# Zraniteľnosť Joomla PHP2Shell: zabezpečiť weby na Joomle > Zabezpečte Joomla po PHP2Shell: skontrolujte verziu PHP v systémových informáciách, chráňte configuration.php a overte Super Users a rozšírenia. Zdroj: https://phpsos.de/sk/plattformen/joomla/ Stav: 25.10.2026 Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručne:** Zraniteľnosť Joomly, o ktorej sa práve hovorí, sa volá PHP2Shell a je v PHP servera, nie v Joomle. Aktualizácia Joomly ju neuzatvorí. Po záplate PHP a reštarte skontrolujte `configuration.php`, overrides šablón, rozšírenia a zoznam účtov Super User. ## Čo PHP2Shell znamená pre Joomlu Joomla je CMS v PHP a zdedí každú slabinu PHP pod ňou. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 podľa tímu PHP umožňujú spustenie škodlivého kódu bez prihlásenia. Dotknuté sú bežné režimy prevádzky PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Práve menšie weby na Joomle spolkov, remeselných firiem alebo združení bežia často na zdieľanom hostingu a zriedka sa udržiavajú. Tam je aktualizácia PHP na poskytovateľovi hostingu. Vašou úlohou je spýtať sa na stav a skontrolovať web na stopy. Ktoré verzie sú dotknuté, ukazuje stránka [Ktoré verzie PHP sú dotknuté?](https://phpsos.de/sk/php2shell/betroffene-php-versionen/). ## Zraniteľnosť Joomly: skontrolovať verziu PHP V administrátorskej oblasti zobrazuje **Systém > Systémové informácie** verziu PHP a najdôležitejšie nastavenia PHP. Je to verzia, s ktorou Joomla na webe skutočne beží. Opravené upstream verzie sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Ak Joomla zobrazuje staršie číslo, môže byť napriek tomu nasadený backport; to musí potvrdiť váš poskytovateľ hostingu. Pri zdieľanom hostingu sa dá verzia PHP často prepnúť v zákazníckom menu poskytovateľa pre každú doménu. To však len prepína medzi verziami, ktoré poskytovateľ ponúka; či sú záplatované, rozhoduje poskytovateľ. Prechod na novšiu hlavnú verziu môže byť napriek tomu užitočný, ak ju podporuje vaša verzia Joomly a všetky rozšírenia. Vopred to otestujte, pretože staršie rozšírenia sa pri novších verziách PHP často končia chybovými hláseniami. Joomla sama uvádza minimálne požiadavky na PHP pre každú hlavnú verziu. Ktoré verzie PHP vaša verzia Joomly podporuje, skontrolujte podľa systémových požiadaviek na joomla.org. Pri veľmi starých verziách Joomly môže prechod PHP najprv vyžadovať upgrade Joomly. ## Typické úkryty škodlivého kódu v Joomle | Miesto | Obsah | Na čo dávať pozor | |---|---|---| | `configuration.php` | Prístup k databáze, `$secret`, cesty pre logy a temp | Dátum zmeny, vložený kód | | `images/`, `media/` | Obrázky a médiá | Súbory PHP sú podozrivé | | `tmp/` | Dočasné súbory, aj z inštalácií | Zvyšky cudzích balíkov | | `templates//html/` | Overrides šablón s kódom PHP | Neznáme alebo zmenené overrides | | `plugins/system/` | Systémové pluginy, ktoré sa načítavajú pri každom volaní | Neznáme pluginy | | `administrator/logs/` | Protokoly | Pred zmenami zálohovať | | `.htaccess` | Presmerovania, pravidlá rewrite | Presmerovania iba pre vyhľadávače | Systémové pluginy sú obzvlášť obľúbené, pretože sa vykonávajú pri každom zobrazení stránky. Neznámy plugin v tomto priečinku by ste mali vždy vedieť vysvetliť. Neškodné kontroly v príkazovom riadku (Joomla 