Krótko: Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy. Jeśli podejrzewają Państwo, że serwer został zhakowany, na początku liczy się jedno: zachować ślady. Od pierwszej wiadomości przejmujemy zdalnie ocenę sytuacji, zabezpieczenie, powstrzymanie ataku, oczyszczenie i dokumentację, aż incydent zostanie zakończony.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Także nie przywracać kopii zapasowej, zanim wszystko nie zostanie zabezpieczone. Kto sprząta, niszczy właśnie te ślady, które pokazują, jak atakujący się dostał. Zgłoś awarię, a będziemy działać wspólnie.
Czy są Państwo dotknięci? Oznaki, że serwer został zhakowany
Podejrzenie wystarczy, aby się zgłosić. Nie muszą Państwo udowadniać ataku. Typowe wskazówki to:
- Serwer WWW lub PHP-FPM uruchamia procesy takie jak
shlubbash. To silny sygnał ostrzegawczy, który wyjaśniamy na stronie Serwer WWW uruchamia powłokę. - W folderach uploadu, pamięci podręcznej lub plików tymczasowych leżą nowe lub nieznane pliki PHP.
- Są zadania cron, których nikt nie utworzył, lub klucze SSH, których nikt nie potrafi przypisać.
- Obciążenie jest bez widocznej przyczyny wysokie albo serwer nawiązuje nietypowe połączenia wychodzące.
- Poczta z Państwa serwera trafia do spamu lub jest odrzucana.
- Hostingodawca, klient lub ostrzeżenie w przeglądarce zgłasza złośliwy kod.
- W CMS pojawiają się konta administratorów, których nikt nie utworzył.
Kolejne oznaki znajdą Państwo w artykule Czy już doszło do naruszenia?. Jeśli pasuje kilka punktów, proszę traktować serwer jako zhakowany, dopóki nie zostanie udowodnione coś przeciwnego.
Serwer zhakowany: co należy zrobić teraz
- Zachować spokój i niczego nie zmieniać. Nie usuwać plików, nie robić „szybkich napraw”, nie instalować od nowa na starym stanie.
- Zapisać czas. Proszę zanotować, co i kiedy Państwo zaobserwowali oraz kto ostatnio wprowadzał zmiany w systemie.
- Zachować logi. Dzienniki dostępu, błędów i systemowe nie mogą być rotowane ani nadpisywane. W przypadku PHP2Shell prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026.
- Zmniejszyć powierzchnię ataku. Proszę odłączyć serwer od sieci publicznej lub zablokować go zaporą, jeśli dane mogłyby wypływać. Nie wyłączać go po prostu.
- Zebrać dostępy. Kto ma dostęp przez SSH, panel, FTP, CMS i bazę danych? Hasła zmieniać dopiero po uzgodnieniu i tylko z czystego urządzenia.
- Wyznaczyć osobę kontaktową. Powinna być osiągalna osoba uprawniona do decyzji, także w sprawie wyłączenia i restartów.
- Zgłosić się teraz. Proszę zadzwonić lub napisać na WhatsApp. Całą resztę wyjaśniamy z Państwem krok po kroku.
Odłączyć od sieci czy pozwolić działać dalej?
To najczęstsze pytanie w pierwszych minutach i nie ma na nie uniwersalnej odpowiedzi. Jeśli działa sklep internetowy z płatnościami lub portal z danymi klientów, zazwyczaj przeważa ochrona danych. Wtedy czasowe odizolowanie jest słuszne, na przykład przez stronę konserwacyjną lub regułę zapory, która przepuszcza tylko Państwa administratorów.
Twarde wyłączenie rzadko jest natomiast najlepszym pierwszym krokiem, ponieważ w pamięci operacyjnej leżą ślady, które restart kasuje. Lepszy jest obraz systemu, na przykład migawka (snapshot) u hostingodawcy, zanim cokolwiek zostanie zmienione. W sytuacji PHP2Shell BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) zaleca czasowe odłączenie serwerów WWW od sieci, jeśli aktualizacja nie jest od razu możliwa. Nie oznacza to, że każdy wyłączony serwer został zhakowany.
To, czy w Państwa przypadku odizolować, ograniczyć czy pozwolić działać dalej, rozstrzygamy z Państwem na podstawie tego, co znajduje się w systemie.
Zainstalować od nowa czy oczyścić?
Wielu chciałoby najchętniej od razu odbudować serwer. To nie jest błędne, ale dopiero po zabezpieczeniu śladów. W przeciwnym razie pozostaje niejasne, jak atakujący się dostał, a ta sama droga stoi otworem także przed nowym systemem. Rozważenie opisuje strona Zainstalować serwer od nowa czy oczyścić?, a zabezpieczenie przed odbudową strona Zabezpieczyć dowody przed ponowną instalacją.
Ważne: sama aktualizacja PHP nie rozwiązuje problemu. Zamyka lukę, ale nie usuwa już wprowadzonego złośliwego oprogramowania. Jak znaleźć ślady w dziennikach, opisuje artykuł Analiza logów serwera WWW po ataku. I proszę zakładać, że dane dostępowe z plików konfiguracyjnych zostały odczytane: dostępy do bazy danych, poczty i API należą na listę sekretów do wymiany.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: Wyjaśniamy z Państwem, co zaobserwowano, które systemy mogą być dotknięte i jakie dane się na nich znajdują.
