# Kybernetická bezpečnost pro logistiku a spedici: portály a dodavatelské řetězce

> Sledování zásilek, rezervace časových oken, zákaznický portál: jak logistické firmy a spedice čelí PHP2Shell, chrání data o nákladu a zajišťují provoz.

Zdroj: https://phpsos.de/cs/branchen/logistik/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** U kybernetické bezpečnosti v logistice jde o portály, které jsou potřeba nepřetržitě: sledování zásilek, rezervace časových oken, zadávání zakázek. Ujasněte, které z nich běží na PHP, nechte si potvrdit záplatu a restart a mějte připravenou ruční náhradní cestu pro případ, že musí portál dočasně z provozu.

## Jaké systémy PHP běží v logistice a spedici

Samotný dopravní systém (TMS) je často oborový software s vlastním provozem. Kolem něj vznikají webové aplikace, které jsou často postaveny na PHP: zákaznické portály pro zadávání zakázek a sledování zásilek, rezervace časových oken a ramp pro dodavatele a dopravce, portály pro subdodavatele, doklady o doručení s nahráváním fotografií, hlášení škod a stránky s kariérou pro řidiče a řidičky.

Mnoho z těchto aplikací jsou vlastní vývoje na bázi frameworků nebo běží v kontejnerech. U kontejnerů je PHP součástí image. Jak tam správně aktualizovat, popisuje stránka [Záplatování PHP v kontejnerech Docker](https://phpsos.de/cs/php2shell/docker-container-patchen/).

## Jaká data v logistických portálech leží

V logistických portálech leží dodací a vyzvedávací adresy, obsah zásilek a hodnoty zboží, časová okna, poznávací značky, jména řidičů a telefonní čísla, zákaznické podmínky a data pro vyúčtování. Přes rozhraní jsou portály propojeny s TMS, skladovým systémem, telematikou a systémy zadavatelů.

Tato směs je pro útočníky obzvlášť cenná. Kdo ví, kdy jaký hodnotný náklad stojí u které rampy, může připravit krádež nebo padělaná vyzvednutí. Přístupové údaje k rozhraním navíc otevírají cestu k partnerům v dodavatelském řetězci.

Pozornost zaslouží i data řidičů. Stránky s kariérou a portály subdodavatelů obsahují kopie řidičských průkazů, doklady o kvalifikaci a kontaktní údaje, částečně od řidičů ze zahraničí, kteří při zneužití svých dat sotva najdou podporu. Kdo tyto podklady na webovém serveru shromažďuje, neměl by je tam uchovávat déle, než je nutné.

## Logistika a kybernetická bezpečnost: následky incidentu

- **Stání u rampy:** Když rezervace časových oken vypadne, hromadí se vozidla a dodavatelské řetězce se zadrhnou.
- **Zmanipulované zakázky:** Útočník s přístupem k portálu může měnit dodací adresy nebo oprávnění k vyzvednutí.
- **Dodavatelský řetězec:** Zadavatelé požadují informaci, zda jsou jejich data nebo rozhraní dotčena. Podle [NIS2](https://phpsos.de/cs/compliance/nis2/) přistupují u dotčených firem oznamovací povinnosti.
- **Důvěra:** V odvětví s úzkými partnerstvími se incident rychle rozkřikne.

> **Jednejte ihned:**
> Pokud nikdo nedokáže potvrdit, že PHP na serveru vašeho portálu je záplatované a restartované, odpojte portál od sítě a přepněte na ruční náhradní cestu. Do záplaty může být mostem [virtuální záplatování](https://phpsos.de/cs/leistungen/waf-virtuelles-patching/), aktualizaci však nenahrazuje.

## Typické mezery v odpovědnosti v logistických firmách

| Systém | Často spravuje | Otevřená otázka |
|---|---|---|
| TMS a skladový systém | poskytovatel softwaru | Které webové komponenty používají PHP? |
| Zákaznický portál a portál časových oken | vlastní vývoj nebo dodavatel | Kdo záplatuje image nebo server? |
| Web a stránka s kariérou | agentura a hosting | Stav PHP potvrzen? |
| Rozhraní k zadavatelům | IT oddělení | Jaké přístupové údaje leží na webových serverech? |

Ve spedicích s více pobočkami přistupují lokální řešení, která si pobočka zřídila sama a která nejsou v žádném centrálním seznamu.

