Dana 21. listopada 2026. objavljene su zakrpe za dva kritična propusta u PHP-u, programskom jeziku na kojem radi većina web stranica. Propusti su dobili nadimak PHP2Shell. CERT.hr, nacionalni CERT, objavio je upozorenje isti dan.
Ako vaša stranica radi na WordPressu, Joomli, WooCommerceu ili nekom drugom sustavu napisanom u PHP-u, ovaj tekst je za vas. Ne treba vam tehničko znanje da biste ga pratili.
Što se dogodilo, ukratko
Propusti nose oznake CVE-2026-109618 i CVE-2026-109619 i ocijenjeni su ocjenom 9,2 od 10, što je kategorija "kritično". Prema CERT.hr-u, napadač ih može iskoristiti običnim web zahtjevom, bez lozinke, i na poslužitelju pokrenuti vlastiti kod. Drugim riječima, ne mora provaliti u vaš administratorski račun da bi preuzeo stranicu.
Detalji o propustima procurili su prije službene objave, što je prema CERT.hr-u povećalo rizik od napada i prije nego što su zakrpe bile dostupne.
PHP koristi otprilike 7 od 10 web stranica kojima se zna jezik poslužitelja (W3Techs, listopad 2026.), uključujući svaku WordPress stranicu.
Je li vaša stranica pogođena?
To ovisi o tome koju verziju PHP-a koristi vaš poslužitelj.
- Zakrpe su izašle za verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ako vaš hosting koristi te ili novije verzije, ova su dva propusta zatvorena.
- PHP 8.1 i starije verzije više ne dobivaju sigurnosne zakrpe (php.net). Za njih popravak ne postoji, a jedino rješenje je prelazak na podržanu verziju.
- PHP 8.2 prestaje dobivati zakrpe 31. prosinca 2026. Ako ste na 8.2, sad je dobar trenutak da isplanirate prelazak.
Na dijeljenom hostingu PHP ažurira pružatelj hostinga, ne vi. Zato je prvi korak razgovor s njim.
Pet pitanja za vaš hosting
Pošaljite ih podršci svog hostinga. Odgovori će vam reći gdje ste.
- Koju verziju PHP-a trenutno koristi moja stranica?
- Je li ta verzija zakrpana za CVE-2026-109618 i CVE-2026-109619, i od kojeg datuma?
- Ako koristim PHP 8.1 ili stariji, koje su moje mogućnosti prelaska na podržanu verziju?
- Hoće li moja stranica raditi na novijoj verziji PHP-a, ili trebam prvo provjeriti dodatke i temu?
- Čuvate li zapise pristupa (access logove) za razdoblje prije zakrpe i mogu li ih dobiti ako zatrebaju?
Zakrpa zatvara vrata, ali ne kaže je li netko već ušao
Ovo je dio koji se najčešće preskače. Zakrpa sprječava nove napade kroz ova dva propusta. Ne uklanja ništa što je napadač možda ostavio na poslužitelju prije nje.
CERT.hr zato u slučaju sumnje preporučuje provjeriti web direktorije na pojavu novih skripti i zakazanih zadataka. Napadači najčešće ostavljaju dvije stvari:
- skrivena vrata: malu skriptu među datotekama stranice koja im kasnije omogućuje povratak, i kad je propust zakrpan;
- zakazane zadatke: naredbe koje poslužitelj sam pokreće u pravilnim razmacima, primjerice da ponovno postave skrivena vrata ako ih netko obriše.
Neki zlonamjerni kod vlasniku pokazuje urednu stranicu, a posjetitelje šalje drugamo. Zato "kod mene sve izgleda normalno" nije dokaz da je stranica čista.
Što možete napraviti sami, danas
- Pošaljite hostingu pet pitanja iznad. To je najvažniji korak i ne zahtijeva nikakvo tehničko znanje.
- Provjerite administratorske račune. U WordPressu otvorite Korisnici i pogledajte postoji li administrator kojeg ne prepoznajete. Bivši zaposlenici i stare agencije često i dalje imaju pristup.
- Napravite sigurnosnu kopiju i provjerite da se može vratiti. Kopija koju nikad niste probali vratiti nije pouzdana kopija.
- Ažurirajte WordPress, dodatke i temu. Ovi propusti su u PHP-u, ali zastarjeli dodaci ostaju najčešći put kojim napadači ulaze.
Kada potražiti pomoć
Potražite pomoć ako vaš hosting ne može potvrditi verziju ili zakrpu, ako ste na PHP-u 8.1 ili starijem, ako ste primijetili nove administratore, datoteke koje ne prepoznajete, neobična preusmjeravanja ili nagli pad posjeta iz Googlea, ili ako na stranici obrađujete narudžbe i podatke kupaca pa vam ni dan zastoja nije prihvatljiv.
Kako stoji vaša stranica?
Pokrenite besplatnu provjeru: pročitamo ono što vaša stranica javno pokazuje, bez lozinki i bez pristupa. Ako želite da netko redovito prati i krpa vašu stranicu, pogledajte pakete zaštite.
Izvori: CERT.hr, upozorenje od 21. listopada 2026.; php.net, podržane verzije; W3Techs, listopad 2026.
