PHP2Shell: ranljivost PHP in WordPress, pregled in pomoč
Preverite PHP2Shell in naročite pomoč v Sloveniji: posodobitev PHP, popravilo WordPressa po nadgradnji, odprava težav WooCommerce in migracija gostovanja.
Read this article in English →
Varnostni popravki za PHP2Shell so že na voljo. Če vaše podjetje uporablja WordPress, WooCommerce ali drugo aplikacijo PHP, naj ponudnik gostovanja potrdi popravek PHP, ki dejansko poganja spletno stran. Samo posodobitev WordPressa ne zadošča, ker je ranljiv sam PHP. Prve popravljene različice so 8.2.35, 8.3.36, 8.4.27 in 8.5.12. Uradno varnostno obvestilo PHP, 21. oktober 2026.
Potrebujete pomoč pri izvedbi? Flisko slovenskim podjetjem pomaga preveriti stanje, posodobiti PHP, popraviti WordPress, ki je prenehal delovati po nadgradnji gostovanja, in po potrebi preseliti stran. Naročite nujni pregled ali začnite z orodjem za preverjanje PHP2Shell.
Preverjeno: 21. 10. 2026. Vodnik temelji na objavljenih obvestilih in izdajah projekta PHP. Aikido je na PHP2Shell opozoril med usklajenim razkritjem; uradni popravki so zdaj objavljeni.
Kaj je PHP2Shell in zakaj je pomemben?
PHP2Shell označuje dve kritični napaki pri ravnanju s pomnilnikom in stanjem zahtevkov v PHP. Obe imata po objavljenih obvestilih oceno resnosti CVSS v4.0 9,2:
- CVE-2026-109618: ob pomanjkanju pomnilnika lahko notranji podatki zahtevka ostanejo v neveljavnem stanju. Ob nadaljnjem čiščenju lahko to omogoči oddaljeno izvajanje kode. Obvestilo PHP za CVE-2026-109618.
- CVE-2026-109619: proces lahko ohrani sklice na pomnilnik prejšnjega zahtevka in jih uporabi po sprostitvi tega pomnilnika. Možnost izrabe je odvisna od nastavitev in delovanja aplikacije. Obvestilo PHP za CVE-2026-109619.
Raziskovalci so napade prikazali na WordPressu, Drupalu in Joomli v nadzorovanih okoljih. To ne dokazuje, da je mogoče enako izkoristiti vsako namestitev. Pregled raziskovalcev PHP2Shell opisuje tudi možno razkritje občutljivih podatkov iz pomnilnika procesov. Nepreverjeno okolje PHP obravnavajte kot nujno vzdrževalno nalogo, ne kot dokaz, da je bilo vaše podjetje že napadeno.
Katere različice PHP odpravijo ranljivost?
Namestite popravljeno izdajo svoje veje ali novejšo varnostno izdajo iz zaupanja vrednega, podprtega vira. Tabela prikazuje prve izdaje s popravki; če obstaja novejša ustrezna izdaja, ni razloga za nameščanje starejše.
| Trenutna veja PHP | Prva popravljena uradna izdaja | Naslednji korak |
|---|---|---|
| PHP 8.2 | 8.2.35 | Namestite popravek in načrtujte prehod na novejšo podprto vejo. |
| PHP 8.3 | 8.3.36 | Posodobite vsa okolja, ki poganjajo aplikacijo. |
| PHP 8.4 | 8.4.27 | Posodobite in preverite zagnane procese. |
| PHP 8.5 | 8.5.12 | Posodobite in preizkusite ključne funkcije strani. |
| PHP 8.1 ali starejši | Odvisno od ponudnika; brez podprte uradne izdaje | Pridobite dokazilo o popravku ponudnika in načrtujte migracijo. |
Sama številka različice ni vedno dovolj. Distribucije Linuxa lahko varnostni popravek prenesejo v starejši paket, ne da bi spremenile osnovno številko PHP. Ubuntu na primer za Ubuntu 24.04 kot popravljen paket PHP 8.3 navaja 8.3.6-0ubuntu0.24.04.13. Primerjati je treba celotno različico paketa in obvestilo za pravi operacijski sistem. Ubuntu USN-8948-1.
PHP 8.1 in starejše veje nimajo več uradne podpore projekta PHP. Varnostna podpora za PHP 8.2 se konča 31. decembra 2026. Če ga še uporabljate, poleg takojšnjega popravka načrtujte prehod na dolgoročneje podprto vejo. Uradni roki podpore PHP.
Preverite svojo spletno stran
Naš pregledovalnik PHP2Shell omogoča začetni pregled javnih podatkov spletne strani in ročno primerjavo različice PHP. Preverjajte samo strani, ki jih imate v lasti ali za katere imate dovoljenje. Pregled je pasiven: ne poskuša izkoristiti ranljivosti in ne pošilja zahtevkov za izčrpavanje pomnilnika.
Rezultat je izhodišče za preverjanje, ne potrdilo o varnosti. CDN, predpomnilnik ali skrita različica lahko onemogočijo prepoznavo strežnika od zunaj. Starejša prikazana različica lahko vsebuje popravek ponudnika. Tudi novejša številka ne potrdi, da so bili ponovno zagnani vsi procesi ali da prej ni prišlo do vdora. Stanje potrdite s ponudnikom gostovanja oziroma skrbnikom.
