Ukratko: Jeste li pogođeni? Nazovite. Pomažemo. Ako sumnjate da je Vaš poslužitelj hakiran, na prvom mjestu je jedno: sačuvati tragove. Od prve poruke na daljinu preuzimamo prikaz stanja, osiguranje, obuzdavanje, čišćenje i dokumentaciju dok incident nije zaključen.
Sada ništa ne brisati i ništa ne postavljati iznova. Ni sigurnosnu kopiju ne vraćati prije nego što se stanje osigura. Tko čisti, uništava upravo one tragove koji pokazuju kako je napadač ušao. Prijavite hitni slučaj, zatim ćemo postupati zajedno.
Jeste li pogođeni? Znakovi da je poslužitelj hakiran
Sumnja je dovoljna da se javite. Napad ne morate dokazati. Tipične naznake su:
- Web-poslužitelj ili PHP-FPM pokreće procese poput
shilibash. To je snažan znak upozorenja koji objašnjavamo na stranici Web-poslužitelj pokreće ljusku. - U mapama za prijenos, predmemoriju ili privremene datoteke nalaze se nove ili nepoznate PHP datoteke.
- Postoje cron poslovi koje nitko nije izradio ili SSH ključevi koje nitko ne može pripisati.
- Opterećenje je bez vidljivog razloga veliko ili poslužitelj uspostavlja neobične odlazne veze.
- E-pošta s Vašeg poslužitelja završava u spamu ili se odbija.
- Pružatelj hostinga, klijent ili upozorenje u pregledniku prijavljuje zlonamjerni kod.
- U CMS-u se pojavljuju administratorski računi koje nitko nije izradio.
Dodatne znakove pronaći ćete na stranici Jesam li već kompromitiran?. Ako se podudara više točaka, poslužitelj smatrajte hakiranim dok se ne dokaže suprotno.
Poslužitelj hakiran: što učiniti odmah
- Ostati miran i ništa ne mijenjati. Ne brisati datoteke, nikakvi „brzi popravci“, nikakva ponovna instalacija preko starog stanja.
- Zabilježiti vrijeme. Zapišite što ste kada opazili i tko je zadnji unosio promjene u sustav.
- Sačuvati zapisnike. Zapisnici pristupa, pogrešaka i sustava ne smiju se rotirati niti prepisivati. Kod PHP2Shella stručni tisak savjetuje čuvanje zapisnika poslužitelja od 20. 10. 2026.
- Smanjiti napadnu površinu. Poslužitelj odspojite s javne mreže ili ga blokirajte vatrozidom ako bi podaci mogli curiti. Nemojte ga jednostavno isključiti.
- Prikupiti pristupe. Tko ima SSH, panel, FTP, CMS i pristup bazi podataka? Lozinke mijenjajte tek nakon dogovora i samo s čistog uređaja.
- Odrediti kontakt osobu. Osoba s ovlastima za odlučivanje trebala bi biti dostupna, i za isključivanje i ponovna pokretanja.
- Javite se odmah. Nazovite ili pišite putem WhatsAppa. Sve ostalo razjašnjavamo s Vama korak po korak.
Odspojiti s mreže ili pustiti da radi?
To je najčešće pitanje u prvim minutama i nema općeg odgovora. Ako radi web-shop s plaćanjima ili portal s podacima o klijentima, uglavnom prevladava zaštita podataka. Tada je privremena izolacija ispravna, primjerice putem stranice o održavanju ili pravila vatrozida koje samo Vaše administratore propušta.
Tvrdo isključivanje rijetko je najbolji prvi korak, jer se u radnoj memoriji nalaze tragovi koje ponovno pokretanje briše. Bolja je slika sustava, primjerice snapshot kod pružatelja hostinga, prije nego što se išta promijeni. U situaciji s PHP2Shellom BSI preporučuje web-poslužitelje privremeno odspojiti s mreže ako ažuriranje nije odmah moguće. To ne znači da je svaki isključeni poslužitelj hakiran.
Hoćete li u svom slučaju izolirati, ograničiti ili pustiti da radi, odlučujemo s Vama na temelju onoga što se nalazi na sustavu.
Postaviti iznova ili očistiti?
Mnogi bi poslužitelj najradije odmah ponovno izgradili. To nije pogrešno, ali tek nakon osiguranja. Inače ostaje nejasno kako je napadač ušao, a isti put stoji otvoren i novom sustavu. Odvagivanje opisuje stranica Ponovno postaviti poslužitelj ili ga očistiti?, a osiguranje prije ponovne izgradnje stranica Osigurajte dokaze prije ponovne instalacije.
Važno: sama PHP zakrpa ne rješava problem. Ona zatvara ranjivost, ali ne uklanja već ubačeni zlonamjerni softver. Kako pronaći tragove u zapisnicima, opisuje stranica Analiza zapisnika web-poslužitelja nakon napada. I pretpostavite da su pristupni podaci iz konfiguracijskih datoteka pročitani: pristupi bazi podataka, e-pošti i API-ju spadaju na popis tajni koje treba obnoviti.
