Savjetnik: sigurnost PHP-a i poslužitelja
Stručni članci za administratore i programere: prepoznati web shellove, ojačati php.ini, analizirati zapisnike, sigurno programirati.
PHP2Shell vremenski slijed: kronologija od 17. do 25. listopada 2026.
Svi potvrđeni datumi o PHP2Shellu na jednom mjestu, od prvog opaženog pokušaja napada do stanja 25.10.2026., i što iz toga slijedi za Vašu provjeru.
Čitajte dalje →02Potvrda PHP ažuriranja od hostinga: kako pitati za status zakrpe
Prikazana verzija PHP-a nakon PHP2Shella malo dokazuje. Ovim predloškom od pružatelja hostinga tražite potvrdu koju možete dokumentirati.
Čitajte dalje →03Prepoznavanje i uklanjanje webshella
Kako otkriti stražnja vrata na PHP web-poslužiteljima bez uništavanja tragova i zašto samo brisanje rijetko dovoljno.
Čitajte dalje →04Pronalaženje WordPress backdoora: sustavno otkrivanje stražnjih vrata
Gdje se stražnja vrata u WordPressu tipično skrivaju i kako ih admini sustavno otkrivaju uz WP-CLI i nekoliko naredbi.
Čitajte dalje →05Sigurna konfiguracija php.ini
Koje postavke u php.ini smanjuju površinu napada, kako ih zaštititi od prepisivanja i što nakon PHP2Shella vrijedi dodatno.
Čitajte dalje →06Ispravna uporaba PHP disable_functions
Uz disable_functions zabranjujete rizične PHP funkcije. Kako popis prilagoditi aplikaciji, a da web-stranica ne prestane raditi.
Čitajte dalje →07open_basedir i izolacija po web-stranici
Kako uz open_basedir, zasebne sistemske korisnike i odvojene PHP-FPM poolove spriječiti da provala u jednu web-stranicu pogodi sve druge na poslužitelju.
Čitajte dalje →08Prava datoteka na web-poslužitelju
Zašto web-poslužitelj ne smije mijenjati vlastiti kod, koja su prava za datoteke i mape smislena i kako brzo provjeriti stvarno stanje.
Čitajte dalje →09composer audit: provjera ovisnosti na ranjivosti
Kako programeri uz composer audit pronalaze poznate sigurnosne ranjivosti u bibliotekama, automatiziraju provjeru i izbjegavaju tipične pogreške u deploymentu.
Čitajte dalje →10PHP End of Life: rizici zastarjelih verzija
Što znači kraj podrške za PHP verziju, koje grane nakon PHP2Shella još dobivaju službene zakrpe i kako migraciju učiniti planabilnom.
Čitajte dalje →11Sprječavanje SQL injectiona u PHP-u
Kako programeri u PHP aplikacijama pouzdano isključuju SQL injection uz prepared statements, whitelistove i minimalna prava baze podataka.
Čitajte dalje →12Sprječavanje XSS-a u PHP-u: sigurna obrana od cross-site scriptinga
Kako programeri sprječavaju cross-site scripting u PHP aplikacijama: kodiranje prema kontekstu, auto-escaping u predlošcima, čišćenje HTML-a i Content Security Policy.
Čitajte dalje →13Sigurna provedba učitavanja datoteka u PHP-u: sigurnost PHP uploada
Obrasci za upload čest su put za webshellove. Kako ispravno provjeriti vrste datoteka, sigurno ih pohraniti i spriječiti da poslužitelj izvršava učitane skripte.
Čitajte dalje →14Osiguravanje sesija u PHP-u: sigurnost PHP sesija u praksi
Sesije drže korisnike prijavljenima i zato su vrijedna meta. Kako sigurno konfigurirati kolačiće, ID-ove sesija i mjesta pohrane te provesti PHP2Shell napomenu o Upload Progressu.
Čitajte dalje →15Nesigurna deserijalizacija u PHP-u: unserialize i sigurnost
unserialize() s tuđim podacima u najgorem slučaju može dovesti do izvršavanja koda. Kako ga zamijeniti JSON-om, ograničiti ga gdje mora ostati i pronaći rizična mjesta u kodu.
Čitajte dalje →16Sprječavanje Local File Inclusiona u PHP-u: LFI i RFI
Ako include ili require preuzimaju putanje iz zahtjeva, napadači mogu učitavati tuđe datoteke. Kako sigurno izgraditi odabir stranica i predloške te dodatno osigurati poslužitelj.
Čitajte dalje →17Zaštita admin prijava od brute forcea: zaštita svake prijave
Automatizirani pokušaji lozinki pogađaju svaku dostupnu stranicu za prijavu. Kako usporiti napadače uz rate limiting i Fail2ban, zaštititi račune drugim faktorom i ispravno pohraniti lozinke.
Čitajte dalje →18DDoS ili hakerski napad? Ispravno razvrstavanje napada
Spora web-stranica, veliko opterećenje, čudne datoteke: stoji li iza toga DDoS ili provala, odlučuje o ispravnoj reakciji. Kako stanje razvrstati s nekoliko provjera.
Čitajte dalje →19Analiza logova web-poslužitelja nakon napada: ispravno čitanje access loga
Log datoteke nakon napada često su najvažniji trag. Kako ispravno osigurati access, error i PHP logove, pronaći upadljive zahtjeve i izbjeći tipične pogreške pri analizi.
Čitajte dalje →20Postavljanje dvofaktorske autentifikacije za admin pristupe
Ukradena lozinka ne smije biti dovoljna za preuzimanje Vašeg poslužitelja ili shopa. Kako odabrati prikladan postupak, osigurati sve admin pristupe i planirati hitne pristupe.
Čitajte dalje →21Strategija sigurnosnih kopija za poslužitelje: kopije prema pravilu 3-2-1
Sigurnosna kopija pomaže samo ako preživi napad i može se vratiti. Kako provesti pravilo 3-2-1 za web-poslužitelje i ispravno planirati čuvanje i testove.
Čitajte dalje →22Sigurnosna zaglavlja za web-stranice: ispravno postavljanje
Sigurnosna zaglavlja upućuju preglednik da bolje zaštiti Vaše posjetitelje. Kako postaviti najvažnija zaglavlja u Nginxu i Apacheu, postupno uvesti Content Security Policy i provjeriti rezultat.
Čitajte dalje →23Uklanjanje Google upozorenja „Ova web-stranica je hakirana“
Upozorenje o hakiranju u rezultatima pretrage košta posjetitelje i povjerenje. Kako temeljito očistiti web-stranicu, pronaći skrivene spam stranice i zatražiti ponovnu provjeru u Search Consoleu.
Čitajte dalje →24Kontrolni popis nakon hakiranja: 20 točaka za naknadno postupanje
Nakon napada važan je ispravan redoslijed. Ovaj kontrolni popis u 20 točaka vodi kroz obuzdavanje, osiguravanje dokaza, čišćenje, nove pristupe, obveze i dokumentirano zaključivanje.
Čitajte dalje →Svaki sat se računa. Pišite nam odmah.
Ukratko opišite sustav, verziju PHP-a i opažanje. Javit ćemo Vam se, razjasniti situaciju i raditi na daljinu dok incident nije zaključen i dokumentiran.