# Poradniki: bezpieczeństwo PHP i serwerów > Poradniki o bezpieczeństwie PHP: webshelle, backdoory, php.ini, SQL injection, XSS, przesyłanie plików, logi, kopie zapasowe i nagłówki bezpieczeństwa. Źródło: https://phpsos.de/pl/ratgeber/ Stan: 25.10.2026 Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6 Artykuły eksperckie dla administratorów i programistów: rozpoznawanie webshelli, utwardzanie php.ini, analiza logów, bezpieczne programowanie. - [Oś czasu PHP2Shell: chronologia od 17 do 25 października 2026](https://phpsos.de/pl/ratgeber/php2shell-chronologie/): Wszystkie potwierdzone daty dotyczące PHP2Shell w jednym zestawieniu, od pierwszej zaobserwowanej próby ataku do stanu na 25.10.2026, oraz wnioski dla Państwa kontroli. - [Potwierdzenie aktualizacji PHP od hostingu: jak zapytać o stan poprawek](https://phpsos.de/pl/ratgeber/hoster-patch-status-erfragen/): Wyświetlana wersja PHP po PHP2Shell niewiele dowodzi. Za pomocą tego wzoru zażądają Państwo od hostingu potwierdzenia, które można udokumentować. - [Jak wykryć i usunąć webshell](https://phpsos.de/pl/ratgeber/webshell-erkennen/): Jak wyszukać tylne furtki na serwerach WWW z PHP bez niszczenia śladów i dlaczego samo usunięcie rzadko wystarcza. - [Backdoor w WordPressie: systematyczne wyszukiwanie tylnych furtek](https://phpsos.de/pl/ratgeber/backdoor-wordpress-finden/): Gdzie zwykle ukrywają się tylne furtki w WordPressie i jak administratorzy mogą je systematycznie wyszukać za pomocą WP-CLI i kilku poleceń. - [Jak bezpiecznie skonfigurować php.ini](https://phpsos.de/pl/ratgeber/php-ini-sicher-konfigurieren/): Które ustawienia w php.ini zmniejszają powierzchnię ataku, jak chronić je przed nadpisaniem i co obowiązuje dodatkowo po PHP2Shell. - [Jak prawidłowo stosować PHP disable_functions](https://phpsos.de/pl/ratgeber/disable-functions/): Za pomocą disable_functions blokują Państwo ryzykowne funkcje PHP. Jak ustalić listę odpowiednio do aplikacji, nie paraliżując strony. - [open_basedir i izolacja każdej strony](https://phpsos.de/pl/ratgeber/open-basedir/): Jak za pomocą open_basedir, osobnych użytkowników systemowych i oddzielnych pul PHP-FPM zapobiec temu, by włamanie na jedną stronę dotknęło wszystkich pozostałych na serwerze. - [Uprawnienia do plików na serwerze WWW](https://phpsos.de/pl/ratgeber/dateirechte-webserver/): Dlaczego serwer WWW nie może zmieniać własnego kodu, jakie uprawnienia dla plików i folderów mają sens i jak szybko sprawdzić stan obecny. - [composer audit: kontrola zależności pod kątem luk](https://phpsos.de/pl/ratgeber/composer-abhaengigkeiten-pruefen/): Jak programiści za pomocą composer audit znajdują znane luki w bibliotekach, automatyzują kontrolę i unikają typowych błędów we wdrożeniu. - [Koniec wsparcia PHP (End of Life): ryzyko przestarzałych wersji](https://phpsos.de/pl/ratgeber/php-end-of-life-risiken/): Co oznacza koniec wsparcia wersji PHP, które gałęzie dostają po PHP2Shell jeszcze oficjalne poprawki i jak uczynić migrację planowalną. - [Jak zapobiegać SQL injection w PHP](https://phpsos.de/pl/ratgeber/sql-injection-php/): Jak programiści niezawodnie wykluczają SQL injection w aplikacjach PHP za pomocą prepared statements, białych list i minimalnych uprawnień bazy danych. - [Zapobieganie XSS w PHP: skuteczna obrona przed cross-site scripting](https://phpsos.de/pl/ratgeber/xss-php/): Jak programiści zapobiegają cross-site scripting w aplikacjach PHP: kodowanie zależne od kontekstu, auto-escaping w szablonach, oczyszczanie HTML i Content Security Policy. - [Bezpieczne przesyłanie plików w PHP: bezpieczeństwo