# Znaleziono webshell? Jak teraz właściwie postąpić

> Znaleziono webshell lub podejrzany plik PHP? Nie usuwać, najpierw zabezpieczyć. Ustalamy zakres i punkt wejścia. Zadzwoń lub napisz na WhatsApp.

Źródło: https://phpsos.de/pl/soforthilfe/webshell-gefunden/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Webshell to mały plik, przez który obca osoba może zdalnie sterować Państwa serwerem. Kto go znalazł, jest bardzo prawdopodobnie dotknięty i powinien zgłosić się od razu. Nie usuwać, nie otwierać, najpierw zabezpieczyć. Wyjaśniamy zdalnie, jak trafił na serwer, czy istnieją dalsze dostępy, i czyścimy serwer.

> **Działać natychmiast:**
> **Teraz niczego nie usuwać i niczego nie instalować od nowa.** Sam webshell także na razie pozostaje na miejscu, aby można go było zabezpieczyć. Czy są Państwo dotknięci? Proszę zadzwonić lub napisać na WhatsApp albo zgłosić znalezisko przez [Zgłoś awarię](https://phpsos.de/pl/notfall/).

## Znaleziono webshell: co to oznacza?

Webshell to skrypt PHP (lub skrypt w innym języku serwerowym), który przyjmuje polecenia z zewnątrz. Dzięki niemu atakujący mogą odczytywać pliki, pobierać dane, doładowywać złośliwy kod i docierać do kolejnych systemów. Plik rzadko jest więc celem ataku. To tylne drzwi, które włamywacz zostawia, aby wrócić.

Mają to dwie konsekwencje. Po pierwsze: ktoś miał już dostęp zapisu do Państwa serwera lub mógł wykonywać kod. Po drugie: znaleziony plik prawdopodobnie nie jest jedyny. Dochodzi do tego to, czego często nie wiadomo: od kiedy tam leży i co w międzyczasie z jego pomocą zrobiono?

## Po czym poznać webshell

- plik PHP w folderze, w którym nie powinno go być, na przykład w uploadach, pamięci podręcznej, obrazach lub katalogach tymczasowych
- nazwy plików, które wyglądają jak pliki systemowe, ale nie należą do Państwa oprogramowania, albo nazwy z podwójnym rozszerzeniem
- nieczytelny kod z długimi ciągami znaków, kodowaniem i funkcjami do wykonywania poleceń, zob. [Rozpoznawanie zaciemnionego kodu PHP](https://phpsos.de/pl/blog/verschleierter-php-code/)
- data modyfikacji, która nie pasuje do Państwa aktualizacji
- dostępy do tego pliku w logach, często z obcych adresów i żądaniami POST
- procesy serwera WWW uruchamiające powłokę, jak opisano w artykule [Sygnał ostrzegawczy: serwer WWW uruchamia powłokę](https://phpsos.de/pl/blog/webserver-startet-shell/)

Jak prawidłowo interpretować znaleziska, opisuje artykuł [Pliki PHP w folderze uploadu](https://phpsos.de/pl/blog/php-dateien-im-upload-ordner/), a szczegółowo [Rozpoznawanie i usuwanie webshelli](https://phpsos.de/pl/ratgeber/webshell-erkennen/).

## Co należy zrobić teraz

1. **Nie otwierać pliku i nie uruchamiać go.** Bez testów w przeglądarce.
2. **Nie usuwać i nie przenosić.** Nie zmieniać ani zawartości, ani znaczników czasu.
3. **Zanotować:** pełną ścieżkę, nazwę pliku, czas znalezienia, kto go odkrył i czym.
4. **Zabezpieczyć plik i metadane:** kopię z właścicielem, uprawnieniami i znacznikami czasu. Wystarczą polecenia tylko do odczytu, na przykład:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Zachować logi:** nie pozwolić na nadpisanie dzienników dostępu i błędów serwera WWW i PHP. Prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026.
6. **W razie potrzeby odizolować serwer:** jeśli podejrzewają Państwo, że dane wypływają, proszę odłączyć stronę od sieci. Jak przy tym zachować dowody, opisuje artykuł [Zabezpieczyć dowody przed ponowną instalacją](https://phpsos.de/pl/blog/beweise-sichern-vor-neuinstallation/).
7. **Poinformować nas,** zanim zmienione zostaną hasła lub oczyszczone pliki.

## Jak PHP SOS pomaga w praktyce?

1. **Ocena sytuacji:** Co znaleziono, gdzie, kiedy i przez kogo? Jakie systemy znajdują się na tym samym serwerze?
2. **Zabezpieczenie i zamknięcie:** Zabezpieczamy znalezisko, pliki, bazę danych i logi oraz blokujemy dostępy, które wyglądają podejrzanie.
3. **Sprawdzenie i oczyszczenie:** Szukamy dalszych webshelli, zmienionych plików rdzenia, [ukrytych zadań cron](https://phpsos.de/pl/blog/cronjobs-als-hintertuer/), obcych kont administratorów i [nieznanych kluczy SSH](https://phpsos.de/pl/blog/ssh-schluessel-pruefen/) i je usuwamy. Postępowanie odpowiada usłudze [Usuwanie malware i webshelli](https://phpsos.de/pl/leistungen/malware-entfernung/).
4. **Wzmocnienie i raport:** Wskazujemy prawdopodobny punkt wejścia, zamykamy go i zabezpieczamy serwer. Otrzymują Państwo dokumentację ze znaleziskami i osią czasu.

## Jak webshell trafił na serwer?

Typowe drogi to przestarzałe wtyczki lub rozszerzenia, niebezpieczne uploady plików, skradzione dane dostępowe i luki w oprogramowaniu serwera. Od czasu opublikowania PHP2Shell dochodzi kolejna możliwość: PHP bez poprawek z wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 może zostać zdalnie wykorzystane do wykonania kodu. Potwierdzone wskaźniki naruszenia (Indicators of Compromise) w tej sprawie nie istnieją, wykrywanie opiera się na zachowaniu. To, czy wejście u Państwa nastąpiło przez PHP2Shell, czy inną drogą, można wywnioskować wyłącznie ze śladów, a my zaznaczamy, co jest udowodnione, a co przypuszczeniem. Jak pomagają w tym logi, pokazuje artykuł [Analiza logów serwera WWW](https://phpsos.de/pl/ratgeber/logfiles-auswerten/).

Poprawka nie usuwa przy tym istniejącego webshella. Do tego należy także ochrona przed przyszłymi znaleziskami: [zakaz wykonywania PHP w folderach uploadu](https://phpsos.de/pl/blog/php-in-uploads-verbieten/) zapobiega wielu przypadkom. Proszę też pamiętać o [granicach skanerów malware](https://phpsos.de/pl/blog/grenzen-von-malware-scannern/): skanowanie bez znaleziska nie jest sygnałem odwołania alarmu.

Jeśli muszą Państwo wiedzieć, co dokładnie się stało, na przykład dla ubezpieczyciela lub urzędów, sensowna może być [informatyka śledcza](https://phpsos.de/pl/leistungen/it-forensik/).

## A jeśli webshell wraca po usunięciu?

Zdarza się to często i ma zwykle dwie przyczyny. Albo istnieje co najmniej jedna dalsza tylna furtka, która tworzy znalezisko na nowo, albo punkt wejścia jest nadal otwarty i atakujący po prostu wraca. Żadnego z tych przypadków nie rozwiąże wielokrotne usuwanie. Dlatego szukamy całości zmian: nowych i zmienionych plików, wpisów w bazie danych i konfiguracji, zaplanowanych zadań, kont. [Lista ostatnio zmienionych plików](https://phpsos.de/pl/blog/geaenderte-dateien-finden/) jest sensownym początkiem, ale nie zastępuje sprawdzenia przez specjalistów.

## Co warto nam przesłać

- ścieżkę i nazwę pliku, najlepiej jako kopię ze znacznikami czasu (drogę przekazania uzgodnimy)
- fragmenty logów dostępu z okolic tego pliku, jeśli mają Państwo dostęp
- rodzaj serwera, hostingodawcę, wersję PHP i tryb pracy, jeśli znane
- jakie strony i aplikacje działają na serwerze
- kiedy ostatnio odbyły się aktualizacje, uploady lub zmiany

## Dlaczego PHP SOS

Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Jedna osoba kontaktowa prowadzi Państwa przez incydent. Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie, dokumentujemy każdy krok i nie składamy obietnic, których nikt nie może dotrzymać. Zostajemy przy sprawie, aż incydent zostanie zakończony i udokumentowany.

## Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.

Znaleziony webshell to sygnał ostrzegawczy, który należy potraktować poważnie. Proszę zgłosić się teraz, telefonicznie lub przez WhatsApp, a przejmiemy sprawę od pierwszej wiadomości. [Zgłoś awarię teraz](https://phpsos.de/pl/notfall/)


## Częste pytania

**Znalazłem webshell. Czy mogę po prostu usunąć plik?**  
Proszę nie robić tego jako pierwszego kroku. Plik pokazuje, kiedy i czym posłużył się atakujący. Proszę go najpierw zabezpieczyć wraz ze znacznikami czasu i właścicielem, a potem zostanie usunięty w sposób celowy. Kto tylko usuwa, zwykle zostawia dalsze dostępy.

**Czy mam otworzyć podejrzany plik w przeglądarce, żeby zobaczyć, co robi?**  
Nie. Otwarcie może uruchomić złośliwy kod i zatrzeć kolejne ślady. Plik proszę sprawdzać wyłącznie w trybie odczytu i najlepiej na kopii.

**Czy skaner malware wystarczy, aby znaleźć wszystkie webshelle?**  
Nie w sposób niezawodny. Skanery rozpoznają znane wzorce, ale zaciemnione lub nowo zbudowane webshelle im umykają. Czysty wynik skanowania nie dowodzi, że niczego już nie ma.

**Skąd wiem, jak długo webshell leży na serwerze?**  
Wskazówki dają data modyfikacji, logi dostępu i błędów oraz porównania z innymi nowymi plikami. Znaczniki czasu można jednak fałszować. Dlatego oceniamy kilka źródeł i zaznaczamy, co jest udowodnione, a co przypuszczeniem.

**Czy muszę zgłosić znalezisko?**  
Jeżeli mogły zostać dotknięte dane osobowe, zgłoszenie do organu nadzorczego może być konieczne. Doradzają w tym inspektorzy ochrony danych lub prawnicy; my dostarczamy fakty techniczne.

## Źródła

- [BSI: Federalny Urząd ds. Bezpieczeństwa Informacji (Niemcy)](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [RODO art. 33: zgłoszenie do organu nadzorczego](https://dsgvo-gesetz.de/art-33-dsgvo/)