Stručne: Čo robiť ako zákazník hostingu pri zraniteľnosti PHP2Shell? Aktualizáciu PHP väčšinou nemusíte nasadzovať sami, pri zdieľanom hostingu ju vybaví poskytovateľ hostingu. Vaše úlohy sú iné: vyžiadať si písomné potvrdenie stavu záplat, zvoliť v zákazníckom menu podporovanú verziu PHP a skontrolovať web, či nevykazuje nápadnosti. Tých 15 najčastejších otázok odpovedá tento príspevok stručne a postupne.
Zraniteľnosť PHP ako zákazník hostingu: som dotknutý, čo robiť?
Od 21. októbra 2026 dostávame veľa otázok od podnikov, ktorých web leží u poskytovateľa hostingu. Väčšina sa točí okolo tých istých bodov. Kto si chce zodpovednosti prečítať podrobnejšie, nájde ich pod Zdieľaný hosting: čo robí poskytovateľ a čo musíte urobiť vy.
1. Je môj web vôbec dotknutý?
Ak váš web beží na WordPress, Shopware, TYPO3, Joomla, Contao alebo inom systéme PHP, môže byť dotknutý server pod ním. Čisto stránky HTML bez PHP dotknuté nie sú. V prípade pochybností pomôže pohľad do zákazníckeho menu: ak tam existuje nastavenie verzie PHP, PHP používate.
2. Aký je rozdiel medzi zdieľaným hostingom a vlastným serverom?
Pri zdieľanom hostingu zdieľate server prevádzkovaný poskytovateľom hostingu s ostatnými zákazníkmi; PHP udržiava poskytovateľ. Pri vlastnom root serveri alebo vServeri ste zodpovední vy sami. Pri spravovanom serveri určuje zmluva, kto nasadzuje aktualizácie.
3. Môj poskytovateľ hostingu poslal hromadný e-mail. Musím ešte niečo urobiť?
Prečítajte si presne, čo v ňom stojí. Hromadný e-mail často len potvrdzuje, že poskytovateľ hostingu „na téme pracuje“. Potrebujete vyjadrenie k vášmu balíku: vetva PHP, stav záplat, čas a reštart.
Zodpovednosť a aktualizácia
4. Nasadí poskytovateľ hostingu aktualizáciu automaticky?
Spravidla áno, pre verzie PHP, ktoré na svojich serveroch ponúka. Či sa to už stalo a či sú pokryté aj staršie verzie, sa líši od poskytovateľa k poskytovateľovi. Opýtajte sa.
5. Moje zákaznícke menu zobrazuje starú verziu. Som nechránený?
Nie nevyhnutne. Mnohí poskytovatelia hostingu zabudujú opravy ako backport, číslo potom zostane rovnaké. Plesk môže napríklad naďalej zobrazovať 8.2.34, hoci je chyba odstránená. Rozhodujúce je potvrdenie poskytovateľa hostingu.
6. Stále používam PHP 7.4 alebo 8.1. Čo teraz?
Tieto vetvy už od projektu PHP nedostávajú oficiálne aktualizácie. Niektorí poskytovatelia hostingu dodávajú vlastné opravy, iní nie. Objasnite to písomne a naplánujte prechod na podporovanú vetvu. Predtým si v systémových požiadavkách vášho CMS skontrolujte, ktoré verzie PHP podporuje.
7. Môžem verziu PHP prepnúť sám?
U väčšiny poskytovateľov hostingu áno, v zákazníckom menu. Ako na to a na čo dbať vopred, popisuje príspevok Zmena verzie PHP v zákazníckej zóne hostingu. Vopred urobte zálohu.
8. Pomôže aktualizovať WordPress alebo zásuvné moduly?
Proti PHP2Shell nie, pretože zraniteľnosť je v PHP. Aktualizácie CMS sú napriek tomu zmysluplné, lebo uzatvárajú iné zraniteľnosti.
Kontrola a doklad
9. Ako získam od poskytovateľa hostingu doklad?
Písomnou žiadosťou, ktorá vyžaduje konkrétne údaje: stav balíka pre každú vetvu PHP, dátum inštalácie, reštart všetkých procesov PHP. Vzor na skopírovanie ponúka sprievodca Vyžiadať od poskytovateľa hostingu potvrdenie aktualizácie PHP.
10. Môžem prechodné opatrenia nastaviť cez .user.ini?
Nie. php.net výslovne odrádza od nastavenia prechodných opatrení cez ini_set() alebo .user.ini. Patria do konfigurácie servera a tú pri zdieľanom hostingu spravuje poskytovateľ hostingu.
