contao Managera. Svako donosi PHP kôd, a starija proširenja bez održavanja usporavaju nadogradnju PHP-a. Na poslužiteljima s više web-stranica svaka bi instalacija trebala raditi odvojeno kako se incident ne bi prelio na susjedne stranice; više o tome na stranici [open_basedir i izolacija po web-stranici](https://phpsos.de/hr/ratgeber/open-basedir/).

## Što Contao ažuriranje može, a što ne

Contao ažuriranje putem Managera ili Composera zatvara poznate pogreške u Contau i proširenjima. Ne zakrpava PHP i ne pokreće ponovno ni PHP-FPM ni pozadinske procese. Vlastiti predlošci, datoteke u `files/` i strani korisnički računi ostaju nepromijenjeni. Nakon promjene glavne verzije PHP-a trebalo bi ponovno generirati predmemoriju i web-stranicu provjeriti u testnom okruženju.

Kod web-stranica s mnogo urednika nakon zakrpe isplati se pogledati prava u backendu. Tko smije uređivati predloške, može u klasične `.html5` predloške pohraniti PHP kôd. To ovlaštenje pripada samo malom broju tehnički upućenih osoba. Isto vrijedi za pristup upravljanju datotekama s pravima uploada u javno dostupne mape.

## Kako PHP SOS konkretno pomaže?

- Utvrđujemo web i CLI PHP Vaše Contao instalacije te dajemo potvrditi zakrpu i ponovno pokretanje.
- Osiguravamo logove, datoteke i bazu podataka prije nego što išta promijenimo.
- Provjeravamo predloške, `files/`, korijen dokumenata te backend i Manager račune.
- Prelazak PHP-a s dokazom na zahtjev preuzima naš [PHP servis zakrpa](https://phpsos.de/hr/leistungen/php-patch-service/), usklađeno s Vašom agencijom.


## Česta pitanja

**Pogađa li PHP2Shell Contao?**  
Sam Contao nema novu ranjivost. No ako web-stranica radi na nezakrpanom PHP-u, ranjiva je kao i svaka PHP aplikacija. Contao ažuriranje ne zatvara PHP ranjivost.

**Zašto je Contao Manager važan za sigurnost?**  
Contao Manager može instalirati, ažurirati i uklanjati pakete. Tko ima pristup njemu, može ubaciti proizvoljan kôd. Pristup stoga treba jaku lozinku i malo ovlaštenih osoba.

**Sadrže li Contao predlošci PHP kôd?**  
Klasični predlošci s nastavkom .html5 jesu PHP predlošci. Vlastiti predlošci u mapi templates stoga mogu sadržavati PHP. Nepoznate ili nedavno izmijenjene predloške trebali biste moći objasniti.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [Contao](https://contao.org/)
- [Podržane verzije PHP-a](https://www.php.net/supported-versions.php)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)