# Agentura: weby klientů napadeny? Zavolejte nám. Pomůžeme.

> Je dotčeno více webů klientů vaší agentury? Zavolejte nebo napište přes WhatsApp. Zajistíme, vyčistíme a zdokumentujeme na dálku.

Zdroj: https://phpsos.de/cs/soforthilfe/agentur-kundenseiten-gehackt/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Pokud je u vaší agentury dotčeno více webů klientů, málokdy jde o náhodu, ale většinou o společný server, sdílený přístup nebo tutéž verzi PHP. Týká se to vás? Ozvěte se hned. Přehled situace vám zajistíme, incident na dálku zadržíme, systémy vyčistíme a dodáme zprávy pro vaše klienty.

> **Jednejte ihned:**
> **Nyní nic nemažte a nic znovu nenasazujte.** I když je tlak klientů velký: bez zajištěných logů a souborů nelze objasnit příčinu ani prokázat, co dotčeno nebylo. [Nahlásit nouzi](https://phpsos.de/cs/notfall/) a my přebíráme situaci od první zprávy.

## Týká se to vás? Příznaky, když jsou weby klientů napadeny

Jako agentura vidíte vzorce, kterých si jednotliví provozovatelé nikdy nevšimnou. Na společný incident ukazují:

- Několik webů klientů vykazuje ve stejnou dobu stejné příznaky: přesměrování, spamový obsah, varování v prohlížeči.
- Týž neznámý účet administrátora nebo týž podezřelý soubor se objevuje u různých klientů.
- Hosting hlásí zneužití nebo nápadnou zátěž u účtu, na kterém leží mnoho projektů.
- Klienti volají, protože jejich web varuje Google, a při křížové kontrole najdete další weby ve stejném stavu.
- Vývojář nebo bývalý zaměstnanec měl přístup k mnoha projektům a jeden přístup unikl.
- Údržbové práce přes centrální nástroj, například nasazování, zálohy nebo aktualizační služba, změnily web, na který jste nesahali.
- Provozujete mnoho webů na verzích PHP, jejichž stav záplat nemůžete doložit u každého z nich.

Od PHP2Shell přibývá, že zranitelnost je v samotném interpretu PHP. Aktualizace CMS, například u WordPressu, ji neuzavře; rozhodující je běhové prostředí PHP, které skutečně obsluhuje požadavky.

## Co udělat hned

1. **Sepsat dotčené weby:** doména, server, hostingový účet, verze PHP, CMS, odpovědné osoby. Patří sem i podezřelé případy.
2. **Hledat společné rysy:** Týž server? Tytéž přístupy? Týž plugin? Táž cesta nasazování?
3. **Odstínit ohrožené weby:** Weby, které aktivně dodávají škodlivý kód, přepnout do režimu údržby. Nemazat.
4. **Nechat zajistit logy a stav:** Požádat hosting o uchování protokolů; zajistit vlastní protokoly nasazování.
5. **Zkontrolovat centrální přístupy:** Kdo má přístup k hostingovému panelu, SSH, Gitu, správci hesel a nasazování? Změny až po dohodě.
6. **Klienty informovat zdrženlivě:** Nejdřív jen to, co je doloženo. Neuvádět příčinu, dokud není jistá.
7. **Kontaktovat nás:** Zavolejte nebo napište přes WhatsApp.

## Jak PHP SOS konkrétně pomáhá?

1. **Zmapování situace:** S vámi si uděláme přehled o všech webech a serverech a seřadíme je podle naléhavosti: aktivně dodávaný škodlivý kód, podezření na únik dat, pravděpodobně jen nezáplatováno.
2. **Zajištění a uzavření:** Každý dotčený systém zajistíme dříve, než se cokoli změní, a uzavřeme společnou vstupní bránu: přístupy, stav PHP, restart všech procesů.
3. **Kontrola a vyčištění:** Systematicky hledáme stejné stopy napříč všemi weby, odstraňujeme webshelly a zadní vrátka a čistě obnovujeme. Podrobnosti na stránce [Odstranění malwaru a webshellů](https://phpsos.de/cs/leistungen/malware-entfernung/).
4. **Hardening a zpráva:** Weby od sebe oddělíme tam, kde to dává smysl, a dodáme pro každého klienta krátkou zprávu, kterou můžete předat, a souhrnnou zprávu pro vás.

Pracujeme na dálku, bez cestování, v celém Německu i v Evropě. Na přání v pozadí pro vaši agenturu, jak je popsáno na stránce [Agentury a white label](https://phpsos.de/cs/branchen/agenturen-white-label/).

## Proč u agentur často padne mnoho webů najednou

Kdo provozuje mnoho projektů na jednom serveru, šetří náklady, ale vyměňuje izolaci za pohodlí. Pokud vše běží pod stejným uživatelem a stejným poolem procesů PHP, může kód napadeného webu číst a měnit soubory sousedů. To není exotický případ, ale standard v mnoha konfiguracích. Jak čistě oddělit pooly, popisuje stránka [Izolace poolů PHP-FPM](https://phpsos.de/cs/blog/php-fpm-pools-isolieren/).

