Priročniki: varnost PHP in strežnikov
Strokovni članki za skrbnike in razvijalce: prepoznavanje webshellov, utrjevanje php.ini, analiza dnevnikov, varno programiranje.
Časovnica PHP2Shell: kronologija od 17. do 25. oktobra 2026
Vsi dokumentirani datumi v zvezi s PHP2Shell na enem mestu, od prvega opaženega poskusa napada do stanja 25. 10. 2026, in kaj iz tega izhaja za vaše preverjanje.
Preberite več →02Potrditev posodobitve PHP pri ponudniku gostovanja: kako vprašate po stanju popravkov
Prikazana različica PHP po PHP2Shell malo dokazuje. S to predlogo od ponudnika gostovanja zahtevate potrditev, ki jo lahko dokumentirate.
Preberite več →03Prepoznavanje in odstranitev webshella
Kako na spletnih strežnikih PHP najdete stranska vrata, ne da bi uničili sledi, in zakaj samo brisanje redko zadošča.
Preberite več →04Backdoor v WordPressu: sistematično iskanje stranskih vrat
Kje se stranska vrata v WordPressu običajno skrivajo in kako jih skrbniki z WP-CLI in nekaj ukazi sistematično poiščejo.
Preberite več →05Varna konfiguracija php.ini
Katere nastavitve v php.ini zmanjšajo napadalno površino, kako jih zaščitite pred prepisovanjem in kaj velja po PHP2Shell dodatno.
Preberite več →06Pravilna uporaba PHP disable_functions
Z disable_functions blokirate tvegane funkcije PHP. Kako seznam prilagodite svoji aplikaciji, ne da bi spletna stran odpovedala.
Preberite več →07open_basedir in izolacija po spletnih straneh
Kako z open_basedir, lastnimi sistemskimi uporabniki in ločenimi pooli PHP-FPM preprečite, da bi vdor v eno spletno stran prizadel vse druge na strežniku.
Preberite več →08Pravice datotek na spletnem strežniku
Zakaj spletni strežnik ne sme spreminjati lastne kode, katere pravice so smiselne za datoteke in mape ter kako hitro preverite dejansko stanje.
Preberite več →09composer audit: preverjanje odvisnosti na ranljivosti
Kako razvijalci z composer audit najdejo znane varnostne ranljivosti v knjižnicah, preverjanje avtomatizirajo in se izognejo tipičnim napakam pri deploymentu.
Preberite več →10PHP End of Life: tveganja zastarelih različic
Kaj pomeni konec podpore različice PHP, katere veje po PHP2Shell še prejemajo uradne popravke in kako migracijo naredite načrtljivo.
Preberite več →11Preprečevanje SQL injection v PHP
Kako razvijalci SQL injection v aplikacijah PHP zanesljivo izključijo s prepared statements, seznami dovoljenih vrednosti in minimalnimi pravicami podatkovne zbirke.
Preberite več →12Preprečevanje XSS v PHP: zanesljiva obramba pred Cross-Site Scriptingom
Kako razvijalci preprečijo Cross-Site Scripting v aplikacijah PHP: kodiranje glede na kontekst, samodejni escaping v predlogah, čiščenje HTML in Content Security Policy.
Preberite več →13Varna izvedba nalaganj datotek v PHP: varnost nalaganja v PHP
Obrazci za nalaganje so pogosta pot za webshelle. Kako pravilno preverite tipe datotek, datoteke varno shranite in preprečite, da strežnik izvaja naložene skripte.
Preberite več →14Zaščita sej v PHP: varnost sej v PHP v praksi
Seje uporabnike ohranjajo prijavljene in so zato vredna tarča. Kako varno nastavite piškotke, ID-je sej in mesta shranjevanja ter uvedete opozorilo PHP2Shell glede upload progress.
Preberite več →15Nevarna deserializacija v PHP: unserialize in varnost
unserialize() s tujimi podatki lahko v najhujšem primeru vodi do izvajanja kode. Kako ga nadomestite z JSON, omejite tam, kjer mora ostati, in najdete tvegana mesta v kodi.
Preberite več →16Preprečevanje Local File Inclusion v PHP: LFI in RFI
Če include ali require prevzameta poti iz zahteve, lahko napadalci naložijo tuje datoteke. Kako varno zgradite izbiro strani in predloge ter strežnik dodatno zaščitite.
Preberite več →17Zaščita skrbniških prijav pred brute force: zaščita pred brute force za vsako prijavo
Samodejni poskusi gesel zadenejo vsako dosegljivo prijavno stran. Kako napadalce zavrete z rate limitingom in Fail2ban, račune zaščitite z drugim faktorjem in gesla pravilno shranite.
Preberite več →18DDoS ali vdor hekerjev? Pravilna ocena napada
Počasna spletna stran, visoka obremenitev, nenavadne datoteke: ali za tem stoji DDoS ali vdor, odloča o pravilnem odzivu. Kako stanje ocenite z nekaj preverjanji.
Preberite več →19Analiza dnevnikov spletnega strežnika po napadu: pravilno branje dnevnika dostopov
Dnevniške datoteke so po napadu pogosto najpomembnejša sled. Kako pravilno zavarujete dnevnike dostopov, napak in PHP, najdete sumljive zahteve in se izognete tipičnim napakam pri analizi.
Preberite več →20Uvedba dvofaktorske avtentikacije za skrbniške dostope
Ukraden geslo ne sme zadoščati za prevzem vašega strežnika ali trgovine. Kako izberete ustrezen postopek, zaščitite vse skrbniške dostope in načrtujete zasilne dostope.
Preberite več →21Strategija varnostnih kopij strežnika: varnostne kopije po pravilu 3-2-1
Varnostna kopija pomaga le, če preživi napad in jo je mogoče povrniti. Kako pravilo 3-2-1 uvedete za spletne strežnike in pravilno načrtujete hranjenje in preizkuse.
Preberite več →22Varnostne glave za spletne strani: pravilna nastavitev security headers
Varnostne glave brskalniku naročijo, naj bolje zaščiti vaše obiskovalce. Kako najpomembnejše glave nastavite v Nginxu in Apacheju, postopoma uvedete Content Security Policy in preverite rezultat.
Preberite več →23Odstranitev opozorila Googla „Ta spletna stran je bila vdrta“
Opozorilo o vdoru v iskalnih rezultatih stane obiskovalce in zaupanje. Kako spletno stran temeljito očistite, najdete skrite strani s spamom in v Search Console zahtevate ponovni pregled.
Preberite več →24Kontrolni seznam po vdoru: 20 točk za nadaljnjo obravnavo
Po napadu šteje pravilen vrstni red. Ta kontrolni seznam vas v 20 točkah vodi skozi zajezitev, zavarovanje dokazov, čiščenje, nove dostope, obveznosti in dokumentiran zaključek.
Preberite več →Vsaka ura šteje. Pišite nam zdaj.
Na kratko opišite sistem, različico PHP in opažanje. Odzovemo se, razjasnimo stanje in delamo na daljavo, dokler incident ni zaključen in dokumentiran.