11. Môj web bol krátko offline. Bol som napadnutý?
Nie nevyhnutne. Niektorí poskytovatelia hostingu weby preventívne vypli alebo servery reštartovali. Opýtajte sa na dôvod, než si urobíte závery.
12. Podľa čoho spoznám, že môj web bol napadnutý?
Možné náznaky sú neznáme administrátorské účty, nové súbory PHP v priečinku s uploadmi, presmerovania na cudzie stránky, cudzie stránky v indexe Google alebo varovania v Search Console. Požiadajte poskytovateľa hostingu, aby uchoval prístupové logy od 20. októbra.
Keď niečo nesedí
13. Poskytovateľ hostingu neodpovedá alebo odpovedá vyhýbavo. Čo robiť?
Opýtajte sa písomne a stanovte primeranú lehotu. Ak odpoveď nepríde, mali by ste server považovať za nekontrolovaný a zvážiť dočasné prepnutie webu na statickú núdzovú stránku.
14. Mám zmeniť poskytovateľa hostingu?
Zmena uprostred situácie prináša vlastné riziká. Zmysluplná je vtedy, ak poskytovateľ hostingu trvalo neposkytuje informácie alebo ďalej prevádzkuje staré verzie PHP bez opravy. Čo treba zohľadniť, popisuje Zmena poskytovateľa hostingu po incidente.
15. Musím niečo nahlásiť?
Ak existujú náznaky útoku a môžu byť dotknuté osobné údaje, môže existovať oznamovacia povinnosť podľa GDPR, spravidla do 72 hodín. Objasnite to so zodpovednou osobou pre ochranu údajov alebo s advokátom. Toto nie je právne poradenstvo.
Váš krátky kontrolný zoznam
- Spýtať sa poskytovateľa hostingu písomne na stav záplat a reštart.
- Skontrolovať verziu PHP v zákazníckom menu, zastarané vetvy nahradiť.
- Prejsť administrátorské účty a priečinok s uploadmi.
- Skontrolovať Search Console, či neobsahuje varovania.
- Pri nápadnostiach zohnať pomoc skôr, než zmažete súbory.
Ako konkrétne pomáha PHP SOS?
- Vyjasnenie s poskytovateľom hostingu: Sformulujeme žiadosť alebo vedieme rozhovor a vyhodnotíme odpoveď.
- Kontrola webu: Hľadáme stopy v súboroch, databáze a účtoch, pokiaľ to hostingový balík umožňuje.
- Vyčistenie: Ak nájdeme škodlivý kód, odstránime ho a vymeníme všetky prístupy.
- Dokumentácia: Dostanete stav písomne.
Pri konkrétnom podozrení pomôže núdzová pomoc pri napadnutých weboch.
Záver
Ako zákazník hostingu nenesiete pri PHP2Shell záťaž aktualizácie, ale zodpovednosť za svoj web. Väčšinu otázok vybavíte jasnou písomnou odpoveďou vášho poskytovateľa hostingu. Čo potom zostane, je pohľad na vlastný web: účty, súbory, upozornenia Google. Kto urobil obe veci, splnil svoju časť a v prípade pochybností vie doložiť, že konal starostlivo.
Časté otázky
Kto je pri webhostingu zodpovedný za aktualizáciu PHP?
Pri zdieľanom hostingu spravidla poskytovateľ hostingu, pretože prevádzkuje server a inštaláciu PHP. Vy zodpovedáte za svoj web, svoje prístupy a výber verzie PHP v zákazníckom menu. Pri spravovaných serveroch rozdelenie upravuje zmluva.
Prečo môj poskytovateľ hostingu zobrazuje starú verziu PHP?
Mnohí poskytovatelia hostingu a distribúcie zabudujú opravu ako backport do existujúcej verzie. Číslo potom zostane rovnaké, hoci je zraniteľnosť uzavretá. Spoliehajte sa preto na písomné potvrdenie poskytovateľa hostingu, nie na zobrazenie.
Čo môžem ako zákazník hostingu skontrolovať sám?
Môžete skontrolovať nastavenú verziu PHP v zákazníckom menu, prezrieť si administrátorské účty vášho CMS, pozrieť sa po neznámych súboroch v priečinku s uploadmi a skontrolovať Search Console, či neobsahuje varovania. Stav záplat samotného servera môže doložiť iba poskytovateľ hostingu.
Pomôže nastavenie firewallu v hostingovom balíku?
Pravidlá firewallu poskytovateľa hostingu alebo predradenej služby môžu riziko znížiť. Aktualizáciu PHP na serveri však nenahrádzajú. Preto sa vždy najprv pýtajte na aktualizáciu.