- Zabezpieczenie i zamknięcie: Zabezpieczamy pliki, bazę danych i logi, zanim cokolwiek zostanie zmienione. Następnie powstrzymujemy atak i zamykamy drzwi włamania, w przypadku PHP2Shell poprawką i restartem wszystkich procesów PHP.
- Sprawdzenie i oczyszczenie: Szukamy webshelli, tylnych drzwi, zadań cron i obcych dostępów i je usuwamy. Szczegóły znajdują się na stronie Usuwanie malware i webshelli.
- Wzmocnienie i raport: Otrzymują Państwo dokumentację z osią czasu, miejscami znalezisk i zaleceniami. Jeśli incydent wykracza poza jeden serwer, przechodzimy do uporządkowanej reakcji na incydenty (Incident Response).
Czego nie należy robić
W stresie zdarzają się błędy, których można uniknąć. Proszę nie usuwać „podejrzanych” plików na podstawie samego podejrzenia, bez ich wcześniejszego zabezpieczenia. Proszę nie wykonywać poleceń z for internetowych, których Państwo nie rozumieją. I nie instalować wtyczek bezpieczeństwa na serwerze, który mógł już zostać skompromitowany: złośliwy kod może zwodzić skanery, a wynik usypia czujność fałszywym poczuciem bezpieczeństwa. Ostrożnie także z poradami, aby blokować wszystkie żądania z określonym identyfikatorem sesji; autorzy branżowi wyraźnie odrzucają takie rady w sprawie PHP2Shell. Własną wersję można bezpiecznie sprawdzić poleceniem php -v i spojrzeniem na changelog pakietu w Państwa dystrybucji, ponieważ backporty często pozostawiają numer wersji bez zmian.
Co warto nam przesłać
- krótki opis: co zwróciło uwagę, od kiedy, co ostatnio zmieniono
- rodzaj systemu: własny serwer, serwer wirtualny, serwer zarządzany lub pakiet hostingowy
- dostęp przez SSH lub panel albo zgodę na rozmowę z hostingodawcą
- informacje o istniejących kopiach zapasowych i ich wieku
- komunikaty ostrzegawcze od hostingodawcy, przeglądarki lub klientów w brzmieniu dosłownym
Jeśli czegoś z tego brakuje, proszę mimo to się zgłosić. Luki uzupełniamy w rozmowie.
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie. Każdy krok jest dokumentowany, a otwarcie rozdzielamy to, co udowodnione, od tego, co prawdopodobne, i od tego, co nieznane. Nie składamy obietnic, których nikt nie może dotrzymać. Przegląd działań po incydencie znajduje się w liście kontrolnej po włamaniu, a całą pomoc awaryjną na stronie Strona zhakowana? Pomoc awaryjna zdalnie. O obowiązku zgłaszania naruszeń ochrony danych przeczytają Państwo w zasadzie 72 godzin; ocena prawna pozostaje w rękach inspektorów ochrony danych i prawników.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Proszę nie czekać, aż z podejrzenia wyrośnie większa szkoda. Przejmujemy sprawę od pierwszej wiadomości i zostajemy przy niej, aż incydent zostanie zakończony i udokumentowany. Zgłoś awarię teraz.
Częste pytania
Serwer zhakowany: czy mam go od razu wyłączyć?
Nie pochopnie. Wyłączenie może zniszczyć ulotne ślady w pamięci operacyjnej. Lepiej odłączyć serwer od sieci lub odizolować go zaporą i najpierw wykonać kopię zabezpieczającą. Jeśli nie są Państwo pewni, proszę wcześniej skontaktować się z nami.
Jak sprawdzić, czy mój serwer rzeczywiście został zhakowany?
Wskazówki dają procesy uruchamiane przez serwer WWW, nowe pliki PHP w folderach uploadu lub pamięci podręcznej, nieznane zadania cron i klucze SSH oraz nietypowe połączenia wychodzące. Pewność daje dopiero analiza logów i plików. Nie ma potwierdzonych wskaźników dla PHP2Shell, wykrywanie opiera się na analizie zachowania.
Czy aktualizacja PHP wystarczy, jeśli serwer został już zhakowany?
Nie. Poprawka zamyka drzwi włamania, ale nie usuwa już wprowadzonego złośliwego oprogramowania i nie dowodzi, że wcześniej nic się nie stało. Po aktualizacji trzeba ponadto zrestartować wszystkie procesy PHP.
Czy muszę zgłosić zhakowany serwer?
Jeżeli mogły zostać dotknięte dane osobowe, zgłoszenie do organu nadzorczego w ciągu 72 godzin może być konieczne. Ocenę wydaje inspektor ochrony danych lub prawnik, my dostarczamy do tego fakty techniczne.
Czy mogę sam oczyścić zhakowany serwer?
W małych systemach jest to możliwe, ale ryzykowne: kto usuwa tylko widoczne pliki, często przeoczy tylne drzwi, zadania cron lub dostępy. Sprawdzamy, czy wystarczy oczyszczenie, czy rozsądniejsza jest odbudowa z czystych źródeł.