PHP2Shell: Kritična ranjivost PHP-a koja može ugroziti WordPress stranicu

PHP2Shell naziv je za dvije ozbiljne sigurnosne ranjivosti u PHP-u koje su javno objavljene 21. listopada 2026. godine. Problem je posebno važan za vlasnike web stranica jer napad u određenim okolnostima može omogućiti napadaču izvršavanje vlastitog koda na poslužitelju, bez prethodne prijave na stranicu. Budući da WordPress, WooCommerce i mnoge druge web aplikacije koriste PHP, ova ranjivost nije nešto što bi vlasnici web stranica trebali zanemariti. Dobra je vijest da su za podržane verzije PHP-a objavljene sigurnosne zakrpe. Sada je važno provjeriti koristi li vaša stranica sigurnu verziju i je li poslužitelj pravovremeno ažuriran.

Što je zapravo PHP2Shell?

PHP je programski jezik koji radi na poslužitelju i omogućuje funkcioniranje velikog broja web stranica. Kada otvorite WordPress stranicu, PHP obrađuje zahtjeve, dohvaća podatke iz baze i priprema sadržaj koji se prikazuje u pregledniku.PHP2Shell nije naziv za zlonamjerni WordPress dodatak niti za virus koji se jednostavno instalira na računalo. Riječ je o dvjema ranjivostima unutar samog PHP okruženja. Ranjivosti su evidentirane pod oznakama CVE-2026-109618 i CVE-2026-109619. Obje su ocijenjene kritičnima, s ocjenom ozbiljnosti 9,2 od 10 prema sustavu CVSS v4.0.Problem nastaje zbog načina na koji PHP u određenim situacijama obrađuje memoriju i završava obradu zahtjeva. Napadač može poslati posebno oblikovan zahtjev koji iskorištava takvo ponašanje. Ako je poslužitelj ranjiv i ispunjeni su potrebni uvjeti, posljedica može biti izvršavanje neovlaštenog koda.

Drugim riječima, napadač potencijalno može dobiti mogućnost izvođenja naredbi na poslužitelju na kojem se nalazi vaša web stranica.

Više o PHP na linku .

Zašto je PHP2Shell toliko ozbiljan?

Kod mnogih sigurnosnih problema napadač prvo mora pronaći ranjivi dodatak, ukrasti lozinku ili dobiti pristup administratorskom računu. Kod PHP2Shella takva prijava nije nužna za poznate napadačke scenarije. To znači da sama činjenica da imate jaku administratorsku lozinku ili dvofaktorsku autentifikaciju ne uklanja ovu ranjivost.

Ako je PHP okruženje nezaštićeno, moguće posljedice uključuju:

• Neovlašten pristup poslužitelju – napadač može pokušati izvršavati vlastiti kod unutar dostupnih ovlasti.
• Krađu osjetljivih podataka – ovisno o razini pristupa, ugroženi mogu biti podaci iz baze, konfiguracijske datoteke i drugi podaci dostupni procesu.
• Postavljanje zlonamjernih datoteka – napadač može pokušati dodati datoteke koje mu omogućuju daljnji pristup.
• Preusmjeravanje posjetitelja – kompromitirana stranica može prikazivati neželjeni sadržaj ili preusmjeravati korisnike na sumnjive stranice.
• Prekid rada web stranice – napad može utjecati na dostupnost stranice ili opteretiti poslužitelj.

Stvarni opseg štete ovisi o konfiguraciji poslužitelja, ovlastima PHP procesa i drugim zaštitnim mehanizmima. Ipak, zbog mogućnosti izvršavanja koda na daljinu, ovo je ranjivost koju treba riješiti bez nepotrebnog odgađanja.

Jesu li WordPress stranice ugrožene?

WordPress koristi PHP, pa se ranjivost može odnositi i na WordPress stranice koje rade na pogođenom PHP okruženju.Važno je razumjeti da problem nije nužno u WordPressu, temi ili dodatku. Čak i ako su WordPress, WooCommerce i svi instalirani dodaci ažurirani, stranica može ostati izložena ako poslužitelj koristi ranjivu verziju PHP-a.

Isto vrijedi za web trgovine, portale i druge aplikacije koje koriste PHP.

S druge strane, nije dovoljno samo pogledati broj verzije prikazan u WordPress administraciji i zaključiti da je poslužitelj siguran. Neki pružatelji hostinga mogu primijeniti sigurnosne zakrpe bez promjene broja verzije, a kod pojedinih starijih izdanja dostupne su i zakrpe koje održava dobavljač.

Zato je potrebno provjeriti stvarno stanje PHP okruženja kod pružatelja hostinga.

Koje verzije PHP-a treba ažurirati?

PHP tim objavio je sigurnosne verzije 21. listopada 2026. godine. Za glavne podržane grane to su:

Ove verzije uključuju zakrpe za navedene ranjivosti. https://www.php.net/archive/2026.php#2026-10-21-5

Što je s PHP-om 8.1 i starijim verzijama?

Ovdje treba biti posebno oprezan. PHP 8.1 i starije grane više nisu redovito podržane od strane glavnog PHP projekta, pa za njih nije uvijek dovoljno instalirati uobičajeno ažuriranje.Pojedini pružatelji hostinga i distributeri mogu objaviti vlastite sigurnosne zakrpe za starije verzije. Zbog toga je potrebno provjeriti je li konkretna instalacija zakrpana, a ne samo pretpostaviti da je sigurna zato što prikazuje određeni broj verzije. Ako koristite staru verziju PHP-a, preporučljivo je planirati prelazak na podržanu granu koja je kompatibilna s vašom web stranicom.

Kako provjeriti koristi li vaša stranica ranjivu verziju PHP-a?

Ako imate WordPress stranicu, početnu provjeru možete napraviti i sami.

