Ukratko: Jeste li pogođeni PHP2Shellom, ovisi o tri stvari: verziji PHP-a, načinu rada i tome je li i kako zakrpano. Ako niste sigurni, javite se odmah. Jeste li pogođeni? Nazovite. Pomažemo. Razjašnjavamo to na daljinu na samom poslužitelju, a ne po osjećaju, i zatvaramo ranjivost ako je otvorena.
Sada ništa ne brisati i ništa ne postavljati iznova. Čak i ako samo želite razjasniti jeste li pogođeni: ako je poslužitelj možda već napadnut, trebamo datoteke i zapisnike nepromijenjene. Prijavite hitni slučaj, a zatim zajedno prolazimo provjeru.
Jeste li pogođeni? Ovi slučajevi spadaju na popis za provjeru
PHP2Shell su dvije kritične ranjivosti u samom PHP-u (CVE-2026-109618 i CVE-2026-109619, obje s najvišom ocjenom 9.2 prema CVSS v4.0). Omogućuju zlonamjerni kod na daljinu bez prijave. Pogođeni mogu biti svi načini rada: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Provjerite svaki od tih sustava:
- vlastite poslužitelje, vServere i root poslužitelje s PHP-om
- hosting pakete i upravljane poslužitelje, čak i ako nemate pristup konfiguraciji
- kontejnere i platformske usluge koje donose PHP image
- testne sustave, staging okoline i zaboravljene stare sustave dostupne s interneta
- NAS uređaje, appliance uređaje ili softver pružatelja usluga koji interno koriste PHP
Upravo zaboravljeni sustavi su rizik. Prema Unit 42 postoji više od 22,6 milijuna izloženih, potencijalno ranjivih instanci, a BSI je računao s brzim iskorištavanjem u velikom opsegu.
Što učiniti odmah
- Izraditi popis. Zapišite sve poslužitelje, domene i hosting ugovore na kojima radi PHP te tko je za njih odgovoran.
- Utvrditi verziju PHP-a po sustavu. Na poslužiteljima naredbom
php -v. Imajte na umu da naredbeni redak može koristiti drugu verziju od web-poslužitelja. - Razjasniti način rada. Radi li PHP kao PHP-FPM, kao mod_php ili putem LiteSpeeda? Kod mod_php-a PHP tim rizik procjenjuje najvišim.
- Pitati pružatelja hostinga i davatelje usluga. Pisanim putem: Koja verzija radi, je li ispravak instaliran, jesu li svi procesi ponovno pokrenuti?
- Sačuvati zapisnike. Stručni tisak savjetuje čuvanje zapisnika od 20. 10. 2026.
- Ne čekati dugo. Ako je sustav otvoren, a zakrpa nije odmah moguća, BSI preporučuje web-poslužitelj privremeno odspojiti s mreže.
Kako PHP SOS konkretno pomaže?
Pogođenost razjašnjavamo na daljinu i uz dokaze.
- Procijeniti situaciju: Dajemo si opisati Vaš popis i razvrstavamo sustave prema dostupnosti i riziku.
- Osigurati i zatvoriti: Gdje je otvoreno, prvo osiguravamo stanje, a zatim zatvaramo ranjivost ažuriranjem uz ponovno pokretanje. Gdje to nije odmah moguće, postavljamo privremene mjere koje nisu potpuna zaštita.
- Provjeriti i očistiti: Provjeravamo je li ranjivost iskorištena prije zakrpe i po potrebi čistimo. Jasno razdvajamo je li poslužitelj pogođen i je li možda već napadnut.
- Ojačati i izvijestiti: Dobivate popis po sustavu: verzija, način rada, dokaz o zakrpi, otvorene točke.
