# PHP2Shell za päť minút: brífing pre vedenie firmy > PHP2Shell za päť minút: situácia, riziko pre podnikanie, päť otázok pre vaše IT a rozhodnutia, ktoré by mali konatelia prijať ešte dnes. Zdroj: https://phpsos.de/sk/blog/php2shell-briefing-geschaeftsfuehrung/ Stav: 25.10.2026 Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručne:** Bezpečnostná zraniteľnosť PHP2Shell pozostáva z dvoch kritických chýb v PHP, základe väčšiny webov a internetových obchodov. Útočníci môžu cez ňu bez hesla spúšťať škodlivý kód na webových serveroch. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) varuje stupňom oranžový a radí: ihneď aktualizovať, inak dotknuté servery dočasne odpojiť od siete. Pre vedenie firmy to dnes znamená: určiť zodpovednosť, vyžiadať aktualizáciu a doklad, rozhodnúť o vypnutí a všetko zdokumentovať. ## Situácia v troch vetách Dňa 21. októbra 2026 zverejnil projekt PHP aktualizácie pre dve kritické bezpečnostné zraniteľnosti, známe pod názvom PHP2Shell. Dotknuté je samotné PHP, nie konkrétny produkt, teda potenciálne každý web, e-shop a portál, ktorý beží na PHP. BSI vyhlásilo stupeň varovania 3 (oranžový), bezpečnostné firmy hlásia pokusy o útok, potvrdené úspešné útoky vo väčšom rozsahu neboli podľa BSI spočiatku známe. Úrady, ako BKA (nemecký Spolkový kriminálny úrad) a viaceré mestá, podľa mediálnych správ svoje weby preventívne vypli. Bola to opatrnosť, nie znak útoku. ## Čo zraniteľnosť PHP znamená pre vedenie a podnik Otázka nie je, či PHP používate. Takmer každý podnik ho niekde používa: web, e-shop, portál pre uchádzačov, zákaznícku zónu, intranet, ticketovací systém, mikrosite agentúry. Otázka je, či sú tieto systémy aktuálne a kto za ne zodpovedá. Ak sa útok podarí, útočník môže v najhoršom prípade prevziať server. Možné následky sú únik údajov, manipulovaný obsah, presmerovania na podvodné stránky, výpadok e-shopu alebo zneužitie servera na ďalšie útoky. Ak môžu byť dotknuté osobné údaje, pribúdajú oznamovacie povinnosti; lehota podľa čl. 33 GDPR je spravidla 72 hodín. Podrobnosti nájdete pod [Oznamovacia povinnosť podľa GDPR](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/). Toto nie je právne poradenstvo. Aké náklady typicky vznikajú v krízovom prípade, zaraďuje príspevok [Nákladové položky hacku](https://phpsos.de/sk/blog/kostenposten-eines-hacks/). ### Kde sa PHP v podnikoch často prehliada Hlavný web majú väčšinou na očiach. Prehliadajú sa skôr systémy na okraji: portál pre uchádzačov od externého poskytovateľa, vstupná stránka z minulej kampane, partnerská zóna pre predajcov, ticketovací systém podpory, dátový cloud na vlastnom serveri alebo webové rozhranie sieťového úložiska. Aj testovacie systémy agentúr sú často verejne dostupné a bežia na tom istom serveri ako skutočný web. Pre vedenie je poučenie jednoduché: otázka na IT neznie „Je náš web zaplátaný?“, ale „Sú zaplátané všetky naše systémy s PHP, aj tie od dodávateľov?“. Rozdiel medzi oboma otázkami je často presne miesto, kde má útok úspech. ### Čo situácia nie je Rovnako dôležité je zaradenie nadol. PHP2Shell nie je dôvod na aktivizmus, ktorý narúša prevádzku viac, než je nutné. Kto doložene zaplátal, reštartoval všetky procesy PHP a pri kontrole nenašiel nič nápadné, sa môže vrátiť do bežnej prevádzky. Dočasné vypnutie je možnosť pre nevyjasnené prípady, nie povinnosť pre všetkých. ## Päť otázok pre vaše IT alebo poskytovateľa služieb Tieto otázky môžete položiť ešte dnes. Odpovede by mali prísť písomne. 1. **Ktoré z našich systémov bežia s PHP?** Zoznam s adresou, účelom a prevádzkovateľom. 2. **Je každý systém zaplátaný?** Opravená verzia 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, alebo backport potvrdený poskytovateľom. 3. **Boli všetky procesy PHP reštartované?** Bez reštartu aktualizácia nezaberie. 4. **Čo so systémami na PHP 8.1 alebo staršom?** Pre ne neexistujú oficiálne aktualizácie. Aký je plán? 5. **Bolo skontrolované, či sa pred aktualizáciou niečo stalo?