# Blog: PHP2Shell, bezpečnost serverů a nouzová pomoc

> Blog o PHP2Shell a bezpečnosti serverů: situace, hosting, detekce, hardening, bezpečný vývoj, management a podklady pro rozhodování.

Zdroj: https://phpsos.de/cs/blog/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

Zařazení situace, návody pro administrátory a podklady pro rozhodování vedení. Seřazeno podle tématu, každý článek se zdroji.

- [PHP2Shell: co je doloženo a co ne](https://phpsos.de/cs/blog/php2shell-was-belegt-ist/): Kontrola faktů k PHP2Shell: která tvrzení pocházejí z primárních zdrojů, která z mediálních zpráv a které domněnky se neudrží.
- [Proč se zranitelnost PHP stala známou před záplatou](https://phpsos.de/cs/blog/php-luecke-vorzeitig-bekannt/): Podle zpráv se podrobnosti o PHP2Shell staly veřejnými před koncem embarga. Vysvětlujeme průběh a co znamená pro vaše plánování záplat.
- [Úřady odpojují weby od sítě: čemu se mohou firmy naučit](https://phpsos.de/cs/blog/behoerden-webseiten-offline/): Mohuč, hesenská zemská vláda a BKA preventivně odpojily weby. Co si z toho mohou firmy vzít pro vlastní rozhodování.
- [Výstražný stupeň BSI oranžový: co zařazení znamená](https://phpsos.de/cs/blog/bsi-warnstufe-orange-erklaert/): BSI zařadilo PHP2Shell do stupně 3 / oranžový. Co stupnice vypovídá, co ne a jak firmy zařazení převedou do rozhodnutí.
- [Co CERT-EU a CERT-Bund k PHP2Shell radí](https://phpsos.de/cs/blog/cert-eu-empfehlungen-php/): Oficiální místa se shodují: okamžitě záplatovat, jinak izolovat. Porovnáváme doporučení a ukazujeme, jak izolace vypadá v praxi.
- [Ochranná pravidla Cloudflare proti PHP2Shell: co dokážou a co ne](https://phpsos.de/cs/blog/cloudflare-waf-php2shell/): Cloudflare brzy nasadil ochranná pravidla proti PHP2Shell. Proč pomáhají, proč přesto nenahrazují aktualizaci PHP a která nastavení zkontrolovat.
- [22,6 milionu exponovaných instancí: jak čísla správně zařadit](https://phpsos.de/cs/blog/exponierte-instanzen-einordnen/): Unit 42, CybelAngel a další uvádějí k PHP2Shell velmi odlišná čísla. Vysvětlujeme, co se počítalo a které číslo je pro vás skutečně důležité.
- [PHP2Shell za pět minut: briefing pro vedení firmy](https://phpsos.de/cs/blog/php2shell-briefing-geschaeftsfuehrung/): Zranitelnost PHP2Shell na jedné stránce pro rozhodující osoby: situace, riziko, pět otázek na IT a rozhodnutí pro dnešek.
- [Bezpečnostní zranitelnost PHP jednoduše vysvětlená](https://phpsos.de/cs/blog/php-luecke-einfach-erklaert/): PHP2Shell pro netechniky: s příklady z běžného života, malým slovníčkem a třemi typickými výchozími situacemi, co dělat jako provozovatel webu.
- [PHP2Shell: 15 otázek zákazníků hostingu](https://phpsos.de/cs/blog/fragen-von-hosting-kunden/): Váš web leží u poskytovatele hostingu a chcete vědět, co musíte u PHP2Shell udělat sami? Zde je 15 nejčastějších otázek s krátkými odpověďmi.
- [Proč aktualizace WordPressu proti PHP2Shell nepomůže](https://phpsos.de/cs/blog/warum-wordpress-update-nicht-hilft/): Mnoho provozovatelů po titulcích aktualizovalo WordPress a cítí se v bezpečí. Proč to u PHP2Shell vyjde naprázdno a co místo toho platí.
- [PHP2Shell a Log4Shell: co mají zranitelnosti společné](https://phpsos.de/cs/blog/php2shell-und-log4shell/): Mnozí srovnávají PHP2Shell s Log4Shell z roku 2021. Co srovnání unese, kde pokulhává a jaká poučení z té doby pomáhají dnes.
- [Hromadné skeny nezáplatovaného PHP: jak probíhají automatizované útoky](https://phpsos.de/cs/blog/automatisierte-massenscans/): Po PHP2Shell prohledávají útočníci internet automatizovaně kvůli zranitelným serverům. Jak to probíhá, proč velikost nehraje roli a co vás chrání.
