# BSI stupeň varovania oranžový: čo zaradenie znamená

> Stupeň varovania BSI oranžový: čo znamenajú štyri stupne, prečo je PHP2Shell kritické pre podnikanie a aké rozhodnutia majú firmy prijať.

Zdroj: https://phpsos.de/sk/blog/bsi-warnstufe-orange-erklaert/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Stupeň varovania BSI oranžový je druhý najvyšší zo štyroch stupňov. Znamená: situácia IT ohrozenia je kritická pre podnikanie, bežná prevádzka môže byť masívne narušená. Pre PHP2Shell prideľuje BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) tento stupeň 3 a odporúča okamžitú aktualizáciu alebo, ak to nejde, dotknuté webové servery dočasne odpojiť od siete. Pre podniky znamená oranžový: téma patrí dnes na stôl vedenia.

## Čo zaradenie znamená pre rozhodovateľov

Mnohí konatelia počuli v správach o „stupni varovania oranžový“, bez toho, aby vedeli, ako ho zaradiť. Je to poplach pre všetkých, alebo téma pre IT oddelenie? Krátka odpoveď: oranžový je stupeň, pri ktorom BSI vychádza z toho, že bez rýchleho konania hrozia dotknutým vážne poruchy ich podnikania.

Podľa hessenschau hovorilo BSI pri PHP2Shell o mimoriadnom potenciáli ohrozenia. Počítalo s rýchlym, plošným zneužívaním. Potvrdené úspešné útoky vo väčšom rozsahu neboli v čase varovania podľa BSI známe. Oboje patrí k sebe: vysoký stupeň opisuje riziko, nie škodu, ktorá už nastala.

## Stupeň oranžový a ďalšie tri stupne

BSI zaraďuje svoje kybernetické bezpečnostné varovania na stupnici od 1 do 4. Nasledujúca tabuľka vystihuje význam zmysluplne:

| Stupeň | Farba | Význam (zmysluplne) |
|---|---|---|
| 1 | sivý | situácia IT ohrozenia bez podstatných nápadností |
| 2 | žltý | zvýšené sledovanie nápadností, bežná prevádzka dočasne narušená |
| 3 | oranžový | situácia kritická pre podnikanie, masívne narušenie bežnej prevádzky |
| 4 | červený | extrémne kritická situácia, bežnú prevádzku už nemožno v mnohých oblastiach udržať |

Stupeň vypovedá o situácii ako celku, nie o vašom jednotlivom serveri. Plne zaplátaný a skontrolovaný webový server je v dobrej pozícii aj pri oranžovom. Nezaplátaný server s PHP 8.1 a mod_php je ohrozený aj pri nižšom stupni.

### Ako stupnicu využiť interne

Mnohé podniky majú vlastné núdzové stupne, napríklad v havarijnej príručke alebo v rámci systému riadenia informačnej bezpečnosti. Oplatí sa stupne BSI tam pevne priradiť. Jednoduché pravidlo môže znieť: pri žltom kontroluje IT v rámci bežnej prevádzky. Pri oranžovom je vedenie informované v ten istý deň, určí sa zodpovedná osoba a stav všetkých dotknutých systémov sa zistí písomne. Pri červenom sa zíde krízový štáb.

Tak sa z jednej správy stane nacvičená reakcia. Kto priradenie určil vopred, nemusí v krízovom prípade diskutovať, či je situácia „dosť vážna“. Pri PHP2Shell by toto pravidlo znamenalo: ešte 21. októbra súpis, plán záplat a rozhodnutie o vypnutiach.

Samotné varovania zverejňuje BSI na svojom webe, kde ich pri nových poznatkoch aj aktualizuje. Oplatí sa čítať vždy aktuálne znenie, lebo odporúčania a posúdenia sa môžu počas situácie meniť.

## Prečo je PHP2Shell oranžový a nie červený

Na porovnanie sa často uvádza Log4Shell. Pre zraniteľnosť v knižnici Java Log4j vyhlásilo BSI v decembri 2021 stupeň červený, podľa vtedajších správ okrem iného preto, že zraniteľnosť bola triviálne zneužiteľná a kompromitácie boli už známe. V januári 2022 bolo varovanie podľa Bundestagu znížené na žltý.

Presné odôvodnenie oranžového stupňa pri PHP2Shell pozná len BSI. Rozpoznateľné rozdiely sú situácia pri potvrdených útokoch a skutočnosť, že pre všetky podporované vetvy PHP je aktualizácia k dispozícii. Podrobné porovnanie ponúka príspevok [PHP2Shell a Log4Shell](https://phpsos.de/sk/blog/php2shell-und-log4shell/). Oranžový pritom nie je uvoľnením. Odporúčanie v prípade potreby odpojiť servery od siete je pre úrad jasné vyhlásenie.

> **Dôležité:**
> Stupeň varovania sa môže meniť, oboma smermi. Rozhodujúci je aktuálny stav na webe BSI, nie novinový článok z predchádzajúceho dňa.

