# Blog: PHP2Shell, varnost strežnikov in nujna pomoč

> Blog o PHP2Shell in varnosti strežnikov: stanje, gostovanje, odkrivanje, utrjevanje, varen razvoj, vodenje in pomoč pri odločanju.

Vir: https://phpsos.de/sl/blog/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

Presoja stanja, navodila za skrbnike in pomoč pri odločanju za vodstvo. Razvrščeno po temah, vsak članek z viri.

- [PHP2Shell: kaj je dokazano in kaj ne](https://phpsos.de/sl/blog/php2shell-was-belegt-ist/): Preverjanje dejstev o PHP2Shell: katere trditve izvirajo iz primarnih virov, katere iz medijskih poročil in katerih trditev ni mogoče vzdrževati.
- [Zakaj je ranljivost PHP postala znana pred popravkom](https://phpsos.de/sl/blog/php-luecke-vorzeitig-bekannt/): Po poročilih so podrobnosti o PHP2Shell postale javne pred iztekom embarga. Pojasnjujemo potek in kaj to pomeni za načrtovanje vaših posodobitev.
- [Uradi umikajo spletne strani z omrežja: česa se lahko naučijo podjetja](https://phpsos.de/sl/blog/behoerden-webseiten-offline/): Mainz, hessenska deželna vlada in BKA so spletne strani preventivno umaknili z omrežja. Česa se lahko iz tega naučijo podjetja za lastno odločitev.
- [Opozorilna stopnja BSI oranžna: kaj pomeni ocena](https://phpsos.de/sl/blog/bsi-warnstufe-orange-erklaert/): BSI je PHP2Shell uvrstil na 3 / oranžno. Kaj lestvica pove, česa ne in kako podjetja oceno prevedejo v odločitve.
- [Kaj CERT-EU in CERT-Bund svetujeta glede PHP2Shell](https://phpsos.de/sl/blog/cert-eu-empfehlungen-php/): Uradne službe so si edine: takoj posodobiti, sicer izolirati. Primerjamo priporočila in pokažemo, kako izolacija izgleda v praksi.
- [Zaščitna pravila Cloudflare proti PHP2Shell: kaj zmorejo in česa ne](https://phpsos.de/sl/blog/cloudflare-waf-php2shell/): Cloudflare je zgodaj uvedel zaščitna pravila proti PHP2Shell. Zakaj to pomaga, zakaj posodobitve PHP kljub temu ne nadomesti in katere nastavitve naj preverite.
- [22,6 milijona izpostavljenih primerkov: števila pravilno uvrstiti](https://phpsos.de/sl/blog/exponierte-instanzen-einordnen/): Unit 42, CybelAngel in drugi navajajo zelo različna števila o PHP2Shell. Pojasnjujemo, kaj je bilo prešteto, in katero število zares šteje za vas.
- [PHP2Shell v petih minutah: povzetek za poslovodstvo](https://phpsos.de/sl/blog/php2shell-briefing-geschaeftsfuehrung/): Varnostna ranljivost PHP2Shell na eni strani za odločevalce: stanje, tveganje, pet vprašanj za IT in odločitve za danes.
- [Varnostna ranljivost PHP preprosto razložena](https://phpsos.de/sl/blog/php-luecke-einfach-erklaert/): PHP2Shell za netehnike: z vsakdanjimi podobami, majhnim slovarjem in tremi tipičnimi izhodiščnimi položaji, kaj naj storite kot upravljavec spletne strani.
- [PHP2Shell: 15 vprašanj strank gostovanja](https://phpsos.de/sl/blog/fragen-von-hosting-kunden/): Vaša spletna stran je pri ponudniku gostovanja in želite vedeti, kaj morate pri PHP2Shell storiti sami? Tukaj je 15 najpogostejših vprašanj s kratkimi odgovori.
- [Zakaj posodobitev WordPressa proti PHP2Shell ne pomaga](https://phpsos.de/sl/blog/warum-wordpress-update-nicht-hilft/): Mnogi upravljavci so po naslovih posodobili WordPress in se počutijo varne. Zakaj to pri PHP2Shell ne zaleže in kaj zares šteje.
- [PHP2Shell in Log4Shell: kaj imata ranljivosti skupnega](https://phpsos.de/sl/blog/php2shell-und-log4shell/): Mnogi PHP2Shell primerjajo z Log4Shell iz leta 2021. Kaj primerjava prenese, kje šepa in kateri nauki od takrat danes pomagajo.
- [Množična skeniranja nepopravljenega PHP: tako potekajo samodejni napadi](https://phpsos.de/sl/blog/automatisierte-massenscans/): Po PHP2Shell napadalci internet samodejno iščejo ranljive strežnike. Kako to poteka, zakaj velikost ne igra vloge in kaj vas ščiti.
- [Časovno okno med popravkom in napadom](https://phpsos.de/sl/blog/zeitfenster-patch-angriff/): Pri PHP2Shell so bili poskusi napadov že pred popravkom. Pojasnjujemo faze časovnega okna, kako izmerite svoje in kako ga skrajšate.