Kako dokazati pogođenost
Sam broj verzije nije dovoljan jer pružatelji ispravke prenose unatrag. Ubuntu 24.04 prema izvješćima i nakon ažuriranja i dalje prikazuje 8.3.6. Tri su puta pouzdana:
| Put | Što pokazuje | Granica |
|---|---|---|
| Usporediti verziju s ispravljenim stanjima | 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili viša je ispravljena | vrijedi samo za izvorne verzije, ne za backportove |
Test na memory_hard_limit_percent |
bool(false) znači: direktiva nepoznata, dakle pogođeno |
izvesti zasebno po verziji i načinu rada |
| Pretražiti changelog paketa po CVE brojevima | dokazuje backportove kod distribucija | izvor je sigurnosni arhiv pružatelja |
Test izgleda ovako:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Kako uredno provjeriti verziju i stanje zakrpe, piše na stranici Ispravna provjera verzije PHP-a i stanja zakrpe. Pregled grana daje stranica Koje su verzije PHP-a pogođene?. Zašto prikaz unatoč zakrpi može izgledati star, objašnjava članak php -v prikazuje stari broj.
Pogođeno i više se ne može zakrpati: PHP 8.1 i stariji
Za PHP 8.1 i starije više ne postoje službena ažuriranja PHP projekta, samo minimalni backportovi izvornog koda za 7.4, 8.0 i 8.1. Tko koristi takvu verziju, uglavnom ima dva puta: pružatelja s dokazanim backportom ili prelazak na održavanu verziju. Komercijalne ponude dugoročne podrške postoje, ali pokrivaju li PHP2Shell i kada, pružatelj mora potvrditi pisanim putem. Pomažemo pri procjeni na stranici PHP 8.1 i stariji: što sada vrijedi i pri provedbi u usluzi zakrpanja PHP-a.
Što nam trebate poslati
- popis Vaših poslužitelja, domena i pružatelja hostinga
- verziju PHP-a po sustavu, koliko je poznata
- način rada i web-poslužitelj, koliko su poznati
- podatak je li uključen Cloudflare ili druga zaštita i može li se izvorni poslužitelj dosegnuti izravno
- odgovore Vašeg pružatelja hostinga, ako ste ih već zatražili
- kontakt osobu za odobrenja i ponovna pokretanja
Zašto PHP SOS
Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu koja prolazi Vaš popis i dokazuje svaku tvrdnju, umjesto da samo čita brojeve verzija. Radimo na daljinu, bez dolaska, i dokumentiramo što smo provjerili. Izjavu poput „sigurno“ dajemo samo koliko se može dokazati. Za veća okruženja dolazi u obzir PHP2Shell hitna pomoć.
Jeste li pogođeni? Nazovite. Pomažemo.
Ako ne znate jeste li pogođeni, to je dovoljan razlog da se javite odmah. Nazovite ili pišite putem WhatsAppa. Preuzimamo od prve poruke i razjašnjavamo to s Vama na poslužitelju. Prijavite hitni slučaj odmah.
Česta pitanja
Jesam li pogođen PHP2Shellom ako koristim samo WordPress ili web-shop?
Moguće da. Ranjivosti su u PHP-u, a ne u CMS-u. Odlučujuće je koja verzija PHP-a i koji način rada se kod Vas stvarno isporučuje, a WordPress ažuriranje tu ništa ne mijenja.
Je li broj verzije dovoljan da znam jesam li zakrpan?
Ne uvijek. Distribucije i pružatelji hostinga ispravke ponekad ugrađuju kao backport pa broj ostaje isti. Mjerodavni su changelog paketa s CVE brojevima ili pisana potvrda Vašeg pružatelja.
Postoji li brz test sadrži li moja verzija PHP-a ispravak?
Prema PHP priručniku pogođena je verzija koja ne poznaje direktivu memory_hard_limit_percent. Test se mora izvesti zasebno za svaku verziju PHP-a i način rada, jer naredbeni redak može koristiti drugu verziju od web-poslužitelja.
Jesu li pogođene i starije verzije PHP-a poput 7.4 ili 8.0?
Prema stručnom tisku pogođene su gotovo sve verzije sve do PHP-a 5.4. Za 8.1 i starije PHP projekt više ne izdaje službena ažuriranja, samo minimalne backportove izvornog koda. Je li ih pružatelj instalirao, mora potvrditi.
Štiti li me Cloudflare ako sam pogođen?
Djelomično. Cloudflare je uveo zaštitna pravila, ali i sam upozorava da ona ne zamjenjuju ažuriranje. Ako je Vaš izvorni poslužitelj dostupan izravno, zaštita se zaobilazi.