K tomu přistupují sdílené přístupy: jeden klíč SSH pro všechny projekty, jeden hostingový účet se všemi doménami, tatáž hesla pro staging a produkci. Zde platí princip nejmenších oprávnění. Více v článku [Oprávnění uživatele webového serveru](https://phpsos.de/cs/blog/rechte-des-webserver-benutzers/).

Počítá se i dodavatelský řetězec: pluginy, témata a knihovny pocházejí od třetích stran, hosting odpovídá za platformu, agentura za provoz. Kde tyto hranice vedou a kde vznikají mezery, řeší stránka [Dodavatelský řetězec agentury a hostingu](https://phpsos.de/cs/blog/lieferkette-agentur-hoster/).

## Inventář, verze PHP a komunikace s klienty

Nejčastějším problémem v takových situacích je chybějící přehled: který web běží na kterém serveru s jakou verzí PHP a kdo je odpovědný? Bez tohoto seznamu nelze říci, koho se záplata týká a koho ne. Jak takový přehled vybudovat, ukazuje stránka [Inventář webů a serverů](https://phpsos.de/cs/blog/inventar-websites-server/). Pokud paralelně běží více verzí PHP, pomůže navíc článek [Více verzí PHP na jednom serveru](https://phpsos.de/cs/blog/mehrere-php-versionen-server/).

Vůči klientům se počítá jasnost. Nemusíte vědět všechno, ale nic nepřikrášlujte: co je doloženo, co se ještě kontroluje, co uděláte dál? Pomůcky k formulacím najdete v článku [Informovat zákazníky po incidentu](https://phpsos.de/cs/blog/kunden-nach-vorfall-informieren/). Jsou-li dotčeny osobní údaje, mohou hrát roli oznamovací povinnosti podle čl. 33 GDPR. To je obecná informace; posouzení patří pověřenci pro ochranu osobních údajů a právníkovi. Pokud incident přesáhne jednotlivé weby, přecházíme do strukturované [reakce na incidenty (Incident Response)](https://phpsos.de/cs/leistungen/incident-response/).

## Co nám poslat

- seznam dotčených a pravděpodobně dotčených domén
- údaje o serveru a hostingu u každého projektu, pokud jsou známy
- verze PHP a používaná CMS nebo e-shopy
- přístupy, které nám můžete poskytnout, a role v týmu
- upozornění, co se naposledy měnilo nebo nasazovalo
- jméno kontaktní osoby pro rozhodnutí i pro komunikaci s klienty

## Proč PHP SOS

Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte jeden kontaktní bod pro všechny dotčené projekty, pracujeme na dálku a u každého systému dokumentujeme, co bylo nalezeno a uděláno. Neslibujeme zázraky. Co nelze doložit, označíme jako neznámé, abyste vůči svým klientům netvrdili víc, než víte.

## Týká se to vás? Zavolejte nám. Pomůžeme.

Pokud je nápadných několik webů vašich klientů, je tlak času dvojí: technický i ve vztahu ke klientům. Ozvěte se hned: zavolejte nebo napište přes WhatsApp. Přebíráme situaci od první zprávy a zůstáváme u ní, dokud není incident uzavřen a zdokumentován. [Nahlásit nouzi hned](https://phpsos.de/cs/notfall/)


## Časté dotazy

**Proč je často dotčeno hned několik webů klientů?**  
Weby často sdílejí server, hostingový účet, týž proces PHP nebo tytéž přístupové údaje. Pokud se útočník dostane dovnitř na jednom místě, může se pohybovat do stran. Zranitelné PHP navíc zasahuje všechny weby, které ho používají.

**Mám klienty informovat okamžitě?**  
Záleží na situaci a na smlouvě. Nejdřív ujasněte, které weby jsou skutečně dotčeny, abyste neinformovali na základě domněnek. U osobních údajů jsou možné oznamovací povinnosti; zařazení patří pověřenci pro ochranu osobních údajů nebo právníkovi.

**Kdo odpovídá, když byl web klienta napaden?**  
Řídí se to vašimi smlouvami, rozsahem správy a průběhem události. K tomu neposkytujeme právní poradenství. Věcná zpráva o příčině a opatřeních pomáhá při tomto objasnění.

**Můžete pracovat pod naším jménem, aniž by nás koncový klient viděl?**  
Na přání pracujeme v pozadí pro vaši agenturu a dodáváme zprávy, které můžete předat svým klientům. Podrobnosti probereme předem.

**Stačí weby klientů čistit jednotlivě?**  
Většinou ne. Pokud je příčina ve sdíleném serveru, ve sdíleném přístupu nebo v nezáplatované verzi PHP, problémy se po jednotlivém vyčištění vrátí. Příčina musí být odstraněna také.

## Zdroje

- [BSI: Spolkový úřad pro informační bezpečnost (Německo)](https://www.bsi.bund.de/)
- [GDPR čl. 33: hlášení dozorovému úřadu](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [php.net: oznámení a bezpečnostní aktualizace](https://www.php.net/)