- [Po PHP2Shell: zakaj so nadaljnja obvestila verjetna](https://phpsos.de/sl/blog/weitere-php-meldungen/): PHP2Shell se s popravkom z 21. oktobra ni končal. Zakaj so pričakovana nadaljnja obvestila in kako svojo ekipo pripravite nanje.
- [PHP2Shell: slika stanja prvega tedna](https://phpsos.de/sl/blog/lagebild-erste-woche/): Teden dni po prvem opaženem poskusu napada: stanje glede popravkov, opozoril uradov, napadov in izklopov, čisto ločeno po virih.
- [Nevarni napačni nasveti za PHP2Shell, ki trenutno krožijo](https://phpsos.de/sl/blog/gefaehrliche-falschtipps/): Blokirati piškotke, skriti sporočila o napakah, posodobiti samo CMS: devet nasvetov za PHP2Shell, ki ustvarjajo lažno varnost, in kaj zares šteje.
- [Sprememba različice PHP v območju za stranke pri gostovanju](https://phpsos.de/sl/blog/php-version-hosting-aendern/): Kako v območju za stranke ponudnika gostovanja preklopite različico PHP, katero različico izbrati in kaj preveriti prej in potem.
- [Debian in Ubuntu: je moj paket PHP popravljen?](https://phpsos.de/sl/blog/debian-ubuntu-paket-gepatcht/): Katere pakete PHP sta Debian in Ubuntu popravila proti PHP2Shell, kako natančno primerjate nameščeno stanje in na čem dokazovanje spodleti.
- [RHEL, AlmaLinux in Rocky Linux: preverjanje popravka PHP](https://phpsos.de/sl/blog/rhel-almalinux-rocky-php/): Kaj je Red Hat objavil o PHP2Shell, kako na RHEL in njegovih klonih dokažete stanje paketa in zakaj ponovno nalaganje ne zadošča.
- [Repozitorij sury.org: paketi PHP iz vira tretjega ponudnika](https://phpsos.de/sl/blog/sury-repository-php/): Mnogi strežniki Debian in Ubuntu prejemajo PHP iz repozitorija sury. Kaj to pomeni za posodobitve, dokazila in stare različice PHP po PHP2Shell.
- [Repozitorij Remi: PHP na sistemih RHEL ohranjati aktualen](https://phpsos.de/sl/blog/remi-repository-php/): Remi dobavlja aktualne različice PHP za družino RHEL, kot modul ali za vzporedno namestitev. Tako po PHP2Shell preverite stanje in se izognete pozabljenim vejam.
- [Zakaj php -v po posodobitvi kaže isto številko](https://phpsos.de/sl/blog/php-v-zeigt-alte-nummer/): Posodobitev je tekla, a php -v javlja staro različico. Večinoma je to backport in ne napaka. Tako ločite neškodljivo od resničnih težav.
- [Dokazovanje številk CVE v changelogu paketa](https://phpsos.de/sl/blog/cve-im-changelog-nachweisen/): Kdor mora popravek PHP dokazati vodstvu, revizorjem ali zavarovalnicam, potrebuje več kot številko različice. Tako vnos v changelogu postane dokaz.
- [Zamenjava ponudnika gostovanja po varnostnem incidentu: na kaj paziti?](https://phpsos.de/sl/blog/hoster-wechseln-nach-vorfall/): Po incidentu je želja po novem ponudniku gostovanja razumljiva. Da selitev ne odnese napadalca s seboj, sta pomembna vrstni red in izbira.
- [Več različic PHP na enem strežniku: vsako popravite posebej](https://phpsos.de/sl/blog/mehrere-php-versionen-server/): Na mnogih strežnikih teče vzporedno tri, štiri ali več namestitev PHP. Po PHP2Shell je treba vsako najti, posodobiti in znova zagnati.
- [Izklop starih različic PHP v nadzorni plošči za gostovanje](https://phpsos.de/sl/blog/alte-php-versionen-abschalten/): PHP2Shell je dobra priložnost, da se znebite starih različic PHP. V treh fazah postopajte tako, da nobena spletna stran in noben cronjob ne odpove neopazno.
- [Plesk: razumevanje handlerjev PHP (FPM, FastCGI, modul Apache)](https://phpsos.de/sl/blog/plesk-php-handler/): Kateri handler PHP Plesk uporablja za spletno stran, odloča o izolaciji, konfiguraciji in tveganju. Primerjava z vidika PHP2Shell.
- [CloudLinux in alt-php: kaj naj vedo stranke gostovanja](https://phpsos.de/sl/blog/cloudlinux-alt-php/): Na strežnikih CloudLinux spletne strani pogosto tečejo z lastnimi paketi alt-php. Vsaka od teh različic potrebuje svoj popravek, nameščati ga pa lahko samo upravljavec strežnika.