** Logy od 20. októbra zálohované, stopy hľadané? Ak váš web leží u poskytovateľa hostingu, pomôže formálna žiadosť. Vzor ponúka sprievodca [Vyžiadať od poskytovateľa hostingu potvrdenie aktualizácie PHP](https://phpsos.de/sk/ratgeber/hoster-patch-status-erfragen/). ## Rozhodnutia, ktoré by mali padnúť dnes | Rozhodnutie | Možnosti | Základ | |---|---|---| | Kto riadi? | zodpovedná osoba interne, externý partner | zodpovednosť musí byť jednoznačná | | Nezaplátané systémy | ihneď zaplátať, prechodné opatrenia, dočasne vypnúť | odporúčanie BSI, údajová situácia, význam pre tržby | | Kontrola stôp | interne, externe, len pri nápadnostiach | potreba ochrany údajov na serveri | | Komunikácia | informovať interne, pripraviť zákazníkov, počkať | situácia po kontrole | | Staré systémy | naplánovať migráciu, izolovať, vypnúť | PHP 8.1 a staršie bez oficiálnych aktualizácií | > **Dôležité:** > Zaznamenajte, kto, kedy, čo rozhodol a na akom informačnom základe. Stačí krátka, datovaná poznámka. Je často cennejšia voči poisťovniam, zákazníkom alebo dohľadovým orgánom než akékoľvek dodatočné vysvetlenie. Prečo je táto dokumentácia pre vedenie dôležitá, vysvetľuje stránka [Zodpovednosť vedenia pri bezpečnostných zraniteľnostiach IT](https://phpsos.de/sk/compliance/geschaeftsfuehrer-haftung/). Toto je všeobecná informácia a nie právne poradenstvo. ## Čomu by ste nemali veriť Tri tvrdenia dnes konatelia často počujú a všetky tri sú nesprávne: - **„Aktualizovali sme WordPress, takže sme v bezpečí.“** Zraniteľnosť je v PHP, nie v CMS. Aktualizácia CMS ju neuzavrie. - **„Sme príliš malí, nikto nás nenapadne.“** Útoky bežia automatizovane. Hľadajú sa zraniteľné servery, nie známe mená. - **„Aktualizácia je nasadená, takže téma je vybavená.“** Záplata neodstráni škodlivý softvér, ktorý bol zavlečený predtým, a nedokazuje, že sa nič nestalo. ## Ako konkrétne pomáha PHP SOS? - **Obraz situácie pre vedenie:** Vypracujeme krátky prehľad vašich systémov PHP so stavom a odporúčaním pre každý systém. - **Realizácia:** Záplatujeme, reštartujeme alebo nastavujeme prechodné opatrenia tam, kde aktualizácia ešte nie je možná. - **Kontrola:** Zálohujeme logy a hľadáme stopy útoku. - **Doklad:** Dostanete dokumentáciu, ktorú môžete použiť interne aj voči tretím stranám. Postup popisuje [okamžitá pomoc pri PHP2Shell](https://phpsos.de/sk/leistungen/php2shell-soforthilfe/). ## Záver PHP2Shell je technická zraniteľnosť s manažérskou úlohou. Techniku vybavia odborníci. Vedenie firmy sa postará o to, aby bol niekto zodpovedný, aby boli zodpovedané päť otázok a aby rozhodnutia padli vedome a boli zdokumentované. Zmestí sa to do jedného predpoludnia, ak sa začne dnes. ## Časté otázky **Musí sa vedenie firmy o PHP2Shell starať samo?** Technickú realizáciu nie, riadenie áno. Vedenie by malo zabezpečiť, aby boli zodpovednosti jasné, odporúčanie BSI sa realizovalo a rozhodnutia, ako je dočasné vypnutie, boli prijaté vedome a zdokumentované. **Ako vysvetlím zraniteľnosť jednou vetou?** V PHP, softvéri, na ktorom beží väčšina webov a e-shopov, sú dve kritické chyby, cez ktoré môžu cudzie osoby bez hesla spúšťať programy na serveri; aktualizácia je k dispozícii a musí sa nasadiť. **Koľko stojí nič nerobiť?** Paušálne sa to vyčísliť nedá. Možné následky úspešného útoku sú výpadky, únik údajov, oznamovacie povinnosti, náklady na vyčistenie a forenznú analýzu a strata dôvery zákazníkov. Aktualizácia s kontrolou je spravidla podstatne menej náročná. **Stačí, ak sa o to postará poskytovateľ hostingu?** Pri zdieľanom hostingu aktualizáciu spravidla nasadzuje poskytovateľ hostingu. Nechajte si to písomne potvrdiť, vrátane reštartu procesov PHP. Či sa pred aktualizáciou niečo stalo, potvrdenie nezodpovie; na to je potrebná kontrola webu. ## Zdroje - [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/) - [php.net: bezpečnostné hlásenia](https://www.php.net/) - [GDPR čl. 33: oznámenie dozornému orgánu](https://dsgvo-gesetz.de/art-33-dsgvo/)