PHP2Shell: да ли је ваш сајт погођен?

PHP је 21. октобра 2026. године објавио хитне исправке за две рањивости, CVE-2026-109618 и CVE-2026-109619. PHP Foundation и Tenable их заједно називају PHP2Shell. Према оцени по CVSS v4.0, обе имају тежину 9,2 од 10. За власника фирме то значи једну практичну ствар: треба проверити PHP на серверу, а не само контролну таблу сајта.

Шта је PHP2Shell, једноставно објашњено?

PHP је програмско окружење које извршава велики део кода у позадини сајта. WordPress, WooCommerce, Joomla и Drupal су системи изграђени на PHP-у. Када посетилац отвори страницу, пошаље образац или обави куповину, сервер користи PHP да обради захтев и врати резултат.

PHP2Shell је слабост у самом том окружењу. Према информацијама PHP-а које преноси Tenable, обе рањивости могу да се искористе удаљено, без лозинке или корисничког налога нападача. У случају успешног напада, он може да изврши сопствени код на серверу. То више није проблем само једне странице или једног додатка, већ основе на којој сајт ради.

Према наводима Help Net Security, погођене су PHP инсталације које обрађују веб захтеве. То укључује PHP-FPM, Apache са mod_php, php-cgi, FrankenPHP и LiteSpeed. Власник не мора да зна коју од ових технологија сервер користи. Треба да добије тачну верзију PHP-а и провери да ли је она исправљена.

Зашто ово утиче на WordPress, WooCommerce, Joomla-у и Drupal?

Ове платформе нису сам PHP, али раде на њему. WordPress сајт може да има најновију верзију језгра и све додатке, док његов сервер користи стару верзију PHP-а. У том случају ажурирања сајта не решавају проблем у окружењу за извршавање.

Исто важи и за WooCommerce. Продавница може да прима поруџбине, шаље обавештења и нормално ради за купце, док PHP на серверу остаје рањив. То што сајт видљиво ради није доказ да је његова основа ажурирана.

Joomla и Drupal такође зависе од верзије PHP-а на којој су инсталирани. То не значи да је сваки сајт на овим системима нападнут. Значи да сваки такав сајт треба проверити на нивоу сервера.

Које верзије PHP-а су исправљене?

Према исправкама које је објавио PHP, погођене гране имају следеће верзије које затварају PHP2Shell:

Ако сервер ради на старијој верзији у одговарајућој грани, није добио исправку. Према PHP-у, за PHP 7.4, 8.0 и 8.1 постоје исправке у изворном коду, али није објављена званична верзија. За PHP 5.4 до 7.3 PHP нема исправку.

Зато одговор „сајт је на PHP-у 8“ није довољан. Треба знати тачну мању верзију, на пример да ли је 8.4.27, а не само 8.4. Према Tenable-у и истраживању Calif-а, најстарији погођени код потиче из PHP-а 5.4, што значи да је слабост остала непримећена више од десет година.

Како да проверите да ли је ваш сајт погођен?

1. 01
   Утврдите ко је одговоран за сервер

   Проверите уговор или преписку са хостингом, веб агенцијом или фирмом за одржавање. Код неких сајтова једна фирма је израдила сајт, а друга управља сервером. Важно је да питање стигне до особе која може да види и промени PHP.

2. 02
   Затражите тачну верзију PHP-а

   Пошаљите кратко питање: „Која тачна верзија PHP-а ради на серверу нашег сајта и да ли је инсталирана исправка против PHP2Shell-а?“ Не прихватајте одговор који се своди на „сервер је ажуриран“ или „WordPress је ажуран“.

3. 03
   Упоредите верзију са званично исправљеним верзијама

   Ако је верзија старија од 8.2.35, 8.3.36, 8.4.27 или 8.5.12 у одговарајућој грани, сајт је изложен. Према упутствима за проверу, PHP 8.1 и старије верзије такође треба сматрати изложеним.

4. 04
   Затражите план ако ажурирање није могуће одмах

   Понекад стари сајт зависи од старог додатка или кода који не ради са новим PHP-ом. У том случају затражите конкретан план: резервну копију, тестно окружење, проверу компатибилности и рок за ажурирање. Није довољно оставити проблем без датума и одговорне особе.

Ако користите Cloudflare, према Help Net Security, у заштитном зиду су објављена правила за познате начине напада, укључујући и бесплатне налоге. То може да смањи ризик од познатих напада, али не замењује ажурирање PHP-а. За систем који не може одмах да се ажурира, NCSC препоручује да се размотри привремено искључивање.

Шта смо урадили за сајтове које хостујемо и одржавамо?

21. октобра 2026. године, на дан објављивања исправке, ажурирали смо PHP на свим клијентским сајтовима на PHP-у које хостујемо и одржавамо. Они раде на PHP 8.4.27, исправљеној верзији за ову грану. 22. октобра поново смо проверили сервере и нема ажурирања PHP-а на чекању.

Провера је обухватила WordPress сајтове и онлајн продавнице које се налазе на нашим серверима. То укључује и продавнице са WooCommerce-ом. После ажурирања проверили смо да сви ови сајтови нормално одговарају.

Сајтови, онлајн продавнице и системи које израђујемо на Next.js-у, Node.js-у и .NET-у не користе PHP. Из тог конкретног разлога нису погођени PHP2Shell-ом. То не значи да је сваки систем заштићен од сваке будуће рањивости, већ само да се ова рањивост у PHP-у не односи на њих.

Код сајтова које не хостујемо или не одржавамо, не можемо да претпоставимо која је верзија PHP-а. Она мора да се провери у стварном хостинг окружењу. Ако је сајт израдила друга фирма, али је остао без текућег одржавања, можемо да започнемо преглед и утврдимо шта треба поправити. То је део наше услуге преузимања и одржавања туђег сајта.

Шта значи „исправљено“, а шта не значи?

Исправљено значи да је конкретна рањивост PHP2Shell отклоњена коришћењем подржане верзије или применом исправке. То је важан, али ограничен закључак.

То не значи да је сајт заувек заштићен. И даље постоје други могући проблеми: застарели додаци, слабе лозинке, неправилно додељена права приступа, пропусти у самом сајту, недостатак резервних копија или проблеми у другој услузи на серверу. Зато ажурирање PHP-а треба да буде део сталног одржавања, а не једнократан разлог да се провере обуставе.

Ако имате сопствени сервер или хостинг којим управља ваш тим, питајте ко прати хитна ажурирања и како се проверава обнављање из резервне копије. Код спољне фирме затражите исто у писаној форми. Тако се нећете ослањати на нејасно уверавање да је „све у реду“.

Шта да урадите ако вам нико не даје јасан одговор?

Прикупите адресу сајта, податке о хостингу и назив фирме која га одржава. Пошаљите питање о тачној верзији PHP-а и затражите потврду након ажурирања. Ако је сајт стар, затражите и проверу компатибилности пре него што се промена изврши.

Ако је ваш сајт на PHP-у и нисте сигурни да ли је ажуриран, пишите нам. Проверићемо верзију PHP-а и ажурирати сервер када имамо приступ и када је промена технички могућа. За текуће праћење, резервне копије и ажурирања погледајте одржавање сајта, а за управљано серверско окружење, хостинг за сајт. Питање нам можете послати преко наше контакт странице.