Kako PHP SOS konkretno pomaže?
- Procijeniti situaciju: S Vama razjašnjavamo što je opaženo, koji bi sustavi mogli biti pogođeni i koji se podaci tamo nalaze.
- Osigurati i zatvoriti: Osiguravamo datoteke, bazu podataka i zapisnike prije nego što se išta promijeni. Zatim obuzdavamo napad i zatvaramo ulazna vrata, kod PHP2Shella zakrpom i ponovnim pokretanjem svih PHP procesa.
- Provjeriti i očistiti: Tražimo web shellove, stražnja vrata, cron poslove i tuđe pristupe te ih uklanjamo. Pojedinosti su na stranici Uklanjanje malwarea i web shellova.
- Ojačati i izvijestiti: Dobivate dokumentaciju s vremenskom crtom, nalazištima i preporukama. Ako incident nadiđe jedan poslužitelj, prelazimo na strukturirani odgovor na incident.
Što ne bi trebalo činiti
U stresu se događaju izbježive pogreške. Ne brišite „sumnjive“ datoteke na sumnju ako ih prije niste osigurali. Ne izvršavajte naredbe s foruma koje ne razumijete. I ne instalirajte sigurnosne dodatke na poslužitelj koji je možda već kompromitiran: zlonamjerni kod može zavarati skenere, a rezultat Vas uljuljkuje u lažnu sigurnost. Oprez i kod savjeta da se blokiraju svi zahtjevi s određenim ID-om sesije; stručni autori takve savjete o PHP2Shellu izričito odbacuju. Vlastitu verziju možete pouzdano provjeriti naredbom php -v i uvidom u changelog paketa svoje distribucije, jer backportovi često ostavljaju broj verzije isti.
Što nam trebate poslati
- kratak opis: što je uočeno, od kada, što je zadnje mijenjano
- vrsta sustava: vlastiti poslužitelj, vServer, upravljani poslužitelj ili hosting paket
- pristup putem SSH-a ili panela ili dopuštenje da razgovaramo s Vašim pružateljem hostinga
- napomene o postojećim sigurnosnim kopijama i njihovoj starosti
- upozorenja pružatelja hostinga, preglednika ili klijenata u izvornom tekstu
Ako nešto od toga nedostaje, ipak se javite. Praznine zatvaramo u razgovoru.
Zašto PHP SOS
Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu, radimo na daljinu, bez dolaska, u cijeloj Njemačkoj i Europi. Svaki se korak dokumentira, a otvoreno razdvajamo dokazano, vjerojatno i nepoznato. Obećanja koja nitko ne može ispuniti ne dajemo. Pregled naknadne obrade nalazi se u Kontrolnom popisu nakon hakiranja, cjelokupna hitna pomoć na stranici Web-stranica hakirana? Hitna pomoć na daljinu. O obvezi prijave kod povreda podataka pročitajte pravilo od 72 sata; pravnu procjenu prepuštamo službenicima za zaštitu podataka i odvjetnicima.
Jeste li pogođeni? Nazovite. Pomažemo.
Ne čekajte da iz sumnje nastane veća šteta. Preuzimamo od prve poruke i ostajemo uz Vas dok incident nije zaključen i dokumentiran. Prijavite hitni slučaj odmah.
Česta pitanja
Poslužitelj hakiran: trebam li ga odmah isključiti?
Ne ishitreno. Isključivanje može uništiti prolazne tragove u radnoj memoriji. Bolje je poslužitelj odspojiti s mreže ili ga izolirati vatrozidom i prvo osigurati stanje. Ako niste sigurni, javite nam se prije toga.
Kako saznati je li moj poslužitelj doista hakiran?
Naznake daju procesi koje pokreće web-poslužitelj, nove PHP datoteke u mapama za prijenos ili predmemoriju, nepoznati cron poslovi i SSH ključevi te neuobičajene odlazne veze. Sigurnost daje tek analiza zapisnika i datoteka. Ne postoje potvrđeni PHP2Shell indikatori, otkrivanje se temelji na analizi ponašanja.
Je li PHP ažuriranje dovoljno ako je poslužitelj već hakiran?
Ne. Zakrpa zatvara ulazna vrata, ali ne uklanja već ubačeni zlonamjerni softver i ne dokazuje da se prije nije ništa dogodilo. Nakon ažuriranja moraju se uz to ponovno pokrenuti svi PHP procesi.
Moram li hakirani poslužitelj prijaviti?
Ako bi mogli biti pogođeni osobni podaci, prijava nadzornom tijelu u roku od 72 sata može biti potrebna. Procjenu daje Vaš službenik za zaštitu podataka ili odvjetnik, a mi za to isporučujemo tehničke činjenice.
Mogu li hakirani poslužitelj očistiti sam?
Kod malih sustava to je moguće, ali rizično: tko ukloni samo vidljive datoteke, često previdi stražnja vrata, cron poslove ili pristupe. Mi provjeravamo je li čišćenje dovoljno ili je smislenije ponovno izgraditi sustav iz čistih izvora.