- [PHP na NAS, požarnih zidovih in napravah: pozabljeni sistemi](https://phpsos.de/sl/blog/php-auf-nas-und-appliances/): PHP ne uporabljajo samo spletni strežniki. Prizadeti so lahko tudi sistemi NAS, požarni zidovi in strokovne naprave s spletnim vmesnikom. Popravi ga tam večinoma lahko samo proizvajalec, dosegljivost pa urejate sami.
- [PHP pri oblačnih ponudnikih in ponudnikih PaaS: kdo popravlja izvajalno okolje?](https://phpsos.de/sl/blog/paas-php-laufzeit/): Pri platformnih storitvah je popravek PHP odvisen od modela delovanja. Odločilno je izvajalno okolje, ki dejansko streže, ne lokalno okolje ali koda aplikacije.
- [Uradne slike PHP Docker: oznake, digesti in ponovna gradnja](https://phpsos.de/sl/blog/offizielle-php-docker-images/): Oznaka uradne slike PHP je kazalec, ki se sčasoma premakne na novo stanje. Kdor ve, kaj pomenijo oznaka, različica in digest, izbere pravo sliko in lahko dokaže stanje popravkov.
- [CI/CD: samodejna ponovna gradnja slik PHP](https://phpsos.de/sl/blog/php-images-in-ci-neu-bauen/): Slika zastara tudi brez spremembe kode. S časovno vodenimi gradnjami, preverjanjem različice in uvajanjem prek digesta popravki PHP zanesljivo pridejo v produkcijo.
- [Dolgoročna podpora za stare različice PHP: možnosti in meje](https://phpsos.de/sl/blog/langzeitsupport-alte-php-versionen/): Kdor ne more takoj preiti s PHP 8.1 ali starejše, najde dolgoročno podporo pri distribucijah, tretjih ponudnikih in komercialnih storitvah. Kaj te poti zmorejo, kaj potrebujete pisno in kje so meje.
- [Posodobitev PHP v sistemu Windows](https://phpsos.de/sl/blog/php-unter-windows-aktualisieren/): V sistemu Windows ni samodejne posodobitve PHP. Kdor izbere pravo različico, preveri prenos in znova zažene vse procese, popravek PHP2Shell čisto spravi na vsak računalnik.
- [Opozorilni znak: spletni strežnik zažene lupino](https://phpsos.de/sl/blog/webserver-startet-shell/): Če proces PHP-FPM ali spletnega strežnika zažene lupino, je to eden najmočnejših opozorilnih znakov vdora. Preverite drevo procesov, razvrstite izjeme in vzorec trajno nadzorujte.
- [Iskanje sumljivih procesov na strežnikih Linux](https://phpsos.de/sl/blog/verdaechtige-prozesse-linux/): Škodljivi procesi se prikrivajo z neškodljivimi imeni, tečejo iz začasnih imenikov ali iz izbrisanih datotek. Z nekaj ukazi za branje najdete nenavadnosti in jih razvrstite.
- [Prepoznavanje skritih cronjobov kot stranskih vrat](https://phpsos.de/sl/blog/cronjobs-als-hintertuer/): Napadalci z načrtovanimi opravili po čiščenju znova pridejo noter. Tako v celoti preverite crontabe, imenike cron, časovnike systemd in naloge at ter prepoznate sumljive vnose.
- [Iskanje nedavno spremenjenih datotek na spletnem strežniku](https://phpsos.de/sl/blog/geaenderte-dateien-finden/): Po morebitnem vdoru šteje, kaj se je na strežniku spremenilo. Tako iščete po časovnih oknih, pravilno uporabljate mtime in ctime ter primerjate s paketi, Gitom in varnostnimi kopijami.
- [Datoteke PHP v imeniku za nalaganje: pravilna razlaga najdb](https://phpsos.de/sl/blog/php-dateien-im-upload-ordner/): Datoteka PHP v imeniku za nalaganje je skoraj vedno alarmni znak, vendar ni vsaka škodljiva koda. Tako najdbo ovrednotite, ne da bi uničili sledi, in razjasnite, ali jo je kdo priklical.
- [Prepoznavanje zakrite kode PHP](https://phpsos.de/sl/blog/verschleierter-php-code/): Neberljiva koda PHP z eval in base64_decode je klasičen znak vnesene škodljive kode. Katere vzorce iščete, kako jih najdete brez nevarnosti in kdaj je zakritje legitimno.
- [Preverjanje odhodnih povezav strežnika](https://phpsos.de/sl/blog/ausgehende-verbindungen-pruefen/): Spletni strežnik predvsem odgovarja na zahteve. Če sam vzpostavlja povezave z neznanimi cilji, to lahko pomeni upravljanje s strani napadalcev ali odtekanje podatkov. Tako odhodni promet preverite in omejite.
- [Iskanje tujih skrbniških računov v CMS in na strežniku](https://phpsos.de/sl/blog/fremde-admin-konten-finden/): Neznan skrbnik je pogosto najpreprostejša stranska vrata. Tako raven za ravnjo iščete tuje račune, tudi tiste, ki jih vmesnik skriva.
- [Iskanje in odstranjevanje neznanih ključev SSH](https://phpsos.de/sl/blog/ssh-schluessel-pruefen/): Vnesen ključ SSH napadalcem odpre vrata, tudi če so vsa gesla zamenjana. Tako najdete vsako datoteko authorized_keys in preverite vsak vnos.
- [Kriptorudar na spletnem strežniku: znaki in postopek](https://phpsos.de/sl/blog/kryptominer-auf-dem-server/): Stalno polni procesor, ne da bi prišlo več obiskovalcev: to je lahko kriptorudar. Tako preverite obremenitev, najdete proces in njegove mehanizme ponovnega zagona ter ukrepate urejeno.
- [Strežnik pošilja neželeno pošto: iskanje vzrokov](https://phpsos.de/sl/blog/server-verschickt-spam/): Nedostavljena pošta, črne liste, pritožbe: če lastni strežnik pošilja neželeno pošto, je za tem večinoma skript ali ugrabljen poštni predal. Tako najdete vir.
- [SEO spam in tuje strani v indeksu Googla](https://phpsos.de/sl/blog/seo-spam-im-google-index/): Nenadoma se pod vašo domeno uvrščajo strani o zdravilih ali blagovnih znamkah. Tako ugotovite, od kod prihaja SEO spam, in ga spravite iz indeksa.
- [Spletna stran preusmerja na tuje strani](https://phpsos.de/sl/blog/website-leitet-um/): Obiskovalci pristanejo na nagradnih igrah ali dvomljivih spletnih trgovinah, vi sami pa ne vidite ničesar? Tako najdete plast, v kateri se skriva preusmeritev, in jo odpravite.
- [Zavarujte dokaze, preden strežnik postavite znova](https://phpsos.de/sl/blog/beweise-sichern-vor-neuinstallation/): Ponovna postavitev odstrani napadalca, a tudi vse sledi. Kdor pred tem vloži eno uro v zavarovanje dokazov, lahko pozneje pove, kaj se je zgodilo.
- [Sestavljanje časovnice incidenta](https://phpsos.de/sl/blog/zeitleiste-eines-vorfalls/): Kdaj je prišel napadalec, kaj je storil, kdaj so to opazili? Urejena časovnica odgovori na ta vprašanja in je podlaga za prijave, zavarovalnico in poročilo.
- [Primerjava jedrnih datotek CMS z originalom](https://phpsos.de/sl/blog/cms-kerndateien-vergleichen/): Primerjava s čistim originalom pokaže vsako spremenjeno datoteko, ne glede na to, ali jo skener pozna. Tako vzpostavite primerjavo za WordPress, projekte Composer in sistemske pakete.
- [Preverjanje zbirke podatkov za vneseno kodo](https://phpsos.de/sl/blog/datenbank-auf-schadcode-pruefen/): Kdor preverja samo datoteke, spregleda polovico. Tako preiščete vsebine, nastavitve, prožilce in račune zbirke podatkov za vneseno kodo, bralno in na kopiji.
- [Skenerji zlonamerne kode za spletne strani: kaj najdejo in česa ne](https://phpsos.de/sl/blog/grenzen-von-malware-scannern/): Skener ne javlja ničesar, torej je vse v redu? Ne nujno. Katere vrste skenerjev spletnih strani obstajajo, kaj vidi vsaka in česa načelno ne more videti.
- [Izolacija poolov PHP-FPM po spletnih straneh](https://phpsos.de/sl/blog/php-fpm-pools-isolieren/): Lasten pool za vsako spletno stran je začetek, ne konec. Tako preverite obstoječe poole in utrdite sockete, končnice, statusne strani, vire in dnevnike.
- [Pravilna nastavitev memory_limit](https://phpsos.de/sl/blog/memory-limit-richtig-setzen/): memory_limit omejuje pomnilnik na zahtevo PHP. Po PHP2Shell php.net začasno svetuje nasprotno. Kaj velja v običajnem delovanju, v prehodu in po posodobitvi.
- [Smiselna omejitev post_max_size in upload_max_filesize](https://phpsos.de/sl/blog/post-max-size-upload-limits/): Meje nalaganja delujejo na treh mestih: v spletnem strežniku, v PHP in v aplikaciji. Tako vrednosti nastavite usklajeno, tudi s prehodnimi vrednostmi php.net za PHP2Shell.
- [Izklop session.upload_progress: pravilno in trajno](https://phpsos.de/sl/blog/session-upload-progress-abschalten/): Ukrep proti CVE-2026-115560 in eden od prehodnih ukrepov za PHP2Shell je hitro nastavljen. Da zdrži, mora stati na pravem mestu, biti zaklenjen in po vsaki posodobitvi znova preverjen.
- [expose_php in glave Server: skrivanje podatkov o različicah](https://phpsos.de/sl/blog/expose-php-versionsangaben/): PHP, Nginx in Apache številko različice privzeto navajajo v vsakem odgovoru. To ne ščiti pred napadi, skenerjem pa daje priročen seznam zadetkov. Tako to izklopite in vseeno obdržite pregled.
- [display_errors off: izklop izpisa napak v produkciji](https://phpsos.de/sl/blog/display-errors-produktion/): Vidna sporočila o napakah PHP razkrivajo poti, imena zbirk podatkov in različice. Tako jih izklopite v PHP, v ogrodju in v spletnem strežniku, ne da bi izgubili pregled nad napakami.
- [php_admin_value: zaklepanje nastavitev pred prepisovanjem](https://phpsos.de/sl/blog/php-admin-value-sperren/): Varnostna nastavitev malo koristi, če jo aplikacija z eno vrstico kode spet spremeni. S php_admin_value in php_admin_flag vrednosti za PHP-FPM in Apache določite zavezujoče.
- [Nastavitev pomnilniških mej s systemd in cgroups](https://phpsos.de/sl/blog/speichergrenzen-systemd-cgroups/): php.net kot prehodni ukrep za PHP2Shell priporoča memory_limit=-1 in pomnilniško mejo zunaj PHP. Tako to mejo nastavite s systemd in cgroups, ne da bi en sam delavec potegnil za seboj celotno storitev.
- [Varna konfiguracija Nginx za PHP](https://phpsos.de/sl/blog/nginx-fuer-php-absichern/): Večina šibkih točk v nastavitvah Nginx za PHP ne tiči v Nginx, ampak v nekaj vrsticah lokacije PHP. Tako predajo na PHP-FPM konfigurirate, da se izvajajo samo želeni skripti.
- [Varna konfiguracija Apache za PHP](https://phpsos.de/sl/blog/apache-fuer-php-absichern/): Apache je prilagodljiv in prav zato dovzeten za napačno konfiguracijo. Tako PHP povežete prek PHP-FPM, .htaccess zaprete kot stranska vrata in najpomembnejše jedrne možnosti varno nastavite.
- [Prepoved izvajanja PHP v mapah za nalaganje](https://phpsos.de/sl/blog/php-in-uploads-verbieten/): Webshell potrebuje dve stvari: mapo, v katero je mogoče pisati, in strežnik, ki jo izvede. Tako ji vzamete drugo, in sicer v vsaki zapisljivi mapi, ne samo v uploads.
- [Filtriranje zahtev za nalaganje na robu: priložnosti in tveganja](https://phpsos.de/sl/blog/upload-anfragen-am-rand-filtern/): Strokovni avtorji predlagajo, da se zahteve za nalaganje zunaj pravih poti za nalaganje blokirajo na proxyju, dokler PHP ni popravljen. To lahko pomaga, lahko pa ohromi obrazce in naročila. Tako ravnate nadzorovano.
- [Uporaba ModSecurity in OWASP Core Rule Set](https://phpsos.de/sl/blog/modsecurity-owasp-crs/): Lasten požarni zid spletnih aplikacij z ModSecurity in OWASP Core Rule Set je brezplačen in zmogljiv, a ne deluje sam od sebe. Tako izberete pogon, začnete brez izpadov in pravila uskladite.
- [Postavitev Fail2ban za spletne strežnike](https://phpsos.de/sl/blog/fail2ban-fuer-webserver/): Fail2ban blokira naslove, ki se v dnevnikih ponavljajoče izpostavijo. Za spletne strežnike prinaša pripravljene filtre, z nekaj vrsticami pa dodate lastne. Tako ga vzpostavite, ne da bi izključili sebe ali svoje stranke.
- [Požarni zid za spletne strežnike: odprite samo potrebna vrata](https://phpsos.de/sl/blog/firewall-fuer-webserver/): Spletni strežnik navzven običajno potrebuje le dvoje vrat. Kljub temu na številnih strežnikih v internetu poslušajo zbirke podatkov, PHP-FPM ali upravljalski vmesniki. Tako najdete odprte storitve in zaprete, kar ni potrebno.
- [Samodejne varnostne posodobitve na strežnikih Linux](https://phpsos.de/sl/blog/automatische-sicherheitsupdates/): Po poročilih so distribucije backporte PHP deloma dostavile že 21. oktobra 2026, na dan popravkov. Kdor uporablja samodejne varnostne posodobitve, jih je imel hitro na strežniku. Da delujejo, so potrebni ponovni zagoni, tretji viri in nadzor.
- [Least Privilege: pravice uporabnika spletnega strežnika](https://phpsos.de/sl/blog/rechte-des-webserver-benutzers/): Vnesena koda teče s pravicami uporabnika spletnega strežnika. Kaj sme ta račun, določa, kako daleč pride napadalec. Tako omejite lupino, sudo, cron, bazo podatkov in datotečni sistem na nujno potrebno.
- [Zaščita skrbniških območij z IP, VPN ali dodatno zaščito](https://phpsos.de/sl/blog/admin-bereiche-abschirmen/): Zakaj zaledje spletne strani ne sme biti dosegljivo za ves svet in kako ga zaščitite z dovoljenimi IP, VPN ali predhodno prijavo, ne da bi se sami zaklenili ven.
