# Upravljani poslužitelj: razjasnite odgovornost > Sigurnost upravljanog poslužitelja nakon PHP2Shella: što pružatelj obično preuzima, što ostaje Vama i koja pitanja sada pisanim putem razjasniti. Izvor: https://phpsos.de/hr/server/managed-server/ Stanje: 25.10.2026 Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6 **Ukratko:** Kod upravljanog poslužitelja pružatelj preuzima dio sigurnosti, tipično operacijski sustav, PHP pakete i standardne usluge. Aplikacija, dodaci, pristupi i odgovornost u smislu zaštite podataka obično ostaju Vama. Nakon PHP2Shella oboje biste trebali razjasniti pisanim putem: što je pružatelj učinio, a što je još na Vama? ## Što „upravljano“ znači, a što ne Pojam nije zaštićen. Jedan pružatelj pod tim možda podrazumijeva samo instalaciju ažuriranja operacijskog sustava, drugi održava i web-poslužitelj, PHP, bazu podataka i sigurnosne kopije. Neke tarife uključuju nadzor 24 sata dnevno, druge samo kontakt osobu u radno vrijeme. Upravo se kod situacije poput PHP2Shella vidi koliko je precizan opis usluge. Obje ranjivosti, CVE-2026-109618 i CVE-2026-109619, nalaze se u samom PHP-u. Održava li Vaš pružatelj PHP kao dio svoje platforme ili PHP vrijedi kao „Vaš softver“, piše u ugovoru. Nemojte se oslanjati na pretpostavku da će se netko već pobrinuti. ## Sigurnost upravljanog poslužitelja: tipična podjela zadaća Sljedeća tablica prikazuje čestu raspodjelu. Ne zamjenjuje uvid u Vaš ugovor, ali pomaže postaviti prava pitanja. | Područje | Najčešće kod pružatelja | Najčešće kod Vas | |---|---|---| | Hardver, mreža, virtualizacija | da | ne | | Ažuriranja operacijskog sustava | da | ne | | PHP paketi iz platforme | često | ako ste ih sami instalirali | | Ponovno pokretanje PHP-FPM-a i web-poslužitelja | često | kod vlastitih usluga | | PHP konfiguracija za cijeli poslužitelj | često | kod posebnih zahtjeva | | CMS, shop, dodaci, vlastiti kod | ne | da | | Administratorski računi aplikacije | ne | da | | Sigurnosne kopije | često | provjera mogućnosti vraćanja | | Procjena i prijava povreda podataka | ne | da | | Nadzor zbog napada | ovisno o tarifi | ovisno o tarifi | Nejasna polja stvarni su rizik. Gdje biste morali upisati „ovisno o tarifi“ ili „često“, nedostaje odredba. ## Koja pitanja sada trebate postaviti Pošaljite pružatelju kratak, stvaran upit. Zamolite za odgovor u tekstualnom obliku kako biste ga kasnije mogli predočiti. Sljedeće točke trebale bi biti uključene: 1. Koje PHP verzije rade na našem poslužitelju i jesu li zaštićene od CVE-2026-109618 i CVE-2026-109619? 2. Od kada to vrijedi i jesu li nakon toga ponovno pokrenuti svi PHP procesi i web-poslužitelj? 3. Je li ispravak instaliran kao backport? Ako jest, koja verzija paketa to dokazuje? 4. Jesu li postojale naznake pokušaja napada ili neuobičajenih procesa na našem poslužitelju? 5. Čuvaju li se zapisnici web-poslužitelja od 20. 10. 2026. i kako ih možemo dobiti? Gotov predložak nalazi se u članku [Pitajte pružatelja hostinga za stanje zakrpe](https://phpsos.de/hr/ratgeber/hoster-patch-status-erfragen/). Broj verzije u korisničkom izborniku nije dokaz: kod backporta često ostaje nepromijenjen, primjerice na 8.2.34. > **Važno:** > Čak i ako je pružatelj zakrpao PHP, Vašu aplikaciju i dalje treba provjeriti. Zakrpa ne uklanja zlonamjerni softver koji je ubačen prije ažuriranja i ne dokazuje da se ništa nije dogodilo. ## Što ostaje Vama Vaš dio prije svega obuhvaća aplikaciju. Provjerite jesu li CMS, shop i dodaci na aktualnom stanju, uklonite proširenja koja se više ne