Príručky: bezpečnosť PHP a serverov
Odborné články pre administrátorov a vývojárov: rozpoznanie webshellov, hardening php.ini, vyhodnocovanie logov, bezpečné programovanie.
Časová os PHP2Shell: chronológia od 17. do 25. októbra 2026
Všetky doložené dátumy k PHP2Shell na jednom mieste, od prvého pozorovaného pokusu o útok po stav k 25. 10. 2026, a čo z nich vyplýva pre vašu kontrolu.
Čítať ďalej →02Potvrdenie aktualizácie PHP od hostingu: ako sa opýtať na stav záplat
Zobrazená verzia PHP po PHP2Shell dokazuje málo. S týmto vzorom si od poskytovateľa hostingu vyžiadate potvrdenie, ktoré môžete zdokumentovať.
Čítať ďalej →03Rozpoznať webshell a odstrániť ju
Ako vypátrať backdoory na webových serveroch s PHP bez zničenia stôp a prečo samotné zmazanie zriedka stačí.
Čítať ďalej →04Nájsť backdoor vo WordPresse: systematické vypátranie backdoorov
Kde sa backdoory vo WordPresse typicky ukrývajú a ako ich administrátori systematicky vypátrajú pomocou WP-CLI a niekoľkých príkazov.
Čítať ďalej →05Bezpečná konfigurácia php.ini
Ktoré nastavenia v php.ini zmenšujú útočnú plochu, ako ich chrániť pred prepísaním a čo platí po PHP2Shell navyše.
Čítať ďalej →06PHP disable_functions správne nasadiť
Pomocou disable_functions zablokujete rizikové funkcie PHP. Ako určiť zoznam podľa svojej aplikácie bez ochromenia webu.
Čítať ďalej →07open_basedir a izolácia každého webu
Ako pomocou open_basedir, samostatných systémových používateľov a oddelených poolov PHP-FPM zabrániť tomu, aby vniknutie na jeden web zasiahlo všetky ostatné na serveri.
Čítať ďalej →08Práva k súborom na webovom serveri
Prečo webový server nesmie meniť vlastný kód, aké práva pre súbory a priečinky dávajú zmysel a ako rýchlo skontrolovať aktuálny stav.
Čítať ďalej →09composer audit: kontrola závislostí na zraniteľnosti
Ako vývojári pomocou composer audit nájdu známe bezpečnostné zraniteľnosti v knižniciach, kontrolu zautomatizujú a vyhnú sa typickým chybám v deploymente.
Čítať ďalej →10PHP End of Life: riziká zastaraných verzií
Čo znamená koniec podpory verzie PHP, ktoré vetvy po PHP2Shell ešte dostávajú oficiálne záplaty a ako urobiť migráciu plánovateľnou.
Čítať ďalej →11Zabrániť SQL injection v PHP
Ako vývojári spoľahlivo vylúčia SQL injection v aplikáciách PHP pomocou Prepared Statements, whitelistov a minimálnych práv k databáze.
Čítať ďalej →12Zabrániť XSS v PHP: bezpečne odraziť Cross-Site-Scripting
Ako vývojári zabránia Cross-Site-Scriptingu v aplikáciách PHP: kódovanie podľa kontextu, auto-escaping v šablónach, čistenie HTML a Content Security Policy.
Čítať ďalej →13Bezpečne riešiť upload súborov v PHP: bezpečnosť uploadu PHP
Formuláre na upload sú častou cestou pre webshelly. Ako správne kontrolovať typy súborov, bezpečne ich ukladať a zabrániť serveru vo vykonávaní nahraných skriptov.
Čítať ďalej →14Zabezpečiť session v PHP: bezpečnosť session PHP v praxi
Session udržiavajú používateľov prihlásených, a sú preto lákavým cieľom. Ako bezpečne nastaviť cookies, ID session a miesta uloženia a uplatniť upozornenie PHP2Shell k upload progress.
Čítať ďalej →15Nebezpečná deserializácia v PHP: unserialize a bezpečnosť
unserialize() s cudzími údajmi môže v najhoršom prípade viesť k vykonaniu kódu. Ako ho nahradiť JSON, obmedziť tam, kde musí zostať, a nájsť rizikové miesta v kóde.
Čítať ďalej →16Zabrániť Local File Inclusion v PHP: LFI a RFI
Ak include alebo require preberajú cesty z požiadavky, môžu útočníci načítať cudzie súbory. Ako bezpečne postaviť výber stránok a šablóny a server navyše zabezpečiť.
Čítať ďalej →17Chrániť prihlásenia administrátorov pred brute force: ochrana pred brute force pre každé prihlásenie
Automatizované skúšanie hesiel zasiahne každú dostupnú prihlasovaciu stránku. Ako útočníkov spomaliť pomocou rate limiting a Fail2ban, chrániť účty druhým faktorom a správne ukladať heslá.
Čítať ďalej →18DDoS alebo hackerský útok? Správne zaradiť útoky
Pomalý web, vysoká záťaž, zvláštne súbory: či za tým stojí DDoS alebo vlámanie, rozhoduje o správnej reakcii. Ako situáciu zaradiť niekoľkými kontrolami.
Čítať ďalej →19Vyhodnotenie logov webového servera po útoku: správne čítať access log
Súbory logov sú po útoku často najdôležitejšou stopou. Ako správne zabezpečiť logy access, error a PHP, nájsť nápadné požiadavky a vyhnúť sa typickým chybám pri vyhodnotení.
Čítať ďalej →20Zriadiť dvojfaktorovú autentifikáciu pre prístupy administrátorov
Ukradnuté heslo nesmie stačiť na prevzatie vášho servera alebo e-shopu. Ako zvoliť vhodný postup, zabezpečiť všetky administrátorské prístupy a naplánovať núdzové prístupy.
Čítať ďalej →21Stratégia zálohovania servera: zálohy podľa pravidla 3-2-1
Záloha pomôže, len ak prežije útok a dá sa obnoviť. Ako uplatniť pravidlo 3-2-1 pre webové servery a správne naplánovať uchovávanie a testy.
Čítať ďalej →22Security Header pre weby: správne nastaviť bezpečnostné hlavičky
Bezpečnostné hlavičky inštruujú prehliadač, aby lepšie chránil vašich návštevníkov. Ako nastaviť najdôležitejšie hlavičky v Nginx a Apache, postupne zaviesť Content-Security-Policy a skontrolovať výsledok.
Čítať ďalej →23Odstrániť varovanie Google „Tento web bol hacknutý“
Varovanie o hacku vo výsledkoch vyhľadávania stojí návštevