Pogosta vprašanja

PHP2Shell je ime za dve kritični ranljivosti v samem PHP-ju (CVE-2026-109618 in CVE-2026-109619, CVSS 9,2). Napadalcem lahko omogočata, da na strežniku brez prijave izvedejo škodljivo kodo. Popravki so na voljo od 21. 10. 2026.

Popravki so vključeni v PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Ponudniki gostovanja in distribucije včasih vgradijo povratne popravke (backporte), ne da bi spremenili številko različice. Odločilno je stanje paketa ali pisna potrditev ponudnika.

Ne. Ranljivost je v PHP-ju, ne v CMS-ju. Posodobitev CMS-ja je ne odpravi. In popravek PHP ne odstrani škodljive kode, ki je bila vnesena že prej.

Delamo na daljavo in začnemo, ko so dostopi na voljo. Po WhatsAppu nam pišite o sistemu, različici PHP in opažanjih. Nato postopek razjasnimo neposredno.

Da. Delamo neposredno za podjetja, v ozadju po naročilu agencij in v dogovoru z vašim ponudnikom gostovanja, kadar strežnik upravlja on.

Če bi bili lahko prizadeti osebni podatki, po 33. členu GDPR praviloma velja rok za prijavo 72 ur od seznanitve. Ali se uporablja v vašem primeru, razjasnite s pooblaščencem za varstvo podatkov. Tehnično dokumentacijo za to zagotovimo mi.

Ne. Ranljivosti sta v PHP, torej v programskem jeziku, na katerem tečejo WordPress, Shopware, TYPO3 in številni drugi sistemi. Posodobitev CMS-ja ju zato ne zapre. Odločilno je stanje PHP na strežniku.

Pri shared hostingu posodobitev PHP praviloma namesti ponudnik. Kljub temu si pisno potrdite, da je bila različica PHP, ki jo uporabljate, popravljena in znova zagnana. Ali se je pred popravkom kaj zgodilo, posodobitev ne pove.

Ime opisuje posledico: prek PHP lahko napadalec v najhujšem primeru pridobi ukazno vrstico, torej shell, na strežniku. Uradni oznaki sta številki CVE-2026-109618 in CVE-2026-109619.

Ne nujno. Nekateri ponudniki so spletne strani previdnostno odklopili, kot priporoča BSI (nemški zvezni urad za informacijsko varnost), kadar posodobitev ni takoj mogoča. To je zaščitni ukrep in ne dokaz napada.

Lahko zadošča, če ponudnik stanje paketa potrdi pisno in so bili vsi procesi PHP znova zagnani. Prikazana številka različice sama ni dokaz, ker distribucije nameščajo backporte. Ali je bil strežnik že prej napaden, popravek tako ali tako ne pove.

Ne nujno. BSI (nemški zvezni urad za informacijsko varnost) priporoča, da se spletni strežniki začasno odklopijo z omrežja, če posodobitev ni mogoča takoj. Ali je to potrebno pri vas, skupaj odločimo po popisu.

Ne. PHP2Shell je v samem PHP, ne v CMS-ju. Posodobitev CMS-ja ostaja smiselna, a te ranljivosti ne zapre.

Za te različice projekt PHP ne izdaja več uradnih posodobitev, samo minimalne backporte izvorne kode za 7.4, 8.0 in 8.1. Strežnik začasno zavarujemo in z vami načrtujemo prehod na podprto različico.

Po 33. členu GDPR od trenutka, ko je upravljavec izvedel za kršitev. Kdaj je to v posameznem primeru treba šteti, je pravna presoja. Zato natančno dokumentirajte, kdaj je kdo imel katero informacijo.

Ne. Ranljivost sama še ni kršitev varstva osebnih podatkov. Prijava lahko postane obvezna, če obstajajo znaki, da so nepooblaščeni imeli ali bi lahko imeli dostop do takih podatkov in iz tega nastane tveganje za posameznike.

4. odstavek 33. člena GDPR dovoljuje, da se informacije posredujejo postopoma, če jih ni mogoče zagotoviti hkrati. Zamudo pri prijavi je treba utemeljiti. Čakanje na popolno jasnost zato praviloma ni razlog, da bi rok pustili poteči.

Prijavo mora podati upravljavec, torej praviloma podjetje, ki upravlja spletno stran. Obdelovalec, kot je ponudnik gostovanja, mora upravljavca po 2. odstavku 33. člena GDPR nemudoma obvestiti.

Pristojnemu nadzornemu organu za varstvo podatkov, v Sloveniji je to Informacijski pooblaščenec. Večina organov za to ponuja spletne obrazce.