Stručně: Pokud máte podezření, že byl váš server napaden přes PHP2Shell, ozvěte se hned. Týká se to vás? Zavolejte nám. Pomůžeme. Od první zprávy přebíráme zadržení útoku, zajistíme stopy, uzavřeme zranitelnost, odstraníme škodlivý kód a incident zdokumentujeme až do jeho uzavření.
Nyní nic nemažte a nic znovu nenasazujte. Smazané soubory a přepsané logy jsou stopy, podle kterých se pozná, zda a jak někdo pronikl dovnitř. Podle potřeby server odpojte od sítě, ale nechte ho beze změn. Nahlásit nouzi, my vám řekneme další krok.
Týká se to vás? Známky, že byl PHP2Shell už zneužit
PHP2Shell je označení pro dvě kritické zranitelnosti přímo v PHP, jejichž prostřednictvím mohou útočníci bez přihlášení na dálku spustit škodlivý kód. Jednoznačný otisk zatím neexistuje. Proto rozhoduje, co server dělá, nikoli to, co najde skener. Na průnik upozorňují tyto příznaky:
- Procesy webového serveru nebo PHP-FPM, které spouštějí shell, například
shnebobash. To je silné varovné znamení. - Nové nebo změněné soubory PHP ve složkách pro nahrávání, cache nebo dočasných složkách, které nikdo nevytvořil.
- Cron úlohy, služby nebo klíče SSH, které neznáte.
- Odchozí spojení na neznámé cíle, náhle vysoká zátěž nebo neobvyklý datový provoz.
- Požadavky v lozích od 17. 10. 2026, zejména nápadná nahrávání souborů a požadavky na relace před nasazením záplaty.
- Zprávy od hostingu, prohlížeče nebo vyhledávače o spamu, malwaru či přesměrování.
Více najdete v článku Byl už můj server kompromitován?. Pokud nepozorujete žádný příznak, neznamená to, že je server čistý. Znamená to jen, že si dosud ničeho nevšimli.
Co udělat hned
- Nic neměnit. Nemažte soubory, neobnovujte zálohu, nic znovu neinstalujte, dokud není vše zajištěno.
- Zajistit logy. Požádejte svůj hosting nebo svou IT, aby nepřepisovaly přístupové, chybové a systémové protokoly. Odborný tisk radí uchovat logy od 20. 10. 2026.
- Rozhodnout o dostupnosti. Pokud by mohla unikat data nebo být ohrožena návštěvnost, odpojte web od sítě nebo ho přepněte do režimu údržby.
- Shromáždit přístupy. Poznamenejte si, kdo má přístup k serveru, panelu, CMS a databázi. Hesla měňte až po dohodě a z čistého zařízení.
- Informovat lidi. Vedení firmy, pověřence pro ochranu osobních údajů a v případě existující pojistky pojišťovnu.
- Zavolat nám nebo napsat. Čím dříve situaci známe, tím více lze doložit.
Jak PHP SOS konkrétně pomáhá?
Pracujeme na dálku, bez cestování, v celém Německu i v Evropě.
- Zmapování situace: Zjistíme, jaké systémy běží, jaký provozní režim PHP se používá, čeho jste si všimli a jaká data mohou být dotčena.
- Zajištění a uzavření: Zajistíme soubory, databázi a logy a před jakoukoli změnou zdokumentujeme výchozí stav. Poté zranitelnost uzavřeme záplatou, nebo pokud ji zatím nelze nasadit, přechodnými opatřeními, a restartujeme všechny procesy PHP.
- Kontrola a vyčištění: Hledáme webshelly, zadní vrátka, cron úlohy a cizí přístupy a odstraňujeme je, nebo systém znovu sestavíme z důvěryhodných zdrojů. Postup popisuje stránka Odstranění malwaru a webshellů.
- Hardening a zpráva: Změníme dotčená tajemství, doplníme ochranná opatření a dodáme zprávu, která odděluje doložené, pravděpodobné a neznámé.
Pokud incident přesáhne jeden server, přecházíme do strukturované reakce na incidenty (Incident Response). Pokud jsou potřeba důkazy, které obstojí u soudu, přizveme IT forenzní analýzu.