## Partnerské přístupy: mnoho účtů, málo přehledu

Logistické portály žijí z externích uživatelů: dopravci, subdodavatelé, dodavatelé, zákazníci s více pobočkami. V průběhu let tak vznikají stovky účtů, z nichž mnohé jsou sdílené, osiřelé nebo chráněné jednoduchými hesly. Útočník, který na serveru spouští kód, tyto účty sice nepotřebuje, ale může zakládat nové nebo rozšiřovat práva stávajících, aniž by si toho někdo všiml.

Po incidentu proto zkontrolujte i správu uživatelů: Které účty byly naposledy založeny nebo změněny, které mají rozšířená práva, které se měsíce nepoužívaly? Osiřelé účty zablokujte, administrátorské přístupy zabezpečte druhým faktorem. Patří to i do domluvy se zadavateli, kteří mají přístup k vašim portálům.

## První hodiny pro vedení IT a jednatele

1. Sepsat všechny externě dostupné portály, včetně aplikací v kontejnerech a řešení poboček.
2. U každého systému nechat doložit PHP 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. potvrzený backport, a restart všech procesů.
3. Zajistit logy od 20. 10. 2026. Pokyny k vyhodnocení dává poradna [Vyhodnocení logů webového serveru](https://phpsos.de/cs/ratgeber/logfiles-auswerten/).
4. Přístupové údaje k rozhraním uložené na webových serverech po vyčištění obnovit.
5. Důležité zadavatele věcně informovat, jakmile bude stav doložen.

## Jak konkrétně pomáhá PHP SOS?

- Zmapujeme vaše portály a rozhraní a seřadíme je podle provozního režimu, verze PHP a významu pro provoz.
- Záplatujeme nebo koordinujeme aktualizace s poskytovateli softwaru a dodavateli, znovu sestavujeme image kontejnerů a doložíme restart.
- Při podezření převezmeme [reakci na incidenty](https://phpsos.de/cs/leistungen/incident-response/) se zajištěním stop a kontrolou, zda nebyly zakázky nebo rozhraní zmanipulovány.
- Dodáme stručnou, doložitelnou dokumentaci, kterou můžete předložit zadavatelům, pojišťovnám a případně úřadům.


## Časté dotazy

**Proč jsou data o zásilkách pro útočníky zajímavá?**  
Data o zásilkách prozrazují, jaké zboží kdy stojí kde a kdo si je vyzvedává. Takové informace lze využít ke krádeži nákladu, padělaným příkazům k vyzvednutí nebo podvodům s falešnými dopravci. K tomu přistupují kmenová data zákazníků a podmínky, které jsou pro konkurenty cenné.

**Vztahuje se na naši spedici NIS2?**  
Odvětví dopravy patří mezi oblasti, které NIS2 zahrnuje, zda je firma skutečně dotčena, ale závisí na činnosti a velikosti. I bez přímé povinnosti předávají zadavatelé bezpečnostní požadavky smlouvami. Závazné zařazení ujasníte se svým právním poradenstvím.

**Jak běží provoz dál, když je portál offline?**  
Mějte připravenou ruční náhradní cestu: časová okna telefonem nebo e-mailem, stavová hlášení přes připravený distribuční seznam, čísla pro vyzvednutí na papíře. Plánovaná náhradní cesta brání tomu, aby zaměstnanci pod tlakem sáhli po nebezpečných zkratkách.

**Naše aplikace PHP běží v kontejnerech. Mění to něco?**  
I v kontejnerech je PHP součástí image. Musíte aktualizovat základní image, znovu ho sestavit a nahradit běžící kontejnery. Samotná aktualizace na hostiteli na PHP v kontejneru nic nemění.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [BSI: varování a doporučení](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22 mil. exponovaných serverů](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)