- [Časové okno mezi záplatou a útokem](https://phpsos.de/cs/blog/zeitfenster-patch-angriff/): U PHP2Shell byly pokusy o útok už před záplatou. Vysvětlujeme fáze časového okna, jak změřit své vlastní a jak ho zkrátit.
- [Po PHP2Shell: proč jsou další oznámení pravděpodobná](https://phpsos.de/cs/blog/weitere-php-meldungen/): PHP2Shell není záplatou z 21. října uzavřeno. Proč se dají očekávat navazující oznámení a jak na ně svůj tým připravit.
- [PHP2Shell: přehled situace po prvním týdnu](https://phpsos.de/cs/blog/lagebild-erste-woche/): Týden po prvním pozorovaném pokusu o útok: stav záplat, varování úřadů, útoků a odstavení, čistě rozdělený podle zdrojů.
- [Nebezpečné falešné rady k PHP2Shell, které právě kolují](https://phpsos.de/cs/blog/gefaehrliche-falschtipps/): Blokovat cookies, skrývat chybová hlášení, aktualizovat jen CMS: devět rad k PHP2Shell, které vytvářejí falešný pocit bezpečí, a co skutečně platí.
- [Změna verze PHP v zákaznické sekci hostingu](https://phpsos.de/cs/blog/php-version-hosting-aendern/): Jak v zákaznické sekci poskytovatele hostingu přepnout verzi PHP, kterou verzi zvolit a co zkontrolovat předtím a potom.
- [Debian a Ubuntu: je můj balíček PHP záplatován?](https://phpsos.de/cs/blog/debian-ubuntu-paket-gepatcht/): Které balíčky PHP Debian a Ubuntu proti PHP2Shell opravily, jak přesně porovnat nainstalovaný stav a na čem doklad ztroskotává.
- [RHEL, AlmaLinux a Rocky Linux: kontrola záplaty PHP](https://phpsos.de/cs/blog/rhel-almalinux-rocky-php/): Co Red Hat k PHP2Shell zveřejnil, jak na RHEL a jeho derivátech doložit stav balíčků a proč znovunačtení (reload) nestačí.
- [Repozitář sury.org: balíčky PHP z cizího zdroje](https://phpsos.de/cs/blog/sury-repository-php/): Mnoho serverů s Debianem a Ubuntu získává PHP z repozitáře sury. Co to po PHP2Shell znamená pro aktualizace, doklady a staré verze PHP.
- [Repozitář Remi: udržovat PHP na systémech RHEL aktuální](https://phpsos.de/cs/blog/remi-repository-php/): Remi dodává aktuální verze PHP pro rodinu RHEL, jako modul nebo instalovatelné souběžně. Jak ověřit stav po PHP2Shell a nezapomenout na žádnou větev.
- [Proč php -v po aktualizaci ukazuje stejné číslo](https://phpsos.de/cs/blog/php-v-zeigt-alte-nummer/): Aktualizace proběhla, ale php -v hlásí starou verzi. Většinou jde o backport, ne o chybu. Jak odlišit neškodné od skutečných problémů.
- [Doložení čísel CVE v changelogu balíčku](https://phpsos.de/cs/blog/cve-im-changelog-nachweisen/): Kdo musí vedení, auditorům nebo pojišťovnám doložit záplatu PHP, potřebuje víc než číslo verze. Takto se záznam v changelogu stane důkazem.
- [Změna hostera po bezpečnostním incidentu: na co dát pozor?](https://phpsos.de/cs/blog/hoster-wechseln-nach-vorfall/): Po incidentu je přání mít nového hostera pochopitelné. Aby si přechod neodnesl i útočníka, záleží na pořadí kroků a na výběru.
- [Více verzí PHP na jednom serveru: záplatovat každou zvlášť](https://phpsos.de/cs/blog/mehrere-php-versionen-server/): Na mnoha serverech běží vedle sebe tři, čtyři i více instalací PHP. Po PHP2Shell je nutné každou najít, aktualizovat a restartovat.
- [Vypnutí starých verzí PHP v hostingovém panelu](https://phpsos.de/cs/blog/alte-php-versionen-abschalten/): PHP2Shell je dobrý důvod zbavit se starých verzí PHP. Takto postupujte ve třech fázích, aby neočekávaně nevypadl žádný web ani cron úloha.
- [Plesk: porozumění handlerům PHP (FPM, FastCGI, modul Apache)](https://phpsos.de/cs/blog/plesk-php-handler/): Který handler PHP Plesk pro web používá, rozhoduje o izolaci, konfiguraci a riziku. Porovnání s ohledem na PHP2Shell.
- [CloudLinux a alt-php: co by měli vědět zákazníci hostingu](https://phpsos.de/cs/blog/cloudlinux-alt-php/): Na serverech CloudLinux často běží weby s vlastními balíčky alt-php. Každá z těchto verzí potřebuje vlastní záplatu a nasadit ji může jen provozovatel serveru.
