Ozbiljan propust u PHP-u: zašto sajt treba redovno održavati

PHP je 21. oktobra 2026. objavio hitne ispravke za dva kritična propusta, poznata pod imenom PHP2Shell. PHP je programski jezik na kojem radi veliki dio interneta: prema W3Techs, koristi ga oko 70% sajtova kod kojih se može utvrditi serverski programski jezik. Na njemu rade i WordPress, Joomla i Drupal. Kontakt forma, online prodavnica ili admin panel mogu da rade na PHP-u; tačnu tehnologiju tvog sajta može da provjeri hosting ili osoba koja ga održava.

Zamisli da tvoja zgrada ima zadnja vrata za koja niko od stanara ne zna, a neko je upravo otkrio kako se otvaraju bez ključa. Ovaj propust je nešto slično. Na ranjivom serveru napadač preko interneta, bez lozinke, može da pokrene svoj program. Tada može da ukrade podatke, na primjer lozinke ili podatke tvojih klijenata, da podmetne lažnu stranicu, da sa tvog sajta šalje spam ili da ga jednostavno obori.

Da. Amazon je zabilježio pokušaj napada 17. oktobra, četiri dana prije nego što je propust javno objavljen, a nakon objave je prema njihovim podacima počela široka eksploatacija. Napadači ne biraju sajtove samo ručno. Programi automatski pretražuju internet i traže ranjive instalacije, pa i mali sajt lokalnog biznisa može biti na meti.

Mnogi misle da je sajt gotov kada se napravi. Sajt više liči na auto: radi svaki dan, ali mu trebaju redovni servisi. Tehnologija na kojoj radi stalno se popravlja. Hosting može automatski da instalira dio tih popravki, ali neko treba da provjeri da li su primijenjene, da li sve i dalje radi i da napravi rezervnu kopiju za slučaj da nešto pođe naopako.

Kada se to ne radi, posljedice nisu samo tehničke. Sajt koji ne radi znači da te klijenti ne mogu naći ni kontaktirati. Google može da označi zaraženi sajt kao opasan i da ga skloni iz pretrage. A ako procure podaci tvojih klijenata, to je problem povjerenja koji se teško popravlja.

PHP projekat redovno izdaje bezbjednosne ispravke za podržane verzije. PHP 8.1 i starije verzije više nijesu u toj podršci, mada pojedini hosting provajderi i dobavljači nude svoje zakrpe i za njih. Zato ne treba pretpostaviti da stari sajt nema ispravku, niti da je bezbjedan samo zato što radi: provjeri sa hostingom da li je zakrpa primijenjena i isplaniraj prelazak na podržanu verziju. To nije uvijek posao od pet minuta, ali je mnogo lakše planirati održavanje nego popravljati posljedice napada.

Pitaj osobu ili firmu koja održava tvoj sajt da li je primijenjena ispravka za PHP2Shell objavljena 21. oktobra. Ispravljene PHP verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35, pa im slobodno proslijedi ovu rečenicu. Hosting može da ugradi istu zakrpu u postojeći paket bez promjene prikazanog broja verzije, pa je važna i njegova potvrda. Ako je sajt na hostingu, provjeri da li je hosting poslao obavještenje o ovom propustu. Ako ne znaš ko održava tvoj sajt, to je prvi problem koji treba riješiti.