Naređuje li CERT-EU gašenje web stranica? Istina o PHP propustu

Kratki odgovor: CERT-EU ne naređuje gašenje web stranica. Službena preporuka je odmah nadograditi PHP na zakrpanu verziju (8.5.12, 8.4.27, 8.3.36 ili 8.2.35). Privremenu izolaciju stranice od interneta treba razmotriti samo ako nadogradnja u tom trenutku nije izvediva. Za većinu WordPress i WooCommerce stranica to je posao od pola sata.

Bilo je 6 ujutro, kava na Rivi još se hladila, a ja sam već prolazio cPanele naših klijenata. Na mobitelu su stizale poruke s istim pitanjem: "Moramo li ugasiti stranicu?" Internetom se proširila priča da EU traži gašenje webova u roku od 24 sata. Ajmo vidjeti što zapravo piše u službenim izvorima.

Što se točno dogodilo s PHP-om u listopadu 2026.?

PHP tim je 21. listopada 2026. objavio zakrpe za dva kritična propusta, CVE-2026-109618 i CVE-2026-109619, poznata i pod nazivom php2shell. Oba imaju CVSS ocjenu 9.2 i napadaču mogu omogućiti pokretanje vlastitog koda na poslužitelju bez ikakve prijave.

Prvi propust nastaje kada PHP tijekom obrade zahtjeva ostane bez memorije i zatim pokuša očistiti podatke koji nisu do kraja postavljeni. Drugi ostavlja zaostalo stanje jednog zahtjeva koje sljedeći zahtjev na istom procesu može iskoristiti.

Ključan detalj za vlasnike stranica: napad se događa prije nego se WordPress uopće pokrene. Sigurnosni dodatak unutar WordPressa zato ga ne može zaustaviti.

Traži li CERT-EU stvarno da ugasite svoju web stranicu?

Ne traži. CERT-EU u svom upozorenju 2026-018 savjetuje organizacijama da zakrpe sustave odmah, a izolaciju javno dostupnih aplikacija navodi kao zamjensku mjeru kada zakrpa nije moguća. Isto stoji u zajedničkoj izjavi ENISA-e, Europske komisije, Europola i mreže nacionalnih CSIRT timova.

Razlika je velika. Ugašen web shop ne prodaje, a nadograđen radi dalje kao da se ništa nije dogodilo. Panika je loš savjetnik, pogotovo kad je rješenje jedna postavka u hosting panelu.

Je li vaša stranica stvarno ugrožena ovim propustom?

Ugrožena je svaka stranica koja radi na PHP-u starijem od zakrpanih verzija. To uključuje WordPress, WooCommerce, Joomlu, PrestaShop i velik dio klasičnih CMS sustava. Prema nizozemskom NCSC-u, rizik postoji za PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed.

Datadog Security Labs navodi da je AWS zabilježio pokušaje napada već 17. listopada, četiri dana prije javne objave. Zato ovo nije tema za "pogledat ću idući tjedan".

Stranice izrađene u Reactu kao statički web, poput onih koje radimo kroz izradu web stranica , na poslužitelju ne pokreću PHP pa ih ovaj propust ne dotiče.

Koje korake treba napraviti da zaštitite WordPress stranicu?

Napravite sigurnosnu kopiju. U cPanelu ili hosting panelu pokrenite backup datoteka i baze prije bilo kakve promjene.

Provjerite verziju PHP-a. U WordPressu je vidite pod Alati, Zdravlje stranice, Informacije, Poslužitelj.

Nadogradite PHP. U panelu odaberite 8.4 ili 8.3 i provjerite da hosting nudi zakrpanu podverziju (8.4.27 ili 8.3.36). Ako je ne nudi, pitajte podršku kada je instaliraju.

Testirajte stranicu. Prođite naslovnicu, košaricu, kontakt formu i administraciju. Stari dodaci ponekad ne vole noviju verziju PHP-a.

Ako nadogradnja nije moguća, zaštitu postavite ispred PHP-a, na reverse proxy ili vatrozid (npr. Cloudflare), dok hosting ne pripremi zakrpu.

Jedno upozorenje stručnjacima s društvenih mreža: Datadog je provjerio da isključivanje opcije session.upload_progress u php.ini ne štiti u potpunosti. Jedini pravi lijek je zakrpa.

Što ako koristite stariju verziju poput PHP 7.4 ili 8.1?

Te verzije više nemaju redovitu podršku, iako je PHP tim objavio minimalne zakrpe izvornog koda za 7.4, 8.0 i 8.1. Na dijeljenom hostingu ih rijetko tko instalira ručno. Ovo je dobar trenutak za prelazak na podržanu verziju i redovito tehničko održavanje stranice , jer spora i nesigurna stranica gubi i posjetitelje i pozicije na Googleu.

Kako vam Start Digital može pomoći s provjerom stranice?

Klijenti na našem održavanju već su nadograđeni, bez prekida rada. Ako niste sigurni u kakvom je stanju vaša stranica, pošaljite nam link na info@startdigital.hr ili nazovite 091 529 5987. Provjeru i intervenciju radimo po redoslijedu prijave. Uz to vam možemo predložiti i kako stranicu dugoročno povezati s digitalnim marketingom da donosi upite.

Izvori (provjereno 22.10.2026.)

CERT-EU, Security Advisory 2026-018, 21.10.2026.

ENISA, zajednička izjava o kritičnim PHP propustima, 21.10.2026.

NCSC UK, Critical security issue affecting PHP

NCSC-NL, php2shell repozitorij

Datadog Security Labs, PHP2Shell analiza, 21.10.2026.