Najprej preverimo dejstva.
Pregled javnih signalov PHP in WordPressa. Ali pa primerjajte različico, ki jo je potrdil vaš gostitelj.
Vnesite samo javni naslov, brez skrivnosti. Rezultata ne shranimo v bazo; za omejevanje zlorab uporabimo zgoščeni oznaki IP-ja in domene. Gostitelj vidi običajen obisk. Politika zasebnosti.
Kaj naj lastnik WordPressa ali WooCommerce naredi danes?
Prikazano različico PHP poiščite v Orodja → Zdravje spletišča → Informacije → Strežnik oziroma v angleškem vmesniku Tools → Site Health → Info → Server. PHP na strežniku upravlja ponudnik gostovanja; skrbniški dostop do WordPressa še ne pomeni pravice do posodobitve PHP. Navodila WordPress za nadgradnjo PHP.
Določite osebo, ki bo uskladila izvedbo in zbrala dokazila:
| Vaša situacija | Kaj storiti | Kaj naj potrdi izvajalec |
|---|---|---|
| Deljeno ali upravljano gostovanje | Ponudnika prosite za preverbo obeh ranljivosti za vaše domene. | Paket, povezavo do obvestila in uporabo popravka v zagnanih procesih. |
| VPS, lasten strežnik ali vsebniki | Skrbnik naj posodobi vsa ustrezna okolja in zamenja ali ponovno zažene procese. | Različico paketa ali slike ter stanje po posodobitvi. |
| Star vtičnik ne deluje na novejšem PHP | Združljivost preizkusite na testni kopiji; vtičnik popravite ali zamenjajte. | Delovanje obrazcev, prijave, opravil in po potrebi nakupa. |
| Gostovanje ne more potrditi popravka | Zahtevajte konkreten načrt in preverite selitev na podprto okolje. | Ciljno okolje, obseg selitve in načrt preklopa. |
| Pojavijo se neznane datoteke, uporabniki ali preusmeritve | Ohranite dnevnike in kopije ter naročite pregled suma vdora. | Ugotovitve in ukrepe za omejitev incidenta, ločeno od stanja popravkov. |
Pri spletni trgovini preverite pot od košarice do potrditve, povratne klice plačilnega sistema, zalogo in e-pošto ob naročilu. Pri predstavitveni strani oddajte testno povpraševanje in preverite dostavo. Uspešno odprta naslovnica še ne pomeni, da deluje vse, od česar je odvisno poslovanje.
Pravila spletnega požarnega zidu in začasnih sprememb nastavitev ne obravnavajte kot trajno rešitev. Projekt PHP opozarja, da nastavitve ne zaprejo vseh poti napada. Skrbnik naj upošteva aktualno obvestilo in izvede dejansko posodobitev. Uradni ukrepi za PHP2Shell.
WordPress po nadgradnji PHP ne deluje: kaj storiti?
Če WordPress po spremembi PHP prikazuje HTTP 500, kritično napako ali prazno stran, preverite vzrok in ohranite okolje z varnostnim popravkom. Starejši vtičniki, teme in lastna koda imajo lahko težave z združljivostjo. Sama napaka še ne pove vzroka in ni dokaz napada PHP2Shell. Navodila WordPress o združljivosti s PHP.
Popravilo začnemo pri konkretni napaki:
- Zabeležimo spremembo in ohranimo podatke. Pridobimo prejšnjo in novo različico PHP, čas spremembe in ustrezne dnevnike napak. Pred posegom naredimo aktualno kopijo; povrnitev stare podatkovne baze trgovine lahko izbriše novejša naročila.
- Napako ponovimo na testni kopiji. Ugotovimo, ali jo povzroča vtičnik, tema, lastna koda ali nastavitev strežnika. Namestimo združljivo posodobitev, prilagodimo kodo ali zamenjamo nepodprto komponento.
- Pred ponovno objavo preverimo poslovne funkcije. Preizkusimo prijavo, obrazce, opravila ter pri WooCommerce še zaključek nakupa, povratne klice plačil in e-pošto ob naročilu. Preklop uskladimo z gostiteljem.
Če je začasna vrnitev na prejšnje okolje nujna, mora skrbnik najprej potrditi, da ciljna različica vsebuje popravka za obe ranljivosti PHP2Shell, tudi če ju je prenesel ponudnik. Preklop na nepopravljeno različico bi izpad zamenjal za varnostno izpostavljenost. Prenova pride v poštev, kadar s popravilom ne moremo zagotoviti vzdržnega delovanja; ni samodejna rešitev vsake napake.
Naročite popravilo WordPressa ali WooCommerce po nadgradnji PHP. Dodajte točno sporočilo napake in čas, ko se je pojavila.
Nadgradnja PHP, popravilo WordPressa ali migracija?
