PHP2Shell: kritični ranljivosti PHP in 10 nasvetov za varnejšo spletno stran

V zadnjih dneh sta bili razkriti dve kritični varnostni ranljivosti programskega jezika PHP, ki ga uporabljajo številne spletne strani, tudi WordPress, WooCommerce in Joomla. Ranljivosti CVE-2026-109618 in CVE-2026-109619 sta znani pod skupnim imenom PHP2Shell.

Pri WebiComu smo uvedli dodatne zaščitne ukrepe in začeli nameščati varnostne popravke, ko sta jih ponudnika CloudLinux in cPanel omogočila. V nadaljevanju pojasnjujemo nevarnost in deset praktičnih korakov, s katerimi lahko lastniki spletnih strani dodatno izboljšajo svojo varnost.

Kaj je PHP2Shell in zakaj je nevaren?

PHP2Shell je ime za dve kritični ranljivosti PHP (CVE-2026-109618 in CVE-2026-109619). V določenih okoliščinah lahko omogočita oddaljeno izvajanje zlonamerne kode brez prijave v spletno aplikacijo. Posledice lahko vključujejo nepooblaščen dostop do datotek, krajo podatkov, spremembe spletnih strani in namestitev zlonamerne kode. Sama uporaba PHP pa še ne pomeni, da je spletna stran okužena.

Kako smo se odzvali pri WebiComu?

Po objavi opozoril smo preverjali uporabljene različice PHP, uvedli oziroma preverili dodatna pravila ModSecurity, spremljali obvestila PHP, CloudLinux in cPanel ter nameščali popravke, ko so bili na voljo. Večino različic PHP smo do 22. oktobra že posodobili; pri preostalih je dokončanje odvisno od razpoložljivosti paketov. Dodatna zaščita ne nadomešča namestitve popravkov.

1. Redno posodabljajte WordPress in druge spletne aplikacije

Posodabljajte WordPress, Joomla, Drupal, PrestaShop in druge uporabljene sisteme. V WordPressu odprite Nadzorna plošča → Posodobitve. Pred večjimi posodobitvami izdelajte varnostno kopijo in preverite združljivost.

2. Posodobite vse vtičnike in teme

Posodobite aktivne vtičnike in temo. Nepotrebne ali opuščene vtičnike in teme odstranite, ne le izklopite. Izogibajte se piratskim plačljivim vtičnikom in preverite, ali razvijalci uporabljene razširitve še vzdržujejo.

3. Uporabljajte podprto različico PHP

V cPanelu preverite izbrano različico PHP in po preverjanju združljivosti preidite na novejšo, podprto izdajo. CloudLinux lahko varnostne popravke prenese tudi v starejše različice (backport), zato številka različice sama po sebi ni dokaz ranljivosti. Če niste prepričani, vprašajte vzdrževalca ali podporo.

4. Vključite dvostopenjsko prijavo (2FA)

Dvostopenjsko prijavo omogočite za WordPress administratorje, cPanel, uporabniški portal in druge pomembne račune, kjer je na voljo. Tako ukradeno geslo samo po sebi praviloma ne zadošča za prijavo.

5. Uporabljajte močna in različna gesla

Za WordPress, cPanel, FTP, e-pošto in druge storitve uporabljajte dolga, edinstvena gesla. Pri tem pomaga upravljalnik gesel. Če sumite na razkritje gesla, ga nemudoma zamenjajte.

6. Odstranite nepotrebne uporabniške račune

Preglejte, kdo ima dostop do spletne strani. Odstranite račune nekdanjih izvajalcev in vsakemu uporabniku dodelite le pravice, ki jih potrebuje.

7. Poskrbite za redne varnostne kopije

Redno varnostno kopirajte datoteke in podatkovne baze. Vsaj eno dodatno kopijo hranite zunaj strežnika in občasno preverite možnost obnove. Pred večjimi posodobitvami ustvarite svežo kopijo. Strežniške kopije ponudnika niso nadomestilo za lastno strategijo varovanja podatkov.

8. Zaščitite prijavo v WordPress

Poleg 2FA omejite ponavljajoče se neuspešne prijave in spremljajte sumljive dostope. Izberite preverjeno varnostno rešitev, združljivo z vašim okoljem, in ne nameščajte več vtičnikov z enakimi zaščitnimi funkcijami brez potrebe.

9. Redno preverjajte stanje spletne strani

Bodite pozorni na neznane administratorske uporabnike, nepojasnjene vtičnike, preusmeritve obiskovalcev, spremenjene datoteke, nenavadno odhodno pošto in nepričakovano porabo strežniških virov. Ob sumljivih znakih čim prej začnite preverjanje.

10. Poskrbite za redno vzdrževanje

Varnost ni enkratno opravilo. Določite odgovorno osebo ali izvajalca za redne posodobitve, varnostne kopije, spremljanje delovanja in odzivanje na incidente. To je še posebej pomembno za spletne trgovine in aplikacije z osebnimi podatki.

Ali posodobitev WordPressa odpravi PHP2Shell?

Ne. PHP2Shell je ranljivost v PHP, zato jo odpravljajo ustrezni popravki PHP na strežniku. Posodobitve WordPressa, vtičnikov in tem odpravljajo druge ranljivosti in ostajajo nujne. Zaščita strežnika in vzdrževanje spletne aplikacije se dopolnjujeta.

Kaj storiti, če sumite na vdor?

Če opazite sumljive datoteke, neznane uporabnike ali nenavadne spremembe, obvestite vzdrževalca in ponudnika gostovanja. Pred čiščenjem ohranite podatke, potrebne za analizo. Sama zamenjava gesla ali posodobitev vtičnika morda ne odstrani že nameščene zlonamerne kode.

Varnost je skupna odgovornost

WebiCom skrbi za strežniško infrastrukturo, varnostne popravke in dodatne zaščitne mehanizme. Lastniki in vzdrževalci spletnih strani pa morajo skrbeti za posodobljene aplikacije, varne dostope in lastne varnostne kopije. Če potrebujete pomoč, se obrnite na tehnično podporo WebiCom.

Uradni viri

Za dodatne informacije in spremljanje popravkov priporočamo uradni objavi:

• PHP – uradno varnostno obvestilo in izdaje popravkov
• CloudLinux – incident PHP2Shell in stanje varnostnih popravkov

Ekipa WebiCom