koriste i kontrolirajte popis administratora. Pazite na nove datoteke u mapama za upload, strana preusmjeravanja i neuobičajene planirane zadatke u aplikaciji. Tome se pridružuje pravna strana. Ako pri incidentu osobni podaci dospiju u tuđe ruke, obvezu prijave u pravilu ima Vaša tvrtka kao voditelj obrade, a ne pružatelj. On Vas kao izvršitelj obrade mora bez odgode obavijestiti. Osnove objašnjava članak [Obveza prijave prema GDPR-u: 72 sata](https://phpsos.de/hr/compliance/dsgvo-meldepflicht-72-stunden/). To je opća informacija, a ne pravni savjet; pojedinačni slučaj procjenjuju službenici za zaštitu podataka ili odvjetnici. Još jedna točka često se previdi: softver koji ste Vi ili Vaša agencija sami instalirali na upravljani poslužitelj, primjerice dodatna PHP verzija iz vanjskog izvora, kontejner ili pomoćni program, najčešće ne spada u održavanje pružatelja. Zato pitajte i je li pružatelju poznato što uz standardnu opremu radi na poslužitelju. I razjasnite tko u slučaju sumnje preuzima istragu. Mnogi pružatelji vraćaju platformu u prvobitno stanje, ali ne istražuju jesu li i koji podaci bili pogođeni. Upravo taj odgovor ipak Vam je potreban za procjenu mogućih obveza prijave. ## Poboljšajte ugovore za budućnost Iskoristite situaciju da podjelu zadaća zapišete. Smisleno je urediti sigurnosna ažuriranja uključujući ponovno pokretanje, obavještavanje o kritičnim ranjivostima, čuvanje i predaju zapisnika te podršku pri incidentima. Pitajte i obavještava li Vas pružatelj aktivno ili morate sami pitati. Poslužitelj bez održavanja je alternativa, ali cjelokupan posao prebacuje na Vas. Što to znači, opisuje članak [Samostalna zaštita root poslužitelja i vServera](https://phpsos.de/hr/server/root-server-vserver/). ## Kako PHP SOS konkretno pomaže? - Čitamo Vaš opis usluge i sastavljamo matricu zadaća koja čini praznine vidljivima. - Formuliramo tehnička pitanja za Vašeg pružatelja i ocjenjujemo njegove odgovore. - Dio aplikacije koji je kod Vas provjeravamo zbog tragova i zastarjelih komponenti. - Što pružatelj ne pokriva, na zahtjev preuzimamo putem [ugovora o sigurnosnom održavanju](https://phpsos.de/hr/leistungen/security-wartungsvertrag/) ili nadopunjujemo [sigurnosnim nadzorom](https://phpsos.de/hr/leistungen/security-monitoring/). ## Česta pitanja **Je li kod upravljanog poslužitelja automatski sve zaštićeno?** Ne. Upravljan znači da pružatelj preuzima određene, ugovorom utvrđene zadaće, najčešće operacijski sustav i standardne usluge. Aplikacija, dodaci, pristupi i vlastiti softver često ostaju Vama. **Gdje piše za što je moj pružatelj odgovoran?** U opisu usluge i ugovornim uvjetima, često i u dokumentu o podjeli zadaća. Kod osobnih podataka tome se pridružuje ugovor o obradi podataka. Ako nema jasne odredbe o sigurnosnim ažuriranjima, pitajte pisanim putem. **Moram li usprkos upravljanom poslužitelju sam nešto poduzeti zbog PHP2Shella?** Da. Zatražite potvrdu da su sve PHP verzije zakrpane i da su procesi ponovno pokrenuti. Osim toga provjerite svoju aplikaciju zbog tragova i razjasnite postoji li obveza prijave. **Tko prijavljuje povredu podataka ako je pogođen bio pružatelj hostinga?** Obvezu prijave nadzornom tijelu u pravilu ima voditelj obrade, dakle Vaša tvrtka. Pružatelj kao izvršitelj obrade mora Vas bez odgode obavijestiti. Pojedinačni slučaj neka procijeni Vaš službenik za zaštitu podataka. ## Izvori - [php.net: sigurnosne objave](https://www.php.net/) - [BSI](https://www.bsi.bund.de/) - [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)