4 a novšia prináša vlastnú konzolu): ```bash # Súbory PHP v priečinkoch médií a temp find images media tmp -type f -name "*.php" # Vypísať používateľov a rozšírenia php cli/joomla.php user:list php cli/joomla.php extension:list ``` > **Dôležité:** > Ak váš web na Joomle presmerováva návštevníkov z Googlu na cudzie stránky alebo Google zobrazuje varovanie, je server veľmi pravdepodobne už kompromitovaný. Potom nestačí aktualizácia, ale je potrebné čistenie a následne kontrola v Search Console. ## Prístup administrátora a rozšírenia Administrátorská oblasť je pod `/administrator`. Skontrolujte skupinu používateľov „Super Users“ na neznáme účty a na účty bývalých dodávateľov. Aktivujte dvojfaktorové prihlásenie, ktoré Joomla prináša, a používajte osobné namiesto zdieľaných účtov. Rozšírení z Joomla Extensions Directory a od tretích strán je na mnohých weboch veľa: formuláre, galérie, stavebnice stránok, newslettre. Každé prináša vlastný kód PHP a často aj vlastné funkcie nahrávania. Rozšírenia, ktorých poskytovateľ už nedodáva aktualizácie, sú trvalé riziko a sťažujú každú aktualizáciu PHP. Nepoužívané odinštalujte úplne. ## Čo aktualizácia Joomly dokáže a čo nie Aktualizácia Joomly nahradí súbory jadra a uzatvorí známe zraniteľnosti v Joomle. PHP nezáplatuje, nedotkne sa overrides šablón ani cudzích rozšírení a neodstráni súbory, ktoré nepatria k jadru. Záznamy databázy, ako noví Super User, tiež zostávajú. Ak bol váš web už zmenený, pomôže postup na stránke [Web napadnutý? Núdzová pomoc na diaľku](https://phpsos.de/sk/leistungen/website-gehackt-notfallhilfe/). Pri hľadaní zadných vrátok sa oplatí príručka [Rozpoznať a odstrániť webshelly](https://phpsos.de/sk/ratgeber/webshell-erkennen/). Ak váš web na Joomle zriadila agentúra alebo freelancer, spýtajte sa ich, ktoré rozšírenia a šablóny boli individuálne upravené. Upravené súbory sa nedajú jednoducho porovnať s pôvodným balíkom a vyžadujú samostatnú kontrolu. ## Ako konkrétne pomáha PHP SOS? - Stav PHP zisťujeme u vášho poskytovateľa hostingu alebo ho kontrolujeme na vašom serveri, vrátane reštartu. - Logy, súbory a databázu zálohujeme pred akoukoľvek zmenou. - Jadro porovnáme s pôvodným balíkom a kontrolujeme overrides, systémové pluginy, priečinky médií a Super User. - Pri nálezoch web vyčistíme, obnovíme prístupy a sprevádzame odstraňovanie varovaní Google. ## Časté otázky **Týka sa PHP2Shell Joomly?** Joomla samotná nemá novú zraniteľnosť, ale beží na PHP. Ak PHP servera nie je záplatované, môže útočník podľa tímu PHP spustiť kód bez prihlásenia. Aktualizácia Joomly na tom nič nemení. **Kde v Joomle nájdem verziu PHP?** V administrátorskej oblasti pod Systém > Systémové informácie. Vidíte tam aj nastavenia PHP. Či je nasadený backport, z čísla nepoznáte; to musí potvrdiť váš poskytovateľ hostingu. **Prečo sú overrides šablón riziko?** Overrides sú v priečinku šablóny a obsahujú kód PHP, ktorý nahrádza výstup komponentov a modulov. Zavlečený kód tam sotva upúta, pretože overrides sa pri aktualizáciách Joomly nenahrádzajú. ## Zdroje - [php.net: bezpečnostné hlásenia](https://www.php.net/) - [Joomla](https://www.joomla.org/) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/) - [Pomocník Google Search Console](https://support.google.com/webmasters/)