# Хакнат сървър – какво да направя? Първи стъпки и спешна помощ

> Хакнат сървър, какво да направя? Не трийте нищо, запазете следите, изяснете достъпите. Поемаме отдалечено. Обадете се или пишете по WhatsApp.

Източник: https://phpsos.de/bg/soforthilfe/server-gehackt-was-tun/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Засегнати ли сте? Обадете се. Помагаме Ви. Ако подозирате, че сървърът Ви е хакнат, първо е важно едно: да запазите следите. Поемаме отдалечено, от първото съобщение, картината на положението, запазването, ограничаването, почистването и документацията, докато инцидентът бъде приключен.

> **Действайте веднага:**
> **Сега не трийте нищо и не инсталирайте наново.** Не възстановявайте и резервно копие, преди да е направено запазване. Който разчиства, унищожава точно следите, които показват как е влязъл атакуващият. [Съобщете за спешен случай](https://phpsos.de/bg/notfall/) и ще действаме заедно.

## Засегнати ли сте? Признаци, че един сървър е хакнат

Подозрението е достатъчно, за да се свържете с нас. Не е нужно да доказвате атаката. Типични указания са:

- Уеб сървърът или PHP-FPM стартира процеси като `sh` или `bash`. Това е силен предупредителен сигнал, който обясняваме на страницата [Уеб сървърът стартира шел](https://phpsos.de/bg/blog/webserver-startet-shell/).
- В папки за качване, кеш или временни файлове има нови или непознати PHP файлове.
- Има cron задачи, които никой не е създавал, или SSH ключове, които никой не може да отнесе към себе си.
- Натоварването е високо без видима причина или сървърът установява необичайни изходящи връзки.
- Имейлите от Вашия сървър попадат в спама или се отхвърлят.
- Хостинг доставчикът, клиент или предупреждение в браузъра съобщава за зловреден код.
- В CMS се появяват администраторски акаунти, които никой не е създавал.

Допълнителни признаци ще намерите в [Компрометиран ли съм вече?](https://phpsos.de/bg/php2shell/bin-ich-gehackt-anzeichen/). Ако се потвърждават няколко точки, третирайте сървъра като хакнат, докато не се докаже обратното.

## Хакнат сървър: какво да направите веднага

1. **Запазете спокойствие и не променяйте нищо.** Не изтривайте файлове, не правете „бързи поправки“, не инсталирайте наново върху старото състояние.
2. **Запишете момента.** Отбележете какво сте наблюдавали и кога, и кой последен е правил промени по системата.
3. **Запазете логовете.** Протоколите за достъп, грешки и системата не бива да се ротират или презаписват. При PHP2Shell специализираната преса съветва сървърните логове от 20.10.2026 г. нататък да се запазват.
4. **Намалете повърхността за атака.** Изключете сървъра от публичната мрежа или го блокирайте с файъруол, ако е възможно да изтичат данни. Не го изключвайте просто така.
5. **Съберете достъпите.** Кой има достъп по SSH, до панела, FTP, CMS и базата данни? Сменяйте паролите едва след уточняване и само от чисто устройство.
6. **Определете лице за контакт.** Трябва да има достъпно лице с право на решение, включително за изключване и рестартиране.
7. **Свържете се с нас сега.** Обадете се или пишете по WhatsApp. Всичко останало изясняваме с Вас стъпка по стъпка.

## Изключване от мрежата или оставяне да работи?

Това е най-честият въпрос в първите минути и няма общ отговор. Ако работи онлайн магазин с плащания или портал с данни на клиенти, обикновено защитата на данните тежи повече. Тогава временното изолиране е правилно, например чрез страница за поддръжка или правило във файъруола, което допуска само Вашите администратори.

Принудителното изключване обаче рядко е най-добрата първа стъпка, защото в оперативната памет има следи, които рестартирането изтрива. По-добре е да се направи образ на системата, например снимка (snapshot) при хостинг доставчика, преди да е променено каквото и да било. При положението с PHP2Shell BSI препоръчва уеб сървърите да се изключат временно от мрежата, ако актуализацията не е възможна веднага. Това не означава, че всеки изключен сървър е хакнат.

Дали във Вашия случай да изолирате, да ограничите или да оставите да работи, решаваме заедно с Вас въз основа на това, което има на системата.

## Ново изграждане или почистване?

Мнозина най-много искат веднага да изградят сървъра наново. Това не е грешно, но едва след запазването. Иначе остава неясно как е влязъл атакуващият и същият път стои отворен и за новата система. Преценката описва страницата [Нова инсталация на сървър или почистване?](https://phpsos.de/bg/blog/neu-aufsetzen-oder-bereinigen/), а запазването преди ново изграждане – страницата [Запазете доказателствата, преди да инсталирате наново](https://phpsos.de/bg/blog/beweise-sichern-vor-neuinstallation/).

Важно: актуализацията на PHP сама не решава проблема. Тя затваря уязвимостта, но не премахва вече внедрен зловреден софтуер. Как да намерите следите в протоколите, е описано в [Анализ на логовете на уеб сървъра след атака](https://phpsos.de/bg/ratgeber/logfiles-auswerten/). И изхождайте от това, че данни за достъп от конфигурационни файлове са били прочетени: достъпите до базата данни, пощата и API трябва да влязат в списъка на тайните, които подлежат на подмяна.