- [PHP na NAS, firewallech a zařízeních: zapomenuté systémy](https://phpsos.de/cs/blog/php-auf-nas-und-appliances/): PHP nepoužívají jen webové servery. Postižena mohou být i systémy NAS, firewally a odborná zařízení s webovým rozhraním. Záplatovat tam zpravidla může jen výrobce, dostupnost řešíte sami.
- [PHP u cloudových a PaaS poskytovatelů: kdo záplatuje běhové prostředí?](https://phpsos.de/cs/blog/paas-php-laufzeit/): U platformních služeb závisí záplata PHP na provozním modelu. Rozhodující je běhové prostředí, které skutečně běží, nikoli lokální prostředí nebo kód aplikace.
- [Oficiální image PHP pro Docker: tagy, digesty a nové sestavení](https://phpsos.de/cs/blog/offizielle-php-docker-images/): Tag oficiálního image PHP je ukazatel, který se časem přesouvá na nové stavy. Kdo rozumí tagu, variantě a digestu, vybere správný image a může doložit stav záplat.
- [CI/CD: automatické nové sestavení imagí PHP](https://phpsos.de/cs/blog/php-images-in-ci-neu-bauen/): Image zastarává i bez změny kódu. Časově řízené buildy, kontrola verze a nasazení podle digestu dostanou záplaty PHP spolehlivě do produkce.
- [Dlouhodobá podpora starých verzí PHP: možnosti a hranice](https://phpsos.de/cs/blog/langzeitsupport-alte-php-versionen/): Kdo nemůže hned přejít z PHP 8.1 nebo starší, najde dlouhodobou podporu u distribucí, třetích stran a komerčních služeb. Co tyto cesty nabízejí, co potřebujete písemně a kde leží hranice.
- [Aktualizace PHP ve Windows](https://phpsos.de/cs/blog/php-unter-windows-aktualisieren/): Ve Windows neexistuje automatická aktualizace PHP. Kdo zvolí správnou variantu, ověří stažení a restartuje všechny procesy, nasadí záplatu PHP2Shell čistě na každý počítač.
- [Varovný signál: webový server spouští shell](https://phpsos.de/cs/blog/webserver-startet-shell/): Spustí-li proces PHP-FPM nebo webového serveru shell, je to jeden z nejsilnějších varovných signálů průniku. Jak zkontrolovat strom procesů, zařadit výjimky a vzorec trvale sledovat.
- [Hledání podezřelých procesů na serverech s Linuxem](https://phpsos.de/cs/blog/verdaechtige-prozesse-linux/): Škodlivé procesy se maskují neškodnými názvy, běží z dočasných složek nebo ze smazaných souborů. Několika čtecími příkazy najdete nápadnosti a zařadíte je.
- [Rozpoznání skrytých cron úloh jako zadních vrátek](https://phpsos.de/cs/blog/cronjobs-als-hintertuer/): Útočníci využívají plánované úlohy, aby se po vyčištění vrátili. Takto úplně zkontrolujete crontaby, adresáře cron, časovače systemd a úlohy at a poznáte podezřelé záznamy.
- [Hledání nedávno změněných souborů na webovém serveru](https://phpsos.de/cs/blog/geaenderte-dateien-finden/): Po možném průniku záleží na tom, co se na serveru změnilo. Takto hledat podle časových oken, správně používat mtime a ctime a porovnávat s balíčky, Gitem a zálohami.
- [Soubory PHP ve složce uploadu: správně vyložit místa nálezu](https://phpsos.de/cs/blog/php-dateien-im-upload-ordner/): Soubor PHP ve složce uploadu je téměř vždy poplašný signál, ale ne každý je škodlivý kód. Jak nález posoudit, aniž byste zničili stopy, a zjistit, zda jej někdo zavolal.
- [Rozpoznání zašifrovaného (obfuskovaného) kódu PHP](https://phpsos.de/cs/blog/verschleierter-php-code/): Nečitelný kód PHP s eval a base64_decode je klasický znak vloženého škodlivého kódu. Jaké vzory hledat, jak je bezpečně najít a kdy je zašifrování legitimní.
- [Kontrola odchozích spojení serveru](https://phpsos.de/cs/blog/ausgehende-verbindungen-pruefen/): Webový server především odpovídá na požadavky. Naváže-li sám spojení na neznámé cíle, může to znamenat řízení útočníkem nebo odliv dat. Jak odchozí provoz zkontrolovat a omezit.
