php2shell: što učiniti ako vaša web-stranica radi na PHP-u

Što se dogodilo

Sigurnosni tim PHP-a objavio je 21. listopada 2026. ispravke za CVE-2026-109618 i CVE-2026-109619 te obje ocijenio s CVSS v4.0 9,2, kritično. Obje mogu omogućiti udaljeno izvršavanje koda bez autentikacije: napadač koji može slati zahtjeve vašoj stranici može na poslužitelju izvršiti vlastiti kod s ovlastima web-poslužitelja (objava sigurnosnog izdanja PHP-a).

• CVE-2026-109618 (oštećenje memorije kad PHP-u ponestane memorije): prema riječima PHP-a, „obrada nedostatka memorije može prekinuti PHP dok su interni podaci zahtjeva tek djelomično inicijalizirani. Čišćenje zahtjeva tada može nevaljane podatke tretirati kao valjane.“ (u izvorniku: “out-of-memory handling can interrupt PHP while internal request data is only partially initialized. Request cleanup may then treat the invalid data as valid.”)
• CVE-2026-109619 (zaostalo stanje između zahtjeva): „interno stanje zahtjeva može preživjeti nakon što je memorija koja ga podupire već oslobođena. Kasniji zahtjev koji obrađuje isti PHP proces može upotrijebiti to zastarjelo stanje prije nego ga uobičajena inicijalizacija resetira.“ (u izvorniku: “request-owned internal state can survive after its backing memory has been freed. A later request handled by the same worker may use that stale state before normal initialization resets it.”) PHP među potvrđenim učincima navodi i otkrivanje memorije, koje može otkriti lozinke, tokene i API ključeve na poslužitelju (Tenable FAQ).

CVE oznake procurile su 20. listopada, pa je PHP izdanje pomaknuo za jedan dan unaprijed. Cloudflare je o prvim napadima izvijestio 21. listopada, a watchTowr o pokušajima iskorištavanja obiju ranjivosti (Tenable FAQ). Tretirajte to kao hitno.

Je li vaša stranica ugrožena?

Vrlo vjerojatno, ako radi na PHP-u, a inačicu PHP-a niste ažurirali nakon 21. listopada. PHP navodi da su ugrožene sve instalacije koje poslužuju web-zahtjeve: PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Najrizičnijim smatra mod_php, za koji postoji dokazan exploit koji se izvršava prije bilo kojeg koda aplikacije (objava sigurnosnog izdanja PHP-a).

• Koje aplikacije: svaka PHP aplikacija, uključujući WordPress, Drupal, Joomla, Magento i Laravel. Greška je u samom PHP-u, a ne u vašoj temi ili dodacima (Patchstack).
• Koje inačice: Wiz, koji je greške prijavio, navodi da je barem jedna od dviju prisutna u svim inačicama PHP-a sve do 5.4 (Patchstack).
• Nisu ugrožene: stranice koje ne rade na PHP-u, na primjer statičke stranice i većina stranica na Vercelu, Netlifyju, Cloudflare Pagesu ili GitHub Pagesu. Web-stranice koje izrađujemo i hostamo u paketu web-stranice ne rade na PHP-u.

Koje su inačice PHP-a popravljene

• PHP 8.5: popravljeno u 8.5.12
• PHP 8.4: popravljeno u 8.4.27
• PHP 8.3: popravljeno u 8.3.36
• PHP 8.2: popravljeno u 8.2.35 (podrška za PHP 8.2 završava 31. prosinca 2026.)
• PHP 8.1 i starije: nema službenog izdanja. Sigurnosni tim PHP-a objavio je minimalne povratne prijenose (backport) izvornog koda za 7.4, 8.0 i 8.1; neke Linux distribucije i pružatelji dugoročne podrške izdaju vlastite popravljene pakete. Inačice od 5.4 do 7.3 od projekta PHP uopće ne dobivaju ispravak.

Linux distribucije često zadržavaju vlastite brojeve inačica i ispravke prenose unatrag. Na poslužitelju s paketima distribucije provjerite sigurnosnu obavijest svoje distribucije, a ne samo broj inačice.