## Čo oranžový neznamená

V súčasnosti sa stretávame najčastejšie s tromi nedorozumeniami:

- **„Oranžový znamená, že sme napadnutí.“** Nie. Stupeň opisuje situáciu ohrozenia, nie nález na vašich systémoch.
- **„Oranžový platí len pre úrady.“** Nie. Varovania sú určené všetkým prevádzkovateľom dotknutých systémov, aj malým podnikom.
- **„Ak máme Cloudflare alebo WAF, oranžový sa nás netýka.“** Nie. Ochranné pravidlá znižujú riziko, ale aktualizáciu PHP nenahrádzajú.

Či z varovania vyplývajú právne povinnosti, napríklad v rámci [NIS2](https://phpsos.de/sk/compliance/nis2/), závisí od vášho odvetvia a veľkosti. Toto nie je právne poradenstvo; podrobnosti objasnite s vaším právnym poradcom alebo zodpovednou osobou pre ochranu údajov.

## Zaradenie premeniť na rozhodnutia

Stupeň varovania má hodnotu len taký, aké rozhodnutia z neho vyplynú. Pre PHP2Shell odporúčame podnikom toto poradie:

1. **Objasniť dotknutosť:** Ktoré servery a weby bežia s PHP, kto ich prevádzkuje?
2. **Doložiť stav záplat:** opravená verzia 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, alebo backport potvrdený poskytovateľom.
3. **Zabezpečiť reštart:** Všetky procesy PHP musia byť reštartované.
4. **Ak to hneď nejde:** Nastaviť prechodné opatrenia alebo server dočasne odpojiť od siete, ako odporúča BSI. Možnosti popisuje [Okamžité opatrenia bez záplaty](https://phpsos.de/sk/php2shell/sofortmassnahmen-ohne-patch/).
5. **Skontrolovať stopy a zálohovať logy:** od 20. októbra.
6. **Zdokumentovať rozhodnutia:** kto, čo a kedy rozhodol a na akom základe.

Práve posledný bod sa podceňuje. Kto pri oficiálnom varovaní stupňa oranžový konal nasledovateľne, stojí voči poisťovniam, zákazníkom a dohľadovým orgánom lepšie. Súvislosti poskytuje stránka o [zodpovednosti vedenia](https://phpsos.de/sk/compliance/geschaeftsfuehrer-haftung/).

## Ako konkrétne pomáha PHP SOS?

- **Situácia pre váš podnik:** Zaradenie BSI premieňame na zoznam vašich dotknutých systémov s prioritou.
- **Realizácia odporúčania:** Záplatujeme, reštartujeme alebo nastavujeme prechodné opatrenia, kým nie je aktualizácia možná.
- **Doklad:** Dostanete dokumentáciu, čo sa kedy stalo na ktorom serveri.
- **Sledovanie:** Ak BSI zmení zaradenie alebo prídu nové hlásenia, zaradíme ich pre vaše systémy.

Viac pod [okamžitá pomoc pri PHP2Shell](https://phpsos.de/sk/leistungen/php2shell-soforthilfe/).

## Záver

Stupeň varovania oranžový je druhý najvyšší stupeň BSI a pre PHP2Shell je dobre odôvodnený. Nevyžaduje paniku, ale rozhodnutie v ten istý deň: záplatovať, reštartovať, skontrolovať alebo dočasne vypnúť. Kto to zdokumentuje, varovanie správne pochopil.


## Časté otázky

**Koľko stupňov varovania má BSI?**  
Kybernetické bezpečnostné varovania BSI používajú štyri stupne: 1 / sivý, 2 / žltý, 3 / oranžový a 4 / červený. Oranžový je druhý najvyšší stupeň a opisuje situáciu IT ohrozenia kritickú pre podnikanie s masívnym narušením bežnej prevádzky.

**Je stupeň varovania oranžový povinnosťou konať?**  
Samotné varovanie je odborné posúdenie s odporúčaniami krokov. Aké povinnosti z neho pre váš podnik vyplývajú, napríklad z NIS2, zmlúv alebo poistných podmienok, závisí od konkrétneho prípadu. Objasnite to s vaším právnym poradcom; toto nie je právne poradenstvo.

**Prečo PHP2Shell nie je stupeň červený?**  
Dôvody zaradenia určuje samotné BSI. Nápadný je rozdiel oproti Log4Shell, ktorý v roku 2021 dostal červený stupeň: tam boli podľa vtedajších správ známe už kompromitácie. Pri PHP2Shell neboli potvrdené úspešné útoky vo väčšom rozsahu podľa BSI spočiatku známe.

**Môže sa stupeň varovania zmeniť?**  
Áno. BSI prispôsobuje zaradenie situácii, smerom nahor aj nadol. Log4Shell bol napríklad podľa Bundestagu v januári 2022 znížený z červeného na žltý. Aktuálny stav si overte priamo na BSI.

## Zdroje

- [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/)
- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [php.net: bezpečnostné hlásenia](https://www.php.net/)