Stručně: White-label IT bezpečnost znamená pro vaši agenturu: vy si ponecháte vztah s klientem, my v pozadí odvedeme bezpečnostní práci. U PHP2Shell to znamená inventář všech webů klientů, seřazení podle rizika, záplatu a restart na každém serveru a doklad pro každého klienta, který můžete předat dál.
Proč jsou agentury u PHP2Shell pod zvláštním tlakem
Agentura s mnoha klienty málokdy spravuje jednotné prostředí. Část webů leží na vlastních serverech s Pleskem, část u hostingových firem klientů, několik starých projektů na verzích PHP, které už dávno nedostávají oficiální aktualizace. K tomu různé systémy: WordPress, TYPO3, Shopware, Craft CMS, vlastní vývoj na Laravelu.
Při zranitelnosti v samotném PHP to zasáhne všechny projekty současně. Klienti očekávají odpověď, zda je jejich web bezpečný, a projektový tým je vytížen běžnými zakázkami. Mnoho servisních smluv upravuje CMS, ale ne server pod ním.
K tomu přistupují systémy, které už v žádném seznamu projektů nefigurují: stagingová prostředí na subdoménách, kampaňové stránky z ukončených projektů, testovací instalace vývojářů na vlastních vServerech. Často běží na starších verzích PHP, nejsou sledovány a přesto nesou jméno vaší agentury nebo vašeho klienta. Pro automatizované skeny jsou stejně viditelné jako hlavní web.
Jaké otázky vám klienti nyní kladou
- Týká se to mého webu a je už záplatovaný?
- Nebylo před záplatou už něco vloženo?
- Platí aktualizace CMS jako ochrana? Ne, aktualizace CMS zranitelnost PHP neuzavře.
- Musím web odpojit od sítě? BSI (německý spolkový úřad pro informační bezpečnost) to doporučuje u serverů, které nelze okamžitě aktualizovat.
Na každou z těchto otázek potřebuje vaše agentura doložitelnou odpověď pro každého klienta, ne hromadný e-mail s obecnými tvrzeními.
Jak probíhá white-label IT bezpečnost pro agentury
Pracujeme jako součást vašeho týmu, ale bez vlastního kontaktu s klienty. Rozdělení je jasné:
| Úkol | Vaše agentura | PHP SOS |
|---|---|---|
| Komunikace s klienty a fakturace | ano | ne |
| Inventář všech webů klientů se stavem PHP | dodá přístupy | vytvoří a udržuje |
| Záplata, restart, kontrola na každém serveru | schválí servisní okno | provede nebo koordinuje s hostingy |
| Kontrola na napadení | obdrží zjištění | hledá webshelly a nesrovnalosti |
| Doklad pro každého klienta | předá dál | vytvoří neutrálně nebo ve vašem formátu |
U webů na cizích hostinzích vyžádáme potvrzení stavu balíčku. Zobrazené číslo verze samo nestačí, protože backporty ho mohou nechat beze změny.
Nejdřív seřaďte servery s Apache a mod_php, kde tým PHP hodnotí riziko nejvýše, poté e-shopy a weby s přihlášením, pak projekty na PHP 8.1 a starším. Statické staré projekty, které už nikdo nepotřebuje, raději vypněte, než byste je záplatovali.
Více webů klientů na jednom serveru: ověřit izolaci
Na serverech agentur sdílí mnoho webů klientů jeden stroj. Když je jeden z nich napaden, o tom, zda se útočník dostane i k ostatním, rozhoduje oddělení. Důležití jsou vlastní systémoví uživatelé a pooly PHP-FPM pro každý web, správná oprávnění k souborům a limity jako open_basedir. Na serverech s Pleskem lze tato nastavení ověřit pro každé předplatné.
Po záplatě platí: restartovat všechny pooly a workery. Teprve pak v paměti nezůstanou žádné staré procesy PHP. Logy od 20. 10. 2026 by se měly uchovat pro web každého klienta.
Informování klientů: co je doloženo a co ne
Největším pokušením v této situaci je uklidňující hromadný e-mail. Bezpečnější je sdělení pro každého klienta, které obsahuje jen to, co je doloženo: který server, jaký stav balíčku PHP, kdy proběhl restart, zda byla provedena kontrola na napadení a s jakým výsledkem. Co je ještě otevřené, tam také stojí.
Formulacím jako „Váš web je bezpečný“ se raději vyhněte. Záplata zranitelnost uzavře, ale nedokazuje, že se předtím nic nestalo. Kdo to poctivě odliší, nemusí se později vysvětlovat, pokud se přece jen objeví nález.
Servisní smlouvy po PHP2Shell přepracovat
Mnoho smluv agentur upravuje aktualizace CMS a rozšíření, ale k serveru mlčí. Využijte situaci a u každého klienta stanovte, kdo aktualizuje PHP, kdo odpovídá za restarty, kdo rozhoduje při incidentu a které služby se objednávají zvlášť. Patří k tomu i dohoda o zpracování osobních údajů se všemi zúčastněnými dodavateli. Smluvní podobu ujasněte se svým právním poradenstvím.
Jak konkrétně pomáhá PHP SOS?
- Převezmeme soupis všech webů klientů s verzí PHP, provozním režimem, hostingem a odpovědností.
- Prostřednictvím naší služby záplatování PHP záplatujeme vaše vlastní servery, restartujeme všechny workery a doložíme to pro každého klienta.
- Prioritní weby zkontrolujeme na napadení a při nálezu vyčistíme, dokud není incident uzavřen a zdokumentován.
- Dodáme textové bloky pro vaše informování klientů, které si upravíte a rozešlete sami.
- Poté na přání převezmeme v pozadí průběžnou bezpečnostní péči prostřednictvím servisní smlouvy pro bezpečnost.
Časté dotazy
Vystupujete vůči našim klientům?
Jen pokud to chcete. V modelu white-label pracujeme výhradně v pozadí a veškerá komunikace probíhá přes vaši agenturu. Dokumentaci dodáváme neutrálně nebo ve vašem formátu.
Potřebujeme k tomu smlouvu o zpracování osobních údajů?
Pokud přistupujeme k systémům s osobními údaji vašich klientů, je zpravidla nutná dohoda o zpracování osobních údajů, často jako dílčí zpracování. Jak zapadne do vašich stávajících smluv, ujasněte se svým právním poradenstvím. Potřebné údaje o našich činnostech poskytneme.
Co weby klientů, jejichž servery vůbec nespravujeme?
Pokud weby klientů leží u cizích hostingových firem, vyžádáme vaším jménem nebo podle vašich vzorů potvrzení o stavu záplat a restartu. Kde existuje jen přístup přes FTP nebo CMS, ověříme, co je odtud možné, a otevřeně označíme, co může doložit jen hosting.
Můžeme to po PHP2Shell vyčlenit trvale?
Ano. Mnoho úkolů se při každé zranitelnosti opakuje: vést inventář, nasazovat záplaty, dokládat restarty, hlásit nesrovnalosti. Tuto práci lze zorganizovat jako průběžnou péči v pozadí.