Stručně: Dodavatelský řetězec webu sahá od projektu PHP přes distribuci a poskytovatele hostingu až po CMS, pluginy, agenturu a zapojené služby. Pro IT bezpečnost se počítá každý článek, protože záplata se k vašemu webu dostane teprve tehdy, když ji všichni předají dál. Kdo řetězec sepíše, pro každý článek určí odpovědné místo a doklad a omezí přístupy, činí ho odolným.
Jedna záplata a její dlouhá cesta
Dne 21. 10. 2026 ve 14:00 UTC zveřejnil projekt PHP opravy pro PHP2Shell. Tím nebyla zranitelnost uzavřena u jediného webu. Nejdřív musely distribuce jako Debian, Ubuntu nebo rodina RHEL převzít opravy do svých balíčků; podle zpráv byly backporty zčásti dodány už téhož dne. Poté museli poskytovatelé hostingu a administrátoři tyto balíčky nainstalovat a restartovat všechny procesy PHP. Teprve potom byl příslušný web chráněn.
Každý článek tohoto řetězce může zdržet. A na každém visí jiná organizace s vlastními prioritami. Kdo neví, jak jeho řetězec vypadá, nemůže říct, kde záplata právě uvízla.
Některé řetězce mají další články, o kterých skoro nikdo neví. Mnoho serverů s Debianem a Ubuntu nezískává PHP z distribuce, ale z repozitáře Ondřeje Surýho na sury.org, rozšířeného zdroje třetí strany. Podle zpráv poskytoval buildy pro všechny větve od 5.6 do 8.5. To je užitečné, ale není to bezpečnostní archiv Debianu: Kdo tento zdroj používá, závisí na jiném článku, s vlastním taktem a vlastní odpovědností. Zda je server takto nastaven, ukazuje seznam zdrojů balíčků a právě tato informace patří do dokumentace řetězce.
Články dodavatelského řetězce v přehledu
Následující tabulka ukazuje typické články webu v PHP a co můžete od každého požadovat.
| Článek | Typické riziko | Co byste měli stanovit |
|---|---|---|
| Projekt PHP | zranitelnost v interpretu, konec podpory | používaná podporovaná verze, plán na konec podpory |
| Distribuce nebo zdroj třetí strany | backport chybí nebo přijde pozdě | známý zdroj balíčků, odebíraná bezpečnostní hlášení |
| Poskytovatel hostingu nebo platformní služba | aktualizace bez restartu, žádná informace | povinnost aktualizace, restartu, dokladu a upozornění |
| Výrobce CMS | zranitelnost v jádru | kanál aktualizací, odpovědná osoba |
| Dodavatelé pluginů a šablon | opuštěná nebo nezabezpečená rozšíření | jen udržované pluginy z oficiálních zdrojů |
| Agentura nebo vývojář | rozsáhlé přístupy, nejasná odpovědnost | osobní přístupy, písemné úkoly |
| Externí skripty a služby | cizí kód v prohlížeči, únik dat | seznam, pevné verze, ověřený účel |
Dva příklady z týdne PHP2Shell ukazují, jak snadno se článek přehlédne. Vercel upozorňuje, že aktualizace lokálního vývojového prostředí, kódu aplikace nebo pluginů nestačí; rozhodující je běhové prostředí PHP, které skutečně obsluhuje požadavky. Coolify radí aktualizovat běhové prostředí PHP každé aplikace zvlášť, i za Cloudflare. A podle zpráv WordPress.org neplánuje proti PHP2Shell vlastní aktualizaci, protože zranitelnost je v interpretu. Kdo čeká na CMS, čeká marně.
Zviditelnit řetězec: pět kroků
Takto uvedete do pořádku závislosti svých webů:
- Sepsat řetězec pro každý web: od běhového prostředí PHP po externí skripty, se jménem dodavatele nebo osoby.
- Určit odpovědnost za každý článek: Kdo instaluje aktualizace, kdo kontroluje, kdo koho informuje?
- Dohodnout doklady: Co se považuje za hotové? U běhového prostředí PHP například stav balíčku a restart, jak je popsáno v Jak se zeptat poskytovatele hostingu na stav záplat.
- Omezit přístupy: Každá agentura a každý dodavatel dostane jen práva, která potřebuje, s osobními účty.
- Naplánovat náhradní cesty: Co dělat, když článek vypadne, například dodavatel pluginu skončí nebo dodavatel není k zastižení?
