PHP2Shell napadi na servere više nisu teorijska opasnost iz bezbednosnog biltena. Cloudflare je u četvrtak, 22. oktobra, prijavio da su pokušaji zloupotrebe dve kritične PHP ranjivosti za nekoliko sati porasli sa hiljada na milione. Dobra vest je da zakrpe postoje. Loša vest: server koji i dalje koristi staru verziju PHP-a praktično čeka da ga automatizovani skener pronađe.
Najkraći savet je jednostavan: proverite koju verziju PHP-a koristi svaki javno dostupan sajt, instalirajte bezbednosno izdanje i restartujte PHP-FPM ili web server. Zakrpane verzije su PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ako održavanje nije moguće odmah, britanski NCSC i drugi nadležni timovi preporučuju privremeno isključivanje izloženog servisa umesto oslanjanja na sreću.
Zašto su PHP2Shell napadi toliko ozbiljni
Ranjivosti CVE-2026-109618 i CVE-2026-109619 nose ocenu 9,2 od 10 i mogu da omoguće neautentifikovano izvršavanje koda na serveru. Prevedeno sa bezbednosnog jezika: napadač u određenim uslovima može da pošalje posebno pripremljen zahtev i pokrene sopstveni kod bez korisničkog naloga. Posledice mogu biti krađa baze, menjanje sadržaja, ubacivanje zlonamernih skripti ili preuzimanje servera.
Ne znači da je svaki WordPress sajt automatski kompromitovan, niti da običan posetilac treba panično da menja telefon ili lozinku. Rizik je prvenstveno na strani vlasnika servera i hosting provajdera. Međutim, pošto PHP pokreće ogroman deo veba, automatizovani PHP2Shell napadi mogu da pretraže veliki broj adresa mnogo brže nego što administratori ručno proveravaju sisteme.
Šta treba proveriti danas
- U komandnoj liniji proverite verziju naredbom
php -v, ali i verziju koju stvarno koristi web server. - Ažurirajte pakete preko podržanog repozitorijuma i restartujte PHP-FPM, Apache ili Nginx konfiguraciju koja ga poziva.
- Pregledajte WAF i access logove za nagli rast neobičnih zahteva, greške memorije i neočekivane procese.
- Napravite proverenu rezervnu kopiju pre većeg zahvata, ali je ne držite javno dostupnu u web direktorijumu.
Kod deljenog hostinga korisnik često nema pristup operativnom sistemu. Tada u kontrolnom panelu treba proveriti izabranu PHP granu i otvoriti tiket provajderu ako zakrpana verzija nije ponuđena. Ne pretpostavljajte da je promena završena samo zato što panel prikazuje nov broj; testirajte sajt, administratorski deo, plaćanja i zakazane zadatke nakon ažuriranja.
Zakrpa je početak, ne kraj provere
Posle ažuriranja pregledajte nove administratorske naloge, izmene dodataka, cron zadatke, upload direktorijume i odlazni saobraćaj. Ako server pokazuje tragove upada, samo instaliranje zakrpe ne uklanja ono što je napadač možda već postavio. U tom slučaju potrebno je incidentno čišćenje iz poznate čiste kopije, rotacija tajni i promena lozinki za bazu, SSH i administratorske naloge.
Korisno je uključiti i višefaktorsku prijavu, ograničiti pristup administraciji i proveriti da li su WordPress, teme i dodaci ažurni. To nisu zamene za PHP zakrpu, već dodatni slojevi. Naš raniji vodič kroz CISA preporuke za odbranu od ransomwarea objašnjava kako rezervne kopije, segmentacija i nadzor smanjuju štetu kada prvi sloj zaštite ipak popusti.
Kako znati da ste stvarno bezbedniji
Zabeležite verziju pre i posle izmene, vreme restarta i rezultat testa. Proverite da li svi sajtovi na istom serveru koriste novu granu, jer jedan zaboravljeni virtual host može ostati na starom runtime-u. Ako koristite kontejner, izgradite novu sliku sa zakrpljenim paketima umesto da menjate samo privremeni kontejner koji će nestati pri sledećem deployu.
PHP2Shell napadi na servere su dobar podsetnik da “automatsko ažuriranje” nije univerzalna magija. Hosting provajder može zakrpiti osnovu, ali vlasnik aplikacije i dalje mora da proveri kompatibilnost i tragove zloupotrebe. Ovog puta nema smisla čekati vikend: zakrpa je dostupna, skeniranje je masovno, a vreme radi za napadače.
PHP2Shell napadi na servere: prioriteti bez panike
Najpre zakrpite javno izložene sisteme, a zatim proverite tragove. Nije svaki neuspešan zahtev dokaz upada, ali nagli skok grešaka, nov proces pod nalogom web servera ili nepoznata datoteka u upload direktorijumu zaslužuju hitnu proveru. Sačuvajte logove pre čišćenja: bez njih ćete možda ukloniti simptom, ali nećete znati kojim putem je napadač ušao niti da li je ostavio drugi pristup.
Važna nijansa je da javni demonstracioni kod ne radi protiv svake podrazumevane PHP instalacije. To smanjuje verovatnoću univerzalnog napada jednim zahtevom, ali ne čini ranjivost bezazlenom. Serveri sa dodatnom lokalnom ranjivošću ili specifičnom konfiguracijom i dalje mogu biti ugroženi. Zato je razuman odgovor zakrpa i kontrolisana provera, a ne gašenje svake prodavnice napamet.
Glavni izvor i detalji: CERT-EU.