- [Pravilna konfiguracija TLS in HTTPS](https://phpsos.de/sl/blog/tls-https-richtig-konfigurieren/): Katere različice TLS in šifrirne pakete naj spletni strežnik danes ponuja, na kaj se opirajo priporočila in kako preverite Nginx, Apache ter odhodne povezave PHP.
- [CIS Benchmarki in moduli BSI za spletne strežnike](https://phpsos.de/sl/blog/cis-benchmarks-bsi-bausteine/): Kateri standardi utrjevanja obstajajo za spletne strežnike Linux, v čem se razlikujejo CIS Benchmarki in moduli IT-Grundschutz ter kako iz njih naredite preverljivo zahtevo za svoje strežnike PHP.
- [Varno shranjevanje gesel v PHP: pravilna uporaba password_hash](https://phpsos.de/sl/blog/passwoerter-in-php-speichern/): Kako razvijalci v PHP shranjujejo gesla s password_hash in password_verify, izberejo ustrezen postopek ter nadomestijo stare zgoščene vrednosti MD5 ali SHA-1 brez ponastavitve gesel za vse uporabnike.
- [Zaščita pred CSRF v aplikacijah PHP](https://phpsos.de/sl/blog/csrf-schutz-php/): Kako razvijalci v aplikacijah PHP preprečujejo Cross-Site Request Forgery: žeton za vsako zahtevo, ki kaj spreminja, preverjanje izvora v glavi in piškotki SameSite kot dodatna plast.
- [Preverjanje in filtriranje vnosov v PHP s filter_var](https://phpsos.de/sl/blog/eingaben-validieren-php/): Kako razvijalci v PHP preverjajo vnose s filter_var, filter_input_array in dovoljenimi seznami, kateri filtri so zastareli in zakaj preverjanje ne nadomesti pripravljenih stavkov ter kodiranja izpisa.
- [Preprečevanje command injection v PHP](https://phpsos.de/sl/blog/command-injection-php/): Kako razvijalci preprečujejo command injection v PHP: sistemske ukaze nadomestijo s funkcijami PHP, proc_open uporabijo brez lupine, preverjajo argumente in poiščejo nevarna mesta v obstoječi kodi.
- [Preprečevanje Server-Side Request Forgery (SSRF) v PHP](https://phpsos.de/sl/blog/ssrf-in-php/): Kako razvijalci preprečijo, da bi aplikacija PHP po naročilu tujcev poizvedovala po notranjih sistemih: dovoljeni seznami, omejitev protokolov, preverjanje razrešenega naslova in meje v omrežju.
- [Preprečevanje XML External Entities (XXE) v PHP](https://phpsos.de/sl/blog/xxe-in-php/): Kako razvijalci v PHP varno obdelujejo XML: privzeto vedenje libxml, tvegane možnosti, kot je LIBXML_NOENT, zaščita z nalagalnikom entitet in LIBXML_NO_XXE ter tipični skriti vhodi XML.
- [Type juggling v PHP: ohlapne primerjave kot varnostno tveganje](https://phpsos.de/sl/blog/type-juggling-php/): Zakaj lahko ohlapne primerjave z == v PHP vodijo do varnostnih ranljivosti, kaj se je spremenilo s PHP 8.0 in kako robustno napišete primerjave pri prijavah, žetonih in pooblastilih.
- [Varna naključna števila in žetoni v PHP z random_bytes](https://phpsos.de/sl/blog/sichere-tokens-php/): Kako razvijalci v PHP ustvarjajo žetone za povezave do gesel, ključe API in enkratne kode: kriptografsko varni viri, zadostna dolžina, shranjevanje kot zgoščena vrednost in omejena veljavnost.
- [Pravilna zaščita dostopnih podatkov in datotek .env](https://phpsos.de/sl/blog/env-dateien-schuetzen/): Kako v projektih PHP zaščitite gesla baze podatkov, ključe API in druge skrivnosti: datoteke .env zunaj webroota, blokade v spletnem strežniku, ozke pravice in urejena zamenjava po incidentu.
- [Javna mapa .git: podcenjeno uhajanje podatkov](https://phpsos.de/sl/blog/git-ordner-oeffentlich/): Zakaj lahko webroot, razmeščen prek Gita, razkrije celotno izvorno kodo z zgodovino vred, kako to preverite, takoj blokirate in razmestitev trajno zgradite brez mape .git.
- [Datoteke varnostnih kopij v webrootu: .zip, .sql in .bak](https://phpsos.de/sl/blog/backup-dateien-im-webroot/): Zakaj izpisi baz podatkov, arhivi in varnostne kopije v javnem imeniku sodijo med najpogostejša uhajanja podatkov, kako jih najdete, blokirate in razjasnite, ali so bile klicane.