Zeptejte se každého dodavatele, jak vás informuje o kritických zranitelnostech. Kdo odpovídá jen na dotaz, je v situaci jako PHP2Shell rizikem pro váš časový plán. Odpověď si nechte písemně.
Pluginy a rozšíření: nejméně přehledné místo
U mnoha webů je největší část dodavatelského řetězce neviditelná: pluginy a šablony, které přibyly v průběhu let. Každý pochází od jiného dodavatele, s vlastním tempem bezpečnostních aktualizací. Někteří dodavatelé svůj produkt opustí, aniž by to oznámili. Další rozšíření se získávají z neoficiálních zdrojů a nikdy nedostanou aktualizace.
Pomáhá jednoduché pravidlo: Každý plugin potřebuje účel, udržovaného dodavatele a oficiální zdroj. Pokud něco z toho chybí, přijde na seznam k výměně. Podobně to platí pro zapojené služby jako poskytovatelé plateb, rezervační systémy, chatová okna nebo analytické nástroje. Přinášejí na vaši stránku vlastní kód nebo dostávají data vašich návštěvníků. Zaznamenejte, které služby jsou zapojeny, kdo je objednal a zda se ještě potřebují. Zapomenutý skript dodavatele, s nímž už dávno není smlouva, je článek bez odpovědné osoby.
Jak pluginy a balíčky trvale udržovat aktuální, popisuje Udržovat závislosti aktuální: Composer, npm a pluginy.
Dodavatelský řetězec, smlouvy a NIS2
Pro firmy, na které se vztahuje NIS2, patří bezpečnost dodavatelského řetězce výslovně k řízení rizik, tedy i vztahy s dodavateli a poskytovateli. Podrobnosti najdete v NIS2 a bezpečnost webového serveru. Ale i bez zákonné povinnosti platí: Outsourcované úkoly zůstávají vaším rizikem. Proto patří výsledky pěti kroků do smluv s agenturou, poskytovatelem hostingu a dodavateli; které body by tam měly být upraveny, popisuje Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti. Tato stránka je obecná informace a není právním poradenstvím.
Jak konkrétně pomáhá PHP SOS?
- Společně s vámi zakreslíme dodavatelský řetězec každého webu, od běhového prostředí PHP po externí skripty.
- Pluginy, šablony a balíčky kontrolujeme z hlediska stavu údržby a původu a tam, kde je to nutné, doporučujeme náhradu.
- S poskytovatelem hostingu a agenturou ujednáváme, kdo odpovídá za které články a jaké doklady se dodávají.
- Kde je článek neobsazen, přebíráme ho trvale prostřednictvím smlouvy o bezpečnostní údržbě.
Závěr: Bezpečnost webu je stejně silná jako nejpomalejší článek jeho dodavatelského řetězce. Kdo řetězec zná a každý článek propojí s odpovědným místem a dokladem, ví v krizi, kde záplata uvízla.
Časté dotazy
Co znamená dodavatelský řetězec u webu?
Všichni zúčastnění, na jejichž práci závisí bezpečnost vašeho webu: projekt PHP, linuxová distribuce, poskytovatel hostingu nebo platformní služba, výrobce CMS, dodavatelé pluginů a šablon, agentura a zapojené služby, například poskytovatelé plateb nebo externí skripty.
Odpovídám já, pokud dodavatel nezáplatuje?
Odpovědnost za vlastní web a data na něm zpravidla zůstává na vás, i když jsou úkoly outsourcovány. Proto by odpovědnosti měly být smluvně jasné a ověřované. K právnímu posouzení jsou příslušní právník a pověřenec pro ochranu osobních údajů.
Stačí, když PHP aktualizuje poskytovatel hostingu?
Pro běhové prostředí PHP u poskytovatele ano, pokud také restartuje všechny procesy a doloží to. Pokud části vaší aplikace běží jinde, například v kontejnerech, na platformních službách nebo na druhém serveru, musí se tam každé běhové prostředí aktualizovat zvlášť.
Jak poznám rizikové pluginy?
Varovnými znaky jsou dlouho chybějící aktualizace, dodavatel bez rozpoznatelného bezpečnostního kontaktu, získání z neoficiálních zdrojů a funkce, které už nikdo nepoužívá. Takové pluginy by se měly nahradit nebo odstranit.