## Как конкретно помага PHP SOS?

1. **Преглед на положението:** Изясняваме с Вас какво е наблюдавано, кои системи може да са засегнати и какви данни има на тях.
2. **Запазване и затваряне:** Запазваме файловете, базата данни и логовете, преди да е променено нещо. След това ограничаваме атаката и затваряме входната врата, при PHP2Shell с пач и рестартиране на всички PHP процеси.
3. **Проверка и почистване:** Търсим уеб шелове, задни вратички, cron задачи и чужди достъпи и ги премахваме. Подробности има в [Премахване на зловреден софтуер и уеб шелове](https://phpsos.de/bg/leistungen/malware-entfernung/).
4. **Заздравяване и отчет:** Получавате документация с времева линия, места на находките и препоръки. Ако инцидентът излиза извън рамките на един сървър, преминаваме към структурирано [реагиране при инциденти (Incident Response)](https://phpsos.de/bg/leistungen/incident-response/).

## Какво не бива да правите

В стреса се случват избегними грешки. Не изтривайте „подозрителни“ файлове само по подозрение, без преди това да сте ги запазили. Не изпълнявайте команди от форуми, които не разбирате. И не инсталирайте плъгини за сигурност на сървър, който евентуално вече е компрометиран: зловредният код може да заблуди скенерите, а резултатът Ви приспива с фалшива сигурност. Внимание и при съвети да се блокират всички заявки с определен идентификатор на сесия; специализирани автори изрично отхвърлят такива съвети за PHP2Shell. Собствената си версия можете да проверите сигурно с `php -v` и поглед в changelog на пакета във Вашата дистрибуция, защото backport корекциите често оставят номера на версията същия.

## Какво да ни изпратите

- кратко описание: какво е направило впечатление, от кога, какво е било променено последно
- вид на системата: собствен сървър, vServer, управляван сървър (managed) или хостинг пакет
- достъп по SSH или през панела, или разрешение да разговаряме с Вашия хостинг доставчик
- указания за налични резервни копия и тяхната възраст
- предупредителни съобщения от хостинг доставчика, браузъра или клиенти дословно

Ако нещо от това липсва, пак се свържете с нас. Пропуските запълваме в разговор.

## Защо PHP SOS

Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, работим отдалечено, без пътуване, в цяла Германия и Европа. Всяка стъпка се документира и открито разграничаваме доказаното, вероятното и неизвестното. Обещания, които никой не може да изпълни, не даваме. Преглед на последващата работа има в [Контролния списък след хакерска атака](https://phpsos.de/bg/ratgeber/checkliste-nach-dem-hack/), а цялата спешна помощ – в [Хакнат уебсайт? Спешна помощ отдалечено](https://phpsos.de/bg/leistungen/website-gehackt-notfallhilfe/). За задължението за уведомяване при пробиви в данните прочетете [правилото за 72 часа](https://phpsos.de/bg/compliance/dsgvo-meldepflicht-72-stunden/); правната оценка остава за длъжностните лица по защита на данните и адвокатите.

## Засегнати ли сте? Обадете се. Помагаме Ви.

Не чакайте подозрението да прерасне в по-голяма щета. Поемаме от първото съобщение и оставаме, докато инцидентът бъде приключен и документиран. [Съобщете за спешен случай сега](https://phpsos.de/bg/notfall/).


## Често задавани въпроси

**Хакнат сървър: да го изключа ли веднага?**  
Не прибързано. Изключването може да унищожи нетрайни следи в оперативната памет. По-добре е сървърът да се отдели от мрежата или да се изолира с файъруол и първо да се запази. Ако не сте сигурни, свържете се с нас предварително.

**Как да разбера дали сървърът ми наистина е хакнат?**  
Указания дават процеси, които стартира уеб сървърът, нови PHP файлове в папки за качване или кеш, непознати cron задачи и SSH ключове, както и необичайни изходящи връзки. Сигурност дава едва анализът на логовете и файловете. Няма потвърдени индикатори за PHP2Shell, откриването се основава на анализ на поведението.

**Достатъчна ли е актуализация на PHP, ако сървърът вече е хакнат?**  
Не. Пачът затваря входната врата, но не премахва вече внедрен зловреден софтуер и не доказва, че преди това нищо не се е случило. След актуализацията трябва да се рестартират и всички PHP процеси.

**Трябва ли да съобщя за хакнат сървър?**  
Ако е възможно да са засегнати лични данни, може да се наложи уведомяване на надзорния орган в рамките на 72 часа. Оценката правят Вашето длъжностно лице по защита на данните или Вашият адвокат; ние предоставяме техническите факти за това.

**Мога ли сам да почистя хакнатия сървър?**  
При малки системи е възможно, но рисковано: който премахва само видимите файлове, често пропуска задни вратички, cron задачи или достъпи. Ние проверяваме дали почистването е достатъчно, или е по-разумно ново изграждане от чисти източници.

## Източници

- [BSI: Федерална служба за информационна сигурност на Германия](https://www.bsi.bund.de/)
- [ОРЗД чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)