- [Datoteke phpinfo(): zakaj morajo izginiti](https://phpsos.de/sl/blog/phpinfo-dateien-entfernen/): Po PHP2Shell mnogi skrbniki hitro ustvarijo info.php. Zakaj so take datoteke uhajanje podatkov, kako jih najdete in katere poti preverjanja so boljše.
- [Aktualne odvisnosti: Composer, npm in vtičniki](https://phpsos.de/sl/blog/abhaengigkeiten-aktuell-halten/): Projekt sestoji iz treh svetov paketov: Composer, npm in vtičniki CMS. Kako vse tri ohranjate aktualne s stalnim ritmom, jasno odgovornostjo in preizkusi.
- [Varnostni pregled kode za projekte PHP](https://phpsos.de/sl/blog/sicherheits-code-review-php/): Kako ekipe ciljno pregledajo lastno kodo PHP glede varnostnih ranljivosti: vrste pregledov, kritične funkcije, smiselna orodja in kontrolni seznam.
- [Varno beleženje: napake beležite brez uhajanja podatkov](https://phpsos.de/sl/blog/sicher-loggen-php/): Dnevniki pomagajo pri iskanju napak in forenziki, a hitro sami postanejo uhajanje podatkov. Kaj naj aplikacije PHP beležijo, česa nikoli in kako dnevnike zaščitite.
- [Zavarovanje API REST v PHP](https://phpsos.de/sl/blog/rest-api-php-absichern/): Vmesniki so pogosto slabše zaščiteni od spletne strani pred njimi. Najpomembnejša pravila za API REST v PHP, od pooblastila za objekt do omejevanja hitrosti.
- [Pogodbe s ponudniki IT: jasno uredite varnostne obveznosti](https://phpsos.de/sl/blog/dienstleistervertrag-sicherheit/): PHP2Shell je pokazal, kako pogosto ni jasno, kdo mora nameščati popravke. Katere varnostne obveznosti sodijo v pogodbe z agencijo, ponudnikom gostovanja in ponudnikom IT.
- [Obdelava po naročilu, kadar ponudniki dostopajo do strežnikov](https://phpsos.de/sl/blog/auftragsverarbeitung-serverzugriff/): Kdor tujce spusti na strežnike s podatki strank, praviloma potrebuje pogodbo o obdelavi (AVV). Kaj zahteva 28. člen GDPR in kako dostope v nujnem primeru organizirate skladno z varstvom podatkov.
- [Upravljanje ranljivosti v srednje velikih podjetjih](https://phpsos.de/sl/blog/schwachstellenmanagement-mittelstand/): Noben srednje velik delodajalec ne more takoj obdelati vsakega obvestila. Vitek krog beleženja, ocenjevanja, odločanja in dokazovanja poskrbi, da se najpomembnejše zgodi prvo.
- [Vedeti, kaj teče: popis vseh spletnih strani in strežnikov](https://phpsos.de/sl/blog/inventar-websites-server/): Pri PHP2Shell mnogi niso spodleteli pri popravku, ampak pri vprašanju, kje sploh teče PHP. Tako zgradite popis vseh spletnih strani in strežnikov.
- [Upravljanje popravkov kot postopek namesto gasilske akcije](https://phpsos.de/sl/blog/patch-management-prozess/): Kdor popravlja samo, ko gori, v skrajnem primeru izgubi čas. Kako postopek upravljanja popravkov s stalnimi razredi, okni in dokazili poveže rutino in nujni primer.
- [Kontakti za nujne primere: kdo mora biti obveščen in kdaj?](https://phpsos.de/sl/blog/notfallkontakte-liste/): V skrajnem primeru šteje, koga dosežete in kdaj. Kako zgradite seznam IT-kontaktov za nujne primere s sprožilci, namestniki in podatki, ki jih potrebuje vsak klic.
- [Koliko stane vdrt strežnik: postavke stroškov](https://phpsos.de/sl/blog/kostenposten-eines-hacks/): Vdrt spletni strežnik povzroči več stroškov kot popravilo. Katere postavke nastanejo in kako z lastnimi številkami utemeljite proračun za preventivo.
- [Obveščanje strank po incidentu](https://phpsos.de/sl/blog/kunden-nach-vorfall-informieren/): Ne glede na obveznost ali prostovoljnost: kako po incidentu odločite, koga obvestite, kateri kanali so varni in kako je pripravljena služba za stranke.
- [Dobavna veriga v spletu: agencija, ponudnik gostovanja, ponudnik vtičnikov](https://phpsos.de/sl/blog/lieferkette-agentur-hoster/): PHP2Shell je pokazal, koliko členov je med popravkom in vašo spletno stranjo. Kako dobavno verigo spletne strani spoznate, zavarujete in ublažite izpade posameznih členov.
- [Varnostna ozaveščenost za skrbnike in urednike: security awareness v spletni ekipi](https://phpsos.de/sl/blog/sicherheitsbewusstsein-redaktion/): Kdor vzdržuje spletne strani, vsak dan odloča o varnosti, pogosto ne da bi to opazil. Tako usposobite skrbnike in urednike po vlogah in brez plazu diapozitivov.