Kako provjeriti inačicu PHP-a

• WordPress: u administraciji otvorite Alati → Zdravlje web-stranice → Informacije → Poslužitelj (Tools → Site Health → Info → Server). Tamo je navedena inačica PHP-a.
• Zajednički hosting: nadzorna ploča hostinga (cPanel, Plesk, DirectAdmin ili ploča vašeg pružatelja) prikazuje inačicu PHP-a za svaku stranicu, obično pod „PHP verzija“ ili „PHP postavke“.
• Vlastiti poslužitelj: web-poslužitelj može koristiti drugi PHP od naredbenog retka. Provjerite inačicu koju vaša stranica stvarno koristi, na primjer pločom pružatelja ili zaglavljem X-Powered-By, ako je prikazano, a ne samo s php -v.

Što učiniti danas

Na zajedničkom ili upravljanom hostingu

PHP ažurira pružatelj hostinga, a ne vi. Pitajte ga još danas, pisanim putem, sadrži li inačica PHP-a koju vaša stranica koristi već ispravke za CVE-2026-109618 i CVE-2026-109619. Ako vam ploča omogućuje odabir inačice PHP-a, prebacite se na najnoviju popravljenu inačicu koju vaša stranica podržava.

Na vlastitom poslužitelju ili VPS-u

1. Ažurirajte PHP na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili instalirajte popravljeni paket svoje distribucije.
2. Ponovno pokrenite sve PHP procese: PHP-FPM skupine, Apache s mod_php, LiteSpeed. Proces koji već radi zadržava stari kod dok se ne pokrene ponovno.
3. Ponovno izgradite i postavite kontejnere. Docker slika izgrađena prije 21. listopada i dalje sadrži stari PHP.
4. Provjerite sve što uključuje PHP: testna okruženja, stare projekte, nadzorne ploče i web-poštu.

Na PHP-u 8.1 ili starijem

Nadogradnju na podržanu inačicu planirajte odmah. Do tada od pružatelja hostinga ili dobavljača zatražite povratno preneseni ispravak ili stranicu skinite s interneta ako sadrži išta osjetljivo. Patchstack upozorava i na neslužbene dodatke za „popravak“ i kopirane isječke koda (Patchstack).

Ako ne možete odmah ažurirati

PHP je objavio privremene postavke koje smanjuju izloženost. Prema riječima PHP-a, „potpuno rješenje je samo ažuriranje“: te mjere „ne čine instalaciju sigurnom“ (objava sigurnosnog izdanja PHP-a).

; CVE-2026-109619
session.upload_progress.enabled = 0
; PHP 8.5 only
fatal_error_backtraces = 0

; CVE-2026-109618: no memory limit applications can override, and small request bodies
php_admin_value[memory_limit] = -1   ; FPM pool syntax
post_max_size = 8M                   ; 32M if the site needs uploads

• upload_max_filesize neka bude manji od post_max_size, a veličinu zahtjeva, broj polja i dijelove multipart ograničite na web-poslužitelju ili proxyju.
• Uz memory_limit = -1 umjesto toga postavite ograničenje memorije kontejnera ili cgroupa. PHP kaže da se ne koriste RLIMIT_AS ni RLIMIT_DATA, koji mogu izazvati ranjivu grešku.
• Cloudflare je uveo WAF pravila za poznate obrasce napada, i na besplatnim planovima. Oni su privremeno rješenje i pomažu samo ako vaš poslužitelj prima promet isključivo preko Cloudflarea (Patchstack).

Znakovi da je vaša stranica možda bila meta

Wiz navodi ove znakove. Nisu dokaz ni u jednom ni u drugom smjeru (Patchstack):

• neobični multipart zahtjevi nakon kojih slijede greške zbog ograničenja memorije ili ponovljeni odgovori HTTP 500;
• neočekivano veliki ili neispravno oblikovani kolačići PHPSESSID;
• PHP radnici koji se bez objašnjenja ponovno pokreću.

Ako ih primijetite ili ako je vaša stranica nakon 20. listopada radila na staroj inačici PHP-a dostupnoj s interneta, najprije ažurirajte, a zatim poslužitelj tretirajte kao moguće kompromitiran. Promijenite lozinke i ključeve koje čuva (baza podataka, administratorski računi WordPressa, salt vrijednosti u wp-config.php, API ključevi i podaci za plaćanje), potražite administratorske račune i datoteke koje niste stvorili te, ako ste u dvojbi, vratite čistu sigurnosnu kopiju.