- [Hledání cizích účtů správců v CMS a na serveru](https://phpsos.de/cs/blog/fremde-admin-konten-finden/): Neznámý administrátor je často nejjednodušší zadní vrátka. Takto hledat cizí účty úroveň po úrovni, i ty, které rozhraní skrývá.
- [Hledání a odstranění neznámých klíčů SSH](https://phpsos.de/cs/blog/ssh-schluessel-pruefen/): Vložený klíč SSH otevírá útočníkům dveře, i když jsou všechna hesla změněna. Takto najdete každý soubor authorized_keys a zkontrolujete každý záznam.
- [Kryptominer na webovém serveru: příznaky a postup](https://phpsos.de/cs/blog/kryptominer-auf-dem-server/): Trvale plný procesor, aniž by přibylo návštěvníků: to může být kryptominer. Jak zkontrolovat zatížení, najít proces a jeho mechanismy restartu a postupovat uspořádaně.
- [Server rozesílá spam: jak najít příčiny](https://phpsos.de/cs/blog/server-verschickt-spam/): Nedoručitelné maily, blacklisty, stížnosti: Když vlastní server rozesílá spam, stojí za tím většinou skript nebo unesená schránka. Jak najít zdroj.
- [SEO spam a cizí stránky v indexu Google](https://phpsos.de/cs/blog/seo-spam-im-google-index/): Pod vaší doménou se najednou umisťují stránky o lécích nebo značkovém zboží. Jak zjistit, odkud SEO spam pochází, a dostat ho zpět z indexu.
- [Web přesměrovává na cizí stránky](https://phpsos.de/cs/blog/website-leitet-um/): Návštěvníci končí na soutěžích nebo pochybných e-shopech, vy sami ale nic nevidíte? Jak najít vrstvu, ve které přesměrování sídlí, a odstranit ho.
- [Zajistěte důkazy dříve, než server nainstalujete znovu](https://phpsos.de/cs/blog/beweise-sichern-vor-neuinstallation/): Nová instalace odstraní útočníka, ale i všechny stopy. Kdo předem investuje hodinu do zajištění důkazů, bude později umět říct, co se stalo.
- [Vytvoření časové osy incidentu](https://phpsos.de/cs/blog/zeitleiste-eines-vorfalls/): Kdy přišel útočník, co dělal a kdy si toho někdo všiml? Pečlivá časová osa tyto otázky zodpoví a je základem pro hlášení, pojištění i zprávu.
- [Porovnání jádrových souborů CMS s originálem](https://phpsos.de/cs/blog/cms-kerndateien-vergleichen/): Porovnání s čistým originálem ukáže každý změněný soubor, bez ohledu na to, zda ho skener zná. Jak porovnání nastavit pro WordPress, projekty s Composerem a systémové balíčky.
- [Kontrola databáze na vložený kód](https://phpsos.de/cs/blog/datenbank-auf-schadcode-pruefen/): Kdo kontroluje jen soubory, přehlédne polovinu. Jak prohledat obsah, nastavení, triggery a účty databáze na vložený kód, jen čtením a na kopii.
- [Malwarové skenery pro weby: co najdou a co ne](https://phpsos.de/cs/blog/grenzen-von-malware-scannern/): Skener nic nehlásí, tak je všechno v pořádku? Nemusí být. Jaké druhy skenerů webů existují, co který vidí a co v zásadě vidět nemůže.
- [Izolace poolů PHP-FPM pro každý web](https://phpsos.de/cs/blog/php-fpm-pools-isolieren/): Vlastní pool pro každý web je začátek, ne konec. Jak zkontrolovat stávající pooly a zabezpečit sockety, přípony, stavové stránky, zdroje a logy.
- [Správné nastavení memory_limit](https://phpsos.de/cs/blog/memory-limit-richtig-setzen/): memory_limit omezuje paměť na jeden požadavek PHP. Po PHP2Shell php.net přechodně radí opak. Co platí v běžném provozu, v přechodné době a po aktualizaci.
- [Rozumné omezení post_max_size a upload_max_filesize](https://phpsos.de/cs/blog/post-max-size-upload-limits/): Limity nahrávání působí na třech místech: ve webovém serveru, v PHP a v aplikaci. Jak hodnoty nastavit shodně, i s přechodnými hodnotami od php.net k PHP2Shell.
- [Vypnutí session.upload_progress: správně a trvale](https://phpsos.de/cs/blog/session-upload-progress-abschalten/): Opatření proti CVE-2026-115560 a jedno z přechodných opatření k PHP2Shell se nastaví rychle. Aby vydrželo, musí být na správném místě, uzamčené a po každé aktualizaci znovu ověřené.