- [Vaja za mizo: odigrajte incident na spletnem strežniku](https://phpsos.de/sl/blog/notfalluebung-am-tisch/): Vaja za mizo stane popoldne in pokaže, ali vaš načrt za nujne primere zdrži. Tu najdete pripravljen scenarij za incident na spletnem strežniku PHP.
- [ISO 27001 in TISAX: kaj zadeva spletne strežnike](https://phpsos.de/sl/blog/iso-27001-tisax-webserver/): Kdor upravlja ISMS po ISO 27001 ali ima oznako TISAX, mora misliti tudi na spletne strežnike. Tu piše, katere zahteve se jih dotikajo in katera dokazila štejejo po PHP2Shell.
- [VdS 10000: informacijska varnost za mala in srednje velika podjetja](https://phpsos.de/sl/blog/vds-10000-kmu/): VdS 10000 je vitek okvir za informacijsko varnost v srednje velikih podjetjih. Kaj zahteva, kaj je novega prinesla leta 2025 in kaj to pomeni za spletne strani in spletne strežnike.
- [Lessons learned: boljši po incidentu](https://phpsos.de/sl/blog/lessons-learned-nach-vorfall/): Po incidentu je pred naslednjim. Strukturiran pogovor brez iskanja krivcev iz slabega tedna naredi merljiv napredek.
- [Popraviti, izklopiti ali počakati? Pomoč pri odločanju ob vrzeli PHP](https://phpsos.de/sl/blog/patchen-abschalten-abwarten/): Ob kritični vrzeli PHP morajo odgovorni hitro odločiti. Ta pomoč razvršča tri možnosti, navaja merila in kaže, kdaj je čakanje upravičeno.
- [WAF ali posodobitev: zakaj potrebujete oboje](https://phpsos.de/sl/blog/waf-oder-update/): Požarni zid za spletne aplikacije lahko prestreže napade, a ne zapre vrzeli v interpreterju PHP. Kdaj WAF pomaga, kje se konča in kako oboje smiselno združiti.
- [Strežnik znova postaviti ali očistiti? Odločitev po okužbi](https://phpsos.de/sl/blog/neu-aufsetzen-oder-bereinigen/): Po vdoru sta odprti dve poti: strežnik očistiti ali ga na novo zgraditi. Katera merila odločajo in zakaj je vrstni red pomembnejši od izbire.
- [Odpraviti sami ali poiskati ponudnika? Pošteno tehtanje](https://phpsos.de/sl/blog/selbst-beheben-oder-dienstleister/): Vse varnostne razmere ne potrebujejo zunanje pomoči. S temi merili in kratkim samopreizkusom odločite, ali vaša ekipa PHP2Shell obvlada sama ali potrebuje podporo.
- [Izbira ponudnika IT-varnosti: 12 vprašanj pred naročilom](https://phpsos.de/sl/blog/sicherheitsdienstleister-auswaehlen/): Pod časovnim pritiskom je težko najti dobrega ponudnika varnosti. Teh dvanajst vprašanj pomaga stvarno primerjati ponudbe, ne da bi nasedli reklamnim obljubam.
- [Upravljano gostovanje ali lasten strežnik? Varnostna primerjava](https://phpsos.de/sl/blog/managed-oder-eigener-server/): PHP2Shell je bil stresni test za vsak model delovanja. Primerjava kaže, kdaj je upravljano gostovanje varnejše, kdaj lasten strežnik in katere mešane oblike se obnesejo.
- [Nadgradnja PHP ali prenos popravka (backport)? Odločitev za stare sisteme](https://phpsos.de/sl/blog/php-upgrade-oder-backport/): Za stare različice PHP po PHP2Shell obstaja več poti: prenos popravka distribucije, tretji vir, popravek iz izvorne kode, dolgoročna podpora ali nadgradnja. Kaj zmore vsaka pot in kako dolgo zdrži.
- [Po vdoru zamenjati CMS? Kdaj pomaga in kdaj ne](https://phpsos.de/sl/blog/cms-wechsel-nach-hack/): Po vdoru je zaupanje v CMS pogosto izgubljeno. A nov sistem redko reši pravi vzrok. Kdaj je zamenjava smiselna in kako uspe čisto.
- [Statične spletne strani: manj PHP, manj napadalne površine](https://phpsos.de/sl/blog/statische-website-alternative/): Statična spletna stran streže gotove datoteke HTML in ne potrebuje PHP na strežniku. To občutno zmanjša napadalno površino, a prinese lastne meje in obveznosti.
- [Pentest, bug bounty ali skeniranje ranljivosti? Izbira primernega postopka preverjanja](https://phpsos.de/sl/blog/pentest-bugbounty-scan/): Skeniranje, penetracijski test in bug bounty spletne strani preverjajo na povsem različne načine. Kaj zmore vsak postopek, kje odpove in kateri vrstni red ustreza vašemu podjetju.