Proč samotná záplata po útoku nestačí
Zranitelnosti jsou v interpretu PHP, nikoli v CMS. Projekt PHP vydal 21. 10. 2026 verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Kdo poté aktualizoval a restartoval všechny workery, je proti novým útokům touto cestou chráněn. To, co útočník uložil dříve, však zůstává: webshell, další účet, naplánovaná úloha. Právě proto jsou dny mezi 17. a 21. 10. zvlášť důležité.
K tomu přistupuje druhý bod: webshell je často teprve první krok. Kdo mohl na webovém serveru spustit kód, mohl také číst konfigurační soubory a převzít z nich přístupy k databázi, poště a API. Tato tajemství je nutné vyměnit, jinak zůstanou dveře otevřené, i když je PHP záplatované. Jak rozumně zkontrolovat soubory a časové údaje, popisuje poradna k rozpoznání webshellů.
Oznamovací povinnost a dokumentace
Pokud mohly být dotčeny osobní údaje, může být nutné hlášení dozorovému úřadu do 72 hodin. Lhůta běží od okamžiku, kdy jste se o incidentu dozvěděli, nikoli od ukončení vyšetřování. Zda se váš případ hlásí, rozhodnou pověřenec pro ochranu osobních údajů nebo právník; právní poradenství neposkytujeme. Naše dokumentace k tomu poskytuje podklady. Více o lhůtě najdete na stránce Oznamovací povinnost podle GDPR do 72 hodin, další kroky v kontrolním seznamu po napadení.
Co nám poslat
- Popis, co a od kdy je nápadné, a kdo si toho všiml
- Typ serveru: vlastní server, spravovaný server nebo hostingový balíček, a hosting
- Výsledek příkazu
php -va, pokud je znám, provozní režim (PHP-FPM, mod_php, LiteSpeed) - Okamžik aktualizace PHP, pokud již byla nasazena
- Přístup k serveru nebo svolení jednat s vaším hostingem
- Kontaktní osoba s pravomocí rozhodnout o vypnutí a restartech
Proč PHP SOS
Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte jeden kontaktní bod, který vás provází od první zprávy až do uzavření. Vše, co děláme, se dokumentuje, abyste to mohli doložit vůči vedení, pojišťovně a úřadům. Neslibujeme nic, co nikdo nemůže splnit: pokud logy chybí, řekneme to otevřeně a uvedeme, co je doloženo a co zůstává domněnkou.
Týká se to vás? Zavolejte nám. Pomůžeme.
Nečekejte, až se podezření změní v jistotu. Zavolejte nebo napište přes WhatsApp. Přebíráme situaci od první zprávy a zůstáváme u ní, dokud není incident uzavřen a zdokumentován. Nahlásit nouzi hned.
Časté dotazy
Stačí aktualizovat PHP, když mohl být můj server už napaden?
Ne. Aktualizace zranitelnost uzavře, ale neodstraní již vložený škodlivý software a neprokazuje, že se předtím nic nestalo. Po nasazení záplaty je nutné server zkontrolovat na stopy průniku.
Podle čeho poznám úspěšný útok přes PHP2Shell?
Nejsou zveřejněny žádné potvrzené indikátory kompromitace (Indicators of Compromise). Detekce se opírá o chování: procesy webového serveru, které spouštějí shell, nové soubory PHP ve složkách pro nahrávání nebo cache, neznámé cron úlohy či klíče SSH a nápadná odchozí spojení.
Mám server odpojit od sítě, když tuším průnik?
Často je to správné, protože německé BSI doporučuje webový server dočasně odpojit od sítě, i když aktualizace není okamžitě možná. Důležité je přitom nic nemazat a zachovat logy i soubory, aby bylo možné incident objasnit.
Musím po útoku přes PHP2Shell informovat úřad pro ochranu osobních údajů?
Pokud mohly být dotčeny osobní údaje, může být nutné hlášení do 72 hodin. Rozhodnutí učiníte společně se svým pověřencem pro ochranu osobních údajů nebo s právníkem; technická fakta k tomu dodáme my.
Byly přes PHP2Shell už skutečně napadeny nějaké servery?
Podle zpráv médií byly od 17. 10. 2026 pozorovány první pokusy o útok a společnost Cloudflare hlásila pozorované pokusy o útok. Německé BSI zpočátku neoznámilo žádné potvrzené úspěšné útoky ve větším rozsahu. V jednotlivém případě to lze zjistit jen na samotném serveru.