- [expose_php a hlavičky Server: skrytí údajů o verzi](https://phpsos.de/cs/blog/expose-php-versionsangaben/): PHP, Nginx a Apache uvádějí své číslo verze standardně v každé odpovědi. Před útoky to nechrání, skenerům to ale dává pohodlný seznam cílů. Jak to vypnout a přesto zachovat přehled.
- [display_errors off: vypnutí chybových výstupů v produkci](https://phpsos.de/cs/blog/display-errors-produktion/): Viditelná chybová hlášení PHP prozrazují cesty, názvy databází a verze. Jak je vypnout v PHP, ve frameworku i ve webovém serveru a přitom nepustit chyby z očí.
- [php_admin_value: uzamknutí nastavení proti přepsání](https://phpsos.de/cs/blog/php-admin-value-sperren/): Bezpečnostní nastavení málo platí, když ho aplikace jedním řádkem kódu změní zpět. Pomocí php_admin_value a php_admin_flag určíte hodnoty pro PHP-FPM a Apache závazně.
- [Nastavení limitů paměti pomocí systemd a cgroups](https://phpsos.de/cs/blog/speichergrenzen-systemd-cgroups/): php.net doporučuje jako přechodné opatření k PHP2Shell memory_limit=-1 a limit paměti mimo PHP. Jak tento limit nastavit pomocí systemd a cgroups, aby jeden worker nestrhl celou službu.
- [Bezpečné nastavení Nginx pro PHP](https://phpsos.de/cs/blog/nginx-fuer-php-absichern/): Většina slabin v nastavení Nginx pro PHP není v Nginx, ale v několika řádcích bloku location pro PHP. Jak předávání do PHP-FPM nastavit tak, aby se spouštěly jen chtěné skripty.
- [Bezpečné nastavení Apache pro PHP](https://phpsos.de/cs/blog/apache-fuer-php-absichern/): Apache je flexibilní a právě proto je náchylný k chybné konfiguraci. Jak připojit PHP přes PHP-FPM, uzavřít .htaccess jako zadní vrátka a bezpečně nastavit nejdůležitější základní volby.
- [Zákaz spouštění PHP ve složkách s nahranými soubory](https://phpsos.de/cs/blog/php-in-uploads-verbieten/): Webshell potřebuje dvě věci: složku, do které ji lze zapsat, a server, který ji spustí. Jak jí vzít to druhé, a to v každé zapisovatelné složce, nejen v uploads.
- [Filtrování požadavků na nahrávání na okraji sítě: příležitosti a rizika](https://phpsos.de/cs/blog/upload-anfragen-am-rand-filtern/): Odborní autoři navrhují blokovat na proxy požadavky na nahrávání mimo skutečné cesty pro upload, dokud není PHP záplatováno. Může to pomoci, ale také ochromit formuláře a objednávky. Jak postupovat kontrolovaně.
- [Nasazení ModSecurity a OWASP Core Rule Set](https://phpsos.de/cs/blog/modsecurity-owasp-crs/): Vlastní webový aplikační firewall s ModSecurity a OWASP Core Rule Set je zdarma a výkonný, ale nejde sám od sebe. Jak vybrat engine, začít bez výpadků a pravidla vyladit.
- [Nastavení Fail2ban pro webové servery](https://phpsos.de/cs/blog/fail2ban-fuer-webserver/): Fail2ban blokuje adresy, které se opakovaně objevují v lozích. Pro webové servery přináší hotové filtry a několika řádky přidáte vlastní. Jak jej nastavit, aniž byste vyloučili sebe nebo své zákazníky.
- [Firewall pro webový server: otevřít jen nutné porty](https://phpsos.de/cs/blog/firewall-fuer-webserver/): Webový server potřebuje navenek zpravidla jen dva porty. Přesto na mnoha serverech v internetu naslouchají databáze, PHP-FPM nebo správcovská rozhraní. Jak najít otevřené služby a zavřít, co není potřeba.
- [Automatické bezpečnostní aktualizace na serverech s Linuxem](https://phpsos.de/cs/blog/automatische-sicherheitsupdates/): Podle zpráv distribuce dodávaly backporty PHP zčásti už 21. října 2026, v den záplat. Kdo používá automatické bezpečnostní aktualizace, měl je na serveru rychle. Aby i zabíraly, je třeba restarty, zdroje třetích stran a kontrola.
- [Least Privilege: oprávnění uživatele webserveru](https://phpsos.de/cs/blog/rechte-des-webserver-benutzers/): Vložený kód běží s právy uživatele webserveru. Co tento účet smí, rozhoduje o tom, jak daleko se útočník dostane. Takto omezíte shell, sudo, cron, databázi a souborový systém na nezbytné minimum.