uploadu](https://phpsos.de/pl/ratgeber/datei-upload-sicher/): Formularze uploadu to częsta droga dla webshelli. Jak prawidłowo sprawdzać typy plików, bezpiecznie je zapisywać i zapobiegać wykonywaniu przesłanych skryptów przez serwer. - [Zabezpieczanie sesji w PHP: bezpieczeństwo sesji PHP w praktyce](https://phpsos.de/pl/ratgeber/session-sicherheit-php/): Sesje utrzymują użytkowników zalogowanych i są przez to atrakcyjnym celem. Jak bezpiecznie skonfigurować ciasteczka, identyfikatory sesji i miejsca zapisu oraz wdrożyć wskazówkę PHP2Shell o upload progress. - [Niebezpieczna deserializacja w PHP: unserialize i bezpieczeństwo](https://phpsos.de/pl/ratgeber/deserialisierung-php/): unserialize() z obcymi danymi może w najgorszym razie doprowadzić do wykonania kodu. Jak zastąpić je JSON-em, ograniczyć tam, gdzie musi zostać, i znaleźć ryzykowne miejsca w kodzie. - [Zapobieganie Local File Inclusion w PHP: LFI i RFI](https://phpsos.de/pl/ratgeber/lfi-rfi/): Gdy include lub require przejmują ścieżki z żądania, atakujący mogą ładować obce pliki. Jak bezpiecznie zbudować wybór stron i szablonów oraz dodatkowo zabezpieczyć serwer. - [Ochrona logowania administratora przed brute force: ochrona każdego logowania](https://phpsos.de/pl/ratgeber/brute-force-login-schutz/): Zautomatyzowane próby haseł trafiają w każdą dostępną stronę logowania. Jak spowolnić atakujących za pomocą rate limitingu i Fail2ban, chronić konta drugim składnikiem i prawidłowo przechowywać hasła. - [DDoS czy atak hakerski? Jak prawidłowo ocenić atak](https://phpsos.de/pl/ratgeber/ddos-oder-exploit/): Wolna strona, duże obciążenie, dziwne pliki: czy za tym stoi DDoS, czy włamanie, decyduje o właściwej reakcji. Jak ocenić sytuację kilkoma kontrolami. - [Analiza logów serwera WWW po ataku: jak prawidłowo czytać access log](https://phpsos.de/pl/ratgeber/logfiles-auswerten/): Pliki logów są po ataku często najważniejszym śladem. Jak prawidłowo zabezpieczyć logi dostępu, błędów i PHP, znaleźć podejrzane żądania i uniknąć typowych błędów w analizie. - [Jak wdrożyć uwierzytelnianie dwuskładnikowe dla dostępów administratora](https://phpsos.de/pl/ratgeber/zwei-faktor-admin/): Skradzione hasło nie może wystarczyć do przejęcia Państwa serwera lub sklepu. Jak wybrać odpowiednią metodę, zabezpieczyć wszystkie dostępy administratora i zaplanować dostępy awaryjne. - [Strategia backupu serwera: backupy według reguły 3-2-1](https://phpsos.de/pl/ratgeber/backups-3-2-1/): Backup pomaga tylko wtedy, gdy przetrwa atak i da się go przywrócić. Jak wdrożyć regułę 3-2-1 dla serwerów WWW oraz prawidłowo zaplanować przechowywanie i testy. - [Nagłówki bezpieczeństwa stron WWW: jak je prawidłowo ustawić](https://phpsos.de/pl/ratgeber/sicherheits-header/): Nagłówki bezpieczeństwa każą przeglądarce lepiej chronić odwiedzających. Jak ustawić najważniejsze nagłówki w Nginx i Apache, wprowadzić Content-Security-Policy stopniowo i sprawdzić wynik. - [Jak usunąć ostrzeżenie Google „Ta witryna została zhakowana”](https://phpsos.de/pl/ratgeber/google-warnung-entfernen/): Ostrzeżenie o włamaniu w wynikach wyszukiwania kosztuje odwiedzających i zaufanie. Jak dokładnie oczyścić stronę, znaleźć ukryte strony ze spamem i złożyć wniosek o weryfikację w Search Console. - [Lista kontrolna po włamaniu: 20 punktów na etap po incydencie](https://phpsos.de/pl/ratgeber/checkliste-nach-dem-hack/): Po ataku liczy się właściwa kolejność. Ta lista kontrolna prowadzi w 20 punktach przez ograniczenie szkód, zabezpieczenie dowodów, oczyszczenie, nowe dostępy, obowiązki i udokumentowane zamknięcie.