Ukratko: Kod upravljanog poslužitelja pružatelj preuzima dio sigurnosti, tipično operacijski sustav, PHP pakete i standardne usluge. Aplikacija, dodaci, pristupi i odgovornost u smislu zaštite podataka obično ostaju Vama. Nakon PHP2Shella oboje biste trebali razjasniti pisanim putem: što je pružatelj učinio, a što je još na Vama?
Što „upravljano“ znači, a što ne
Pojam nije zaštićen. Jedan pružatelj pod tim možda podrazumijeva samo instalaciju ažuriranja operacijskog sustava, drugi održava i web-poslužitelj, PHP, bazu podataka i sigurnosne kopije. Neke tarife uključuju nadzor 24 sata dnevno, druge samo kontakt osobu u radno vrijeme.
Upravo se kod situacije poput PHP2Shella vidi koliko je precizan opis usluge. Obje ranjivosti, CVE-2026-109618 i CVE-2026-109619, nalaze se u samom PHP-u. Održava li Vaš pružatelj PHP kao dio svoje platforme ili PHP vrijedi kao „Vaš softver“, piše u ugovoru. Nemojte se oslanjati na pretpostavku da će se netko već pobrinuti.
Sigurnost upravljanog poslužitelja: tipična podjela zadaća
Sljedeća tablica prikazuje čestu raspodjelu. Ne zamjenjuje uvid u Vaš ugovor, ali pomaže postaviti prava pitanja.
| Područje | Najčešće kod pružatelja | Najčešće kod Vas |
|---|---|---|
| Hardver, mreža, virtualizacija | da | ne |
| Ažuriranja operacijskog sustava | da | ne |
| PHP paketi iz platforme | često | ako ste ih sami instalirali |
| Ponovno pokretanje PHP-FPM-a i web-poslužitelja | često | kod vlastitih usluga |
| PHP konfiguracija za cijeli poslužitelj | često | kod posebnih zahtjeva |
| CMS, shop, dodaci, vlastiti kod | ne | da |
| Administratorski računi aplikacije | ne | da |
| Sigurnosne kopije | često | provjera mogućnosti vraćanja |
| Procjena i prijava povreda podataka | ne | da |
| Nadzor zbog napada | ovisno o tarifi | ovisno o tarifi |
Nejasna polja stvarni su rizik. Gdje biste morali upisati „ovisno o tarifi“ ili „često“, nedostaje odredba.
Koja pitanja sada trebate postaviti
Pošaljite pružatelju kratak, stvaran upit. Zamolite za odgovor u tekstualnom obliku kako biste ga kasnije mogli predočiti. Sljedeće točke trebale bi biti uključene:
- Koje PHP verzije rade na našem poslužitelju i jesu li zaštićene od CVE-2026-109618 i CVE-2026-109619?
- Od kada to vrijedi i jesu li nakon toga ponovno pokrenuti svi PHP procesi i web-poslužitelj?
- Je li ispravak instaliran kao backport? Ako jest, koja verzija paketa to dokazuje?
- Jesu li postojale naznake pokušaja napada ili neuobičajenih procesa na našem poslužitelju?
- Čuvaju li se zapisnici web-poslužitelja od 20. 10. 2026. i kako ih možemo dobiti?
Gotov predložak nalazi se u članku Pitajte pružatelja hostinga za stanje zakrpe. Broj verzije u korisničkom izborniku nije dokaz: kod backporta često ostaje nepromijenjen, primjerice na 8.2.34.
Čak i ako je pružatelj zakrpao PHP, Vašu aplikaciju i dalje treba provjeriti. Zakrpa ne uklanja zlonamjerni softver koji je ubačen prije ažuriranja i ne dokazuje da se ništa nije dogodilo.
Što ostaje Vama
Vaš dio prije svega obuhvaća aplikaciju. Provjerite jesu li CMS, shop i dodaci na aktualnom stanju, uklonite proširenja koja se više ne koriste i kontrolirajte popis administratora. Pazite na nove datoteke u mapama za upload, strana preusmjeravanja i neuobičajene planirane zadatke u aplikaciji.
Tome se pridružuje pravna strana. Ako pri incidentu osobni podaci dospiju u tuđe ruke, obvezu prijave u pravilu ima Vaša tvrtka kao voditelj obrade, a ne pružatelj. On Vas kao izvršitelj obrade mora bez odgode obavijestiti. Osnove objašnjava članak Obveza prijave prema GDPR-u: 72 sata. To je opća informacija, a ne pravni savjet; pojedinačni slučaj procjenjuju službenici za zaštitu podataka ili odvjetnici.
Još jedna točka često se previdi: softver koji ste Vi ili Vaša agencija sami instalirali na upravljani poslužitelj, primjerice dodatna PHP verzija iz vanjskog izvora, kontejner ili pomoćni program, najčešće ne spada u održavanje pružatelja. Zato pitajte i je li pružatelju poznato što uz standardnu opremu radi na poslužitelju. I razjasnite tko u slučaju sumnje preuzima istragu. Mnogi pružatelji vraćaju platformu u prvobitno stanje, ali ne istražuju jesu li i koji podaci bili pogođeni. Upravo taj odgovor ipak Vam je potreban za procjenu mogućih obveza prijave.
Poboljšajte ugovore za budućnost
Iskoristite situaciju da podjelu zadaća zapišete. Smisleno je urediti sigurnosna ažuriranja uključujući ponovno pokretanje, obavještavanje o kritičnim ranjivostima, čuvanje i predaju zapisnika te podršku pri incidentima. Pitajte i obavještava li Vas pružatelj aktivno ili morate sami pitati.
Poslužitelj bez održavanja je alternativa, ali cjelokupan posao prebacuje na Vas. Što to znači, opisuje članak Samostalna zaštita root poslužitelja i vServera.
Kako PHP SOS konkretno pomaže?
- Čitamo Vaš opis usluge i sastavljamo matricu zadaća koja čini praznine vidljivima.
- Formuliramo tehnička pitanja za Vašeg pružatelja i ocjenjujemo njegove odgovore.
- Dio aplikacije koji je kod Vas provjeravamo zbog tragova i zastarjelih komponenti.
- Što pružatelj ne pokriva, na zahtjev preuzimamo putem ugovora o sigurnosnom održavanju ili nadopunjujemo sigurnosnim nadzorom.
Česta pitanja
Je li kod upravljanog poslužitelja automatski sve zaštićeno?
Ne. Upravljan znači da pružatelj preuzima određene, ugovorom utvrđene zadaće, najčešće operacijski sustav i standardne usluge. Aplikacija, dodaci, pristupi i vlastiti softver često ostaju Vama.
Gdje piše za što je moj pružatelj odgovoran?
U opisu usluge i ugovornim uvjetima, često i u dokumentu o podjeli zadaća. Kod osobnih podataka tome se pridružuje ugovor o obradi podataka. Ako nema jasne odredbe o sigurnosnim ažuriranjima, pitajte pisanim putem.
Moram li usprkos upravljanom poslužitelju sam nešto poduzeti zbog PHP2Shella?
Da. Zatražite potvrdu da su sve PHP verzije zakrpane i da su procesi ponovno pokrenuti. Osim toga provjerite svoju aplikaciju zbog tragova i razjasnite postoji li obveza prijave.
Tko prijavljuje povredu podataka ako je pogođen bio pružatelj hostinga?
Obvezu prijave nadzornom tijelu u pravilu ima voditelj obrade, dakle Vaša tvrtka. Pružatelj kao izvršitelj obrade mora Vas bez odgode obavijestiti. Pojedinačni slučaj neka procijeni Vaš službenik za zaštitu podataka.