- [Odstínění administrace pomocí IP, VPN nebo další ochrany](https://phpsos.de/cs/blog/admin-bereiche-abschirmen/): Proč nemusí být backend webu dostupný celému světu a jak ho odstínit pomocí povolených IP adres, VPN nebo předřazeného přihlášení, aniž byste zablokovali sami sebe.
- [Správná konfigurace TLS a HTTPS](https://phpsos.de/cs/blog/tls-https-richtig-konfigurieren/): Které verze TLS a šifrovací sady by měl webserver dnes nabízet, čím se doporučení řídí a jak zkontrolovat Nginx, Apache a odchozí spojení PHP.
- [Benchmarky CIS a moduly BSI pro webservery](https://phpsos.de/cs/blog/cis-benchmarks-bsi-bausteine/): Jaké standardy hardeningu existují pro linuxové webservery, v čem se liší benchmarky CIS a moduly IT-Grundschutz a jak z nich vytvořit ověřitelný předpis pro vaše servery s PHP.
- [Bezpečné ukládání hesel v PHP: správné použití password_hash](https://phpsos.de/cs/blog/passwoerter-in-php-speichern/): Jak vývojáři ukládají hesla v PHP pomocí password_hash a password_verify, vybírají vhodný postup a nahrazují staré hashe MD5 nebo SHA-1 bez resetu hesla pro všechny uživatele.
- [Ochrana proti CSRF v aplikacích PHP](https://phpsos.de/cs/blog/csrf-schutz-php/): Jak vývojáři v aplikacích PHP zabraňují Cross-Site Request Forgery: tokeny pro každý měnící požadavek, kontrola původu v hlavičce a cookies SameSite jako další vrstva.
- [Validace a filtrování vstupů v PHP pomocí filter_var](https://phpsos.de/cs/blog/eingaben-validieren-php/): Jak vývojáři kontrolují vstupy v PHP pomocí filter_var, filter_input_array a seznamů povolených hodnot, které filtry jsou zastaralé a proč validace nenahrazuje prepared statements ani kódování výstupu.
- [Prevence command injection v PHP](https://phpsos.de/cs/blog/command-injection-php/): Jak vývojáři v PHP předcházejí command injection: nahrazují systémové příkazy funkcemi PHP, používají proc_open bez shellu, kontrolují argumenty a hledají nebezpečná místa ve stávajícím kódu.
- [Prevence Server-Side Request Forgery (SSRF) v PHP](https://phpsos.de/cs/blog/ssrf-in-php/): Jak vývojáři zabrání tomu, aby aplikace PHP jménem cizích osob dotazovala interní systémy: seznamy povolených cílů, omezení protokolů, kontrola přeložené adresy a hranice v síti.
- [Prevence XML External Entities (XXE) v PHP](https://phpsos.de/cs/blog/xxe-in-php/): Jak vývojáři bezpečně zpracovávají XML v PHP: výchozí chování libxml, riziková nastavení jako LIBXML_NOENT, ochrana pomocí entity loaderu a LIBXML_NO_XXE a typické skryté vstupy XML.
- [Type juggling v PHP: volná porovnání jako bezpečnostní riziko](https://phpsos.de/cs/blog/type-juggling-php/): Proč mohou volná porovnání pomocí == v PHP vést k bezpečnostním mezerám, co se změnilo s PHP 8.0 a jak psát porovnání v přihlášení, tokenech a oprávněních robustně.
- [Bezpečná náhodná čísla a tokeny v PHP pomocí random_bytes](https://phpsos.de/cs/blog/sichere-tokens-php/): Jak vývojáři v PHP vytvářejí tokeny pro odkazy k obnovení hesla, klíče API a jednorázové kódy: kryptograficky bezpečné zdroje, dostatečná délka, ukládání jako hash a omezená platnost.
- [Správná ochrana přístupových údajů a souborů .env](https://phpsos.de/cs/blog/env-dateien-schuetzen/): Jak chránit hesla k databázi, klíče API a další tajné hodnoty v projektech PHP: soubory .env mimo webroot, blokování ve webserveru, úzká práva a uspořádaná výměna po incidentu.
- [Veřejná složka .git: podceňovaný únik dat](https://phpsos.de/cs/blog/git-ordner-oeffentlich/): Proč může webroot nasazený přes Git prozradit kompletní zdrojový kód včetně historie, jak to ověřit, okamžitě zablokovat a nasazování trvale postavit bez složky .git.
- [Záložní soubory ve webrootu: .zip, .sql a .bak](https://phpsos.de/cs/blog/backup-dateien-im-webroot/): Proč výpisy databází, archivy a záložní kopie ve veřejném adresáři patří k nejčastějším únikům dat, jak je najít, zablokovat a zjistit, zda byly staženy.
- [Soubory phpinfo(): proč musí zmizet](https://phpsos.de/cs/blog/phpinfo-dateien-entfernen/): Po PHP2Shell zakládá mnoho administrátorů rychle soubor info.php. Proč jsou takové soubory únikem dat, jak je najít a jaké způsoby kontroly jsou lepší.
- [Udržování závislostí aktuálních: Composer, npm a pluginy](https://phpsos.de/cs/blog/abhaengigkeiten-aktuell-halten/): Projekt se skládá ze tří světů balíčků: Composer, npm a pluginy CMS. Jak všechny tři udržovat aktuální pevným rytmem, jasnou odpovědností a testy.
- [Bezpečnostní code review pro projekty v PHP](https://phpsos.de/cs/blog/sicherheits-code-review-php/): Jak týmy cíleně procházejí vlastní kód PHP kvůli bezpečnostním mezerám: druhy review, kritické funkce, užitečné nástroje a kontrolní seznam.
- [Bezpečné logování: protokolovat chyby bez úniku dat](https://phpsos.de/cs/blog/sicher-loggen-php/): Logy pomáhají při hledání chyb a forenzní analýze, ale rychle se samy stávají únikem dat. Co by aplikace PHP měly protokolovat, co nikdy a jak logy chránit.
- [Zabezpečení API REST v PHP](https://phpsos.de/cs/blog/rest-api-php-absichern/): Rozhraní bývají chráněna hůře než web před nimi. Nejdůležitější pravidla pro API REST v PHP, od oprávnění k objektům až po omezení četnosti požadavků.
- [Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti](https://phpsos.de/cs/blog/dienstleistervertrag-sicherheit/): PHP2Shell ukázalo, jak často je nejasné, kdo má záplatovat. Jaké bezpečnostní povinnosti patří do smluv s agenturou, hostingovou firmou a IT dodavatelem.
- [Zpracování osobních údajů, když dodavatelé přistupují na servery](https://phpsos.de/cs/blog/auftragsverarbeitung-serverzugriff/): Kdo pouští externí osoby na servery s daty zákazníků, potřebuje zpravidla smlouvu o zpracování. Co vyžaduje čl. 28 GDPR a jak v krizi organizovat přístupy v souladu s ochranou údajů.
- [Řízení zranitelností pro střední firmy](https://phpsos.de/cs/blog/schwachstellenmanagement-mittelstand/): Žádná střední firma nemůže zpracovat každé hlášení okamžitě. Štíhlý cyklus zjištění, hodnocení, rozhodnutí a doložení zajistí, že se důležité věci dělají jako první.
- [Vědět, co běží: inventář všech webů a serverů](https://phpsos.de/cs/blog/inventar-websites-server/): U PHP2Shell mnoho firem nescházelo na záplatě, ale na otázce, kde vůbec PHP běží. Takto vytvoříte inventář všech webů a serverů.
- [Správa záplat jako proces, ne hašení požárů](https://phpsos.de/cs/blog/patch-management-prozess/): Kdo záplatuje, jen když hoří, ztrácí v krizi čas. Jak proces správy záplat s pevnými třídami, okny a doklady spojuje rutinu a nouzi.
- [Nouzové kontakty: kdo musí být kdy informován?](https://phpsos.de/cs/blog/notfallkontakte-liste/): V krizi rozhoduje, koho zastihnete a kdy. Jak sestavit seznam IT nouzových kontaktů se spouštěči, zástupci a údaji, které potřebuje každý hovor.
- [Kolik stojí napadený server: nákladové položky](https://phpsos.de/cs/blog/kostenposten-eines-hacks/): Napadený webový server způsobí víc nákladů než samotná oprava. Jaké nákladové položky vznikají a jak si vlastními čísly zdůvodnit rozpočet na prevenci.
- [Informování zákazníků po incidentu](https://phpsos.de/cs/blog/kunden-nach-vorfall-informieren/): Povinnost, nebo dobrovolně: jak se po incidentu rozhodnout, koho informovat, které kanály jsou bezpečné a jak připravit zákaznický servis.
- [Dodavatelský řetězec webu: agentura, hosting, dodavatelé pluginů](https://phpsos.de/cs/blog/lieferkette-agentur-hoster/): PHP2Shell ukázalo, kolik článků leží mezi záplatou a vaším webem. Jak svůj dodavatelský řetězec znát, zabezpečit a zachytit výpadky jednotlivých článků.
- [Bezpečnostní povědomí administrátorů a redaktorů: security awareness v týmu správy webu](https://phpsos.de/cs/blog/sicherheitsbewusstsein-redaktion/): Kdo spravuje weby, rozhoduje o bezpečnosti denně, často aniž by si to uvědomoval. Jak proškolit administrátory a redaktory podle rolí a bez záplavy slajdů.
- [Krizové cvičení u stolu: projít incident webového serveru](https://phpsos.de/cs/blog/notfalluebung-am-tisch/): Cvičení u stolu stojí jedno odpoledne a ukáže, zda váš krizový plán obstojí. Zde najdete hotový scénář incidentu na webovém serveru s PHP.
- [ISO 27001 a TISAX: čeho se týkají webové servery](https://phpsos.de/cs/blog/iso-27001-tisax-webserver/): Kdo provozuje ISMS podle ISO 27001 nebo má štítek TISAX, musí myslet i na webové servery. Zde je, kterých požadavků se dotýkají a jaké doklady po PHP2Shell platí.
- [VdS 10000: informační bezpečnost pro malé a střední podniky](https://phpsos.de/cs/blog/vds-10000-kmu/): VdS 10000 je štíhlý rámec informační bezpečnosti pro střední firmy. Co vyžaduje, co přišlo nového v roce 2025 a co to znamená pro weby a webové servery.
- [Lessons learned: po incidentu být lepší](https://phpsos.de/cs/blog/lessons-learned-nach-vorfall/): Po incidentu je před dalším. Strukturovaná zpětná porada bez hledání viníka udělá ze špatného týdne měřitelný pokrok.
- [Záplatovat, odstavit, nebo vyčkat? Pomůcka k rozhodnutí při zranitelnosti PHP](https://phpsos.de/cs/blog/patchen-abschalten-abwarten/): Při kritické zranitelnosti PHP musí odpovědní rychle rozhodnout. Tato pomůcka řadí tři možnosti, uvádí kritéria a ukazuje, kdy je vyčkání obhajitelné.
- [WAF, nebo aktualizace: proč potřebujete obojí](https://phpsos.de/cs/blog/waf-oder-update/): Web application firewall může zachytit útoky, ale neuzavře zranitelnost v interpretu PHP. Kdy WAF pomůže, kde končí a jak oboje rozumně kombinovat.
- [Server znovu postavit, nebo vyčistit? Rozhodnutí po napadení](https://phpsos.de/cs/blog/neu-aufsetzen-oder-bereinigen/): Po průniku jsou dvě cesty: server vyčistit, nebo postavit znovu. Která kritéria rozhodují a proč je pořadí důležitější než volba.
- [Řešit sami, nebo si přizvat dodavatele? Upřímná rozvaha](https://phpsos.de/cs/blog/selbst-beheben-oder-dienstleister/): Ne každá bezpečnostní situace potřebuje externí pomoc. S těmito kritérii a krátkým testem rozhodnete, zda váš tým PHP2Shell zvládne sám, nebo potřebuje podporu.
- [Výběr dodavatele IT bezpečnosti: 12 otázek před zakázkou](https://phpsos.de/cs/blog/sicherheitsdienstleister-auswaehlen/): Pod časovým tlakem je těžké najít dobrého bezpečnostního dodavatele. Těchto dvanáct otázek pomáhá porovnat nabídky věcně a nenaletět reklamním slibům.
- [Spravovaný hosting, nebo vlastní server? Bezpečnostní srovnání](https://phpsos.de/cs/blog/managed-oder-eigener-server/): PHP2Shell byl zátěžovým testem každého provozního modelu. Srovnání ukazuje, kdy je bezpečnější spravovaný hosting, kdy vlastní server a které kombinace se osvědčují.
- [Upgrade PHP, nebo backport? Rozhodnutí pro starší systémy](https://phpsos.de/cs/blog/php-upgrade-oder-backport/): Pro staré verze PHP existuje po PHP2Shell několik cest: backport distribuce, zdroj třetí strany, zdrojová záplata, dlouhodobá podpora nebo upgrade. Co která cesta stojí za to a jak dlouho nese.
- [Změnit CMS po hacku? Kdy to pomůže a kdy ne](https://phpsos.de/cs/blog/cms-wechsel-nach-hack/): Po průniku je důvěra v CMS často pryč. Nový systém ale zřídka řeší skutečnou příčinu. Kdy je změna smysluplná a jak ji provést čistě.
- [Statické weby: méně PHP, menší útočná plocha](https://phpsos.de/cs/blog/statische-website-alternative/): Statický web doručuje hotové soubory HTML a nepotřebuje na serveru PHP. To výrazně snižuje útočnou plochu, ale přináší vlastní hranice a povinnosti.
- [Pentest, bug bounty, nebo sken zranitelností? Zvolit vhodný způsob prověření](https://phpsos.de/cs/blog/pentest-bugbounty-scan/): Sken, penetrační test a bug bounty prověřují weby zcela odlišně. Co který postup umí, kde selhává a jaké pořadí se hodí pro vaši firmu.