1. Provjerite PHP verziju u WordPressu

Prijavite se u WordPress administraciju i otvorite:

Alati → Zdravlje web-stranice → Informacije → Poslužitelj

Na tom mjestu možete pronaći podatak o PHP verziji koju WordPress koristi.

Zabilježite prikazanu verziju i usporedite je s objavljenim sigurnosnim izdanjima.

2. Provjerite postavke hostinga

Ako imate pristup korisničkom sučelju hostinga, potražite odjeljak za upravljanje PHP verzijama. Naziv se razlikuje ovisno o pružatelju usluge, a može se nalaziti u alatima poput cPanela ili Pleska.

Nemojte naslijepo mijenjati PHP verziju na aktivnoj web stranici. Nova verzija može uzrokovati probleme s kompatibilnošću starijih dodataka, tema ili prilagođenog koda.

3. Zatražite potvrdu od pružatelja hostinga

Ako nemate pristup postavkama poslužitelja ili niste sigurni je li zakrpa primijenjena, obratite se hostingu i zatražite potvrdu da PHP okruženje na kojem se nalazi vaša stranica nije izloženo ranjivostima PHP2Shell.

To je posebno važno ako vaša stranica koristi stariju verziju PHP-a ili ako hosting održava više različitih PHP instalacija.

Što ako ne možete odmah ažurirati PHP?

U takvoj situaciji najvažnije je kontaktirati pružatelja hostinga ili osobu koja održava poslužitelj.

Postoje određene privremene mjere kojima se može smanjiti izloženost pojedinim načinima iskorištavanja ranjivosti. Međutim, one nisu zamjena za odgovarajuću sigurnosnu zakrpu i ne jamče da je sustav zaštićen.Primjerice, određene postavke PHP-a mogu ograničiti neke napadačke putove, ali njihova učinkovitost ovisi o konfiguraciji i načinu na koji poslužitelj obrađuje zahtjeve.Nemojte nasumično mijenjati postavke poput memorijskih ograničenja, obrade datoteka ili PHP sesija samo na temelju savjeta s interneta. Nepravilna promjena može uzrokovati dodatne probleme, a da pritom ne ukloni ranjivost. Ako zakrpa nije dostupna, potrebno je s administratorom poslužitelja procijeniti rizik i odabrati odgovarajuće privremene mjere. U izrazito rizičnim situacijama može biti potrebno privremeno ograničiti javnu dostupnost sustava dok se problem ne riješi.

Što ako je web stranica već napadnuta?

Samo ažuriranje PHP-a ne znači nužno da je stranica potpuno sigurna ako je napadač ranije uspio iskoristiti ranjivost.

Ako sumnjate da je stranica kompromitirana, potrebno je napraviti dodatnu sigurnosnu provjeru.Obratite pozornost na nepoznate PHP datoteke, promjene u WordPress datotekama, nepoznate administratorske račune, sumnjive zakazane zadatke i neuobičajene aktivnosti na poslužitelju. Korisno je pregledati i dostupne zapise poslužitelja kako bi se utvrdilo postoje li znakovi pokušaja napada. Sumnjive promjene nemojte automatski brisati bez prethodne provjere. Ako postoji mogućnost ozbiljnog incidenta, sačuvajte sigurnosne zapise i zatražite stručnu analizu kako biste utvrdili što se dogodilo i postoji li još uvijek neovlašten pristup. Nakon toga potrebno je primijeniti odgovarajuće zakrpe, ukloniti posljedice napada, provjeriti pristupne podatke i vratiti stranicu u pouzdano stanje.

Kako redovito održavanje web stranice pomaže u ovakvim situacijama?

Sigurnost web stranice ne svodi se samo na ažuriranje WordPressa i dodataka. Važno je pratiti i PHP, bazu podataka, postavke hostinga te druge komponente o kojima ovisi rad stranice.Redovito održavanje pomaže pravodobno uočiti zastarjele verzije softvera, planirati sigurnosna ažuriranja i provjeriti radi li stranica ispravno nakon promjena.Kod većih ažuriranja potrebno je voditi računa i o kompatibilnosti. Zato je dobra praksa prije promjene napraviti sigurnosnu kopiju, provjeriti dostupnost zakrpe i nakon ažuriranja testirati ključne funkcionalnosti.To je posebno važno za web trgovine, stranice koje primaju upite putem obrazaca i poslovne web stranice koje su važne za svakodnevno poslovanje. Naravno, ni redovito održavanje samo po sebi ne može jamčiti potpunu sigurnost. Ono smanjuje rizik i omogućuje bržu reakciju kada se pojavi novi problem.

Zaključak: Nemojte zanemariti PHP2Shell

PHP2Shell pokazuje zašto sigurnost web stranice ovisi o više različitih dijelova sustava, a ne samo o WordPressu i njegovim dodacima. Ako vaša web stranica koristi PHP, provjerite koja je verzija aktivna, je li za nju dostupna odgovarajuća sigurnosna zakrpa i je li hosting već proveo potrebna ažuriranja. Ako niste sigurni u stanje svoje stranice, nemojte čekati da se pojave problemi. Pravodobna provjera i ažuriranje mogu napraviti veliku razliku u zaštiti podataka, poslovanja i posjetitelja.

Trebate pomoć oko sigurnosti i održavanja WordPress stranice?

Na Održavanjeweb.hr pomažemo u održavanju WordPress stranica i web trgovina, praćenju ažuriranja i provjeri tehničkih problema koji mogu utjecati na sigurnost i pouzdanost web stranice.

Javite nam se ako želite provjeriti stanje svoje stranice i dogovoriti redovito održavanje.

Održavanjeweb.hr – jer je bolje problem spriječiti nego naknadno popravljati posljedice.