Najprej preverimo stanje. Pri Flisku lahko pregledamo gostovanje, podatke o paketu PHP, odvisnosti aplikacije in omejitve poslovanja. Pred izvedbo dobite predlog obsega in ceno. Če je gostitelj popravek že pravilno namestil in ni težav z združljivostjo, migracija morda sploh ni potrebna.
| Storitev | Kdaj je smiselna | Kaj lahko vključimo v dogovor |
|---|---|---|
| Pregled in odprava PHP2Shell | Ne poznate stanja popravkov ali skrbnik potrebuje pomoč. | Popis okolij, preverbo pri ponudniku, uskladitev posodobitve in zapis preverjanja. |
| Popravilo ali nadgradnja WordPressa in WooCommerce | Stran po spremembi PHP ne deluje ali stara koda preprečuje nadgradnjo. | Diagnozo napake, testno kopijo, odpravo nezdružljivosti, kopije in preizkus poslovnih funkcij. |
| Migracija WordPress gostovanja | Obstoječe gostovanje ne zagotavlja potrebnega okolja ali vzdrževanja. | Prenos datotek in podatkovne baze, načrt DNS, TLS in preverjanje preklopa. |
| Migracija stare aplikacije PHP | Aplikacija po meri je vezana na nepodprto vejo PHP. | Pregled odvisnosti, prilagoditve kode, načrt objave in prevzemne preizkuse. |
Ob selitvi se dogovorimo, kako obravnavati nova naročila in povpraševanja med preklopom, obstoječe URL-je, preusmeritve, analitiko, e-pošto in možnost povrnitve. Tako ohranimo poslovno uporabnost strani in upoštevamo njeno vidnost v iskalnikih. Povrnitev ne sme neopazno znova izpostaviti starega ranljivega okolja.
Naročite nujno pomoč za PHP in WordPress v Sloveniji
V sporočilo vključite naslov strani, ponudnika gostovanja, različico PHP, če jo poznate, in podatek, ali stran sprejema naročila, plačila ali rezervacije. Dodajte, ali imate aktualno varnostno kopijo in kdo upravlja strežnik. Gesel, zasebnih ključev in izvozov podatkov strank ne pošiljajte prek obrazca; dostop uredimo posebej.
Naročite nujni pregled PHP2Shell pri Flisko. Pred začetkom potrdimo razpoložljivost, predlagano delo in ceno. Za širši pregled lahko naročite tudi varnostni pregled spletne strani.
Pogosta vprašanja
Kaj je PHP2Shell?
PHP2Shell je skupno ime za kritični ranljivosti v samem PHP, CVE-2026-109618 in CVE-2026-109619. Glede na strežniško okolje in nastavitve lahko omogočita oddaljeno izvajanje kode brez prijave. Varnostni popravki PHP so bili objavljeni 21. oktobra 2026.
Katere različice PHP vsebujejo popravek za PHP2Shell?
Prve popravljene različice projekta PHP so 8.2.35, 8.3.36, 8.4.27 in 8.5.12. Namestite aktualno popravljeno izdajo podprte veje ali paket ponudnika, ki izrecno odpravlja obe ranljivosti, in ponovno zaženite ustrezne storitve ter procese PHP.
Ali posodobitev WordPressa odpravi PHP2Shell?
Sama posodobitev WordPressa ne posodobi PHP na strežniku. Različico in popravek PHP mora preveriti ponudnik gostovanja ali skrbnik strežnika. Posodobitve WordPressa, vtičnikov in tem ostajajo ločena vzdrževalna naloga.
Kaj storiti, če WordPress po nadgradnji PHP ne deluje?
Gostitelj naj potrdi uporabljeno različico PHP in preveri dnevnike napak, nato na testni kopiji preverite združljivost vtičnikov, teme in lastne kode. Ne preklopite na staro različico brez varnostnega popravka. Flisko lahko preveri napako, odpravi nezdružljivosti in preizkusi ključne funkcije, tudi nakup v WooCommerce, pred nadzorovano vrnitvijo v delovanje.
Ali spletni pregledovalnik PHP2Shell potrdi, da je stran varna?
Pasivni zunanji pregled ne more dokazati, da je ranljivost izkoristljiva, odpravljena ali odsotna. Strežnik lahko skrije različico PHP, posredniški strežnik zakrije izvor, paket ponudnika pa lahko vsebuje prenesen popravek. Potrebna je preverba dejanskega paketa na strežniku.
Ali moram zaradi PHP2Shell zamenjati WordPress?
PHP2Shell sam po sebi ne zahteva zamenjave WordPressa. Pogosto je potrebna preverjena varnostna posodobitev PHP. Migracija je smiselna, če gostovanje ne zagotavlja podprtega in popravljenega okolja ali če nezdružljivi vtičniki in stara koda onemogočajo vzdržno nadgradnjo.
Kdo v Sloveniji pomaga pri PHP2Shell in migraciji WordPressa?
Flisko podjetjem v Sloveniji ponuja pregled PHP2Shell, nadgradnje PHP, odpravljanje težav z združljivostjo WordPressa in WooCommerce ter migracije gostovanja in aplikacij. Nujni pregled naročite prek kontaktnega obrazca na strani PHP2Shell; obseg, razpoložljivost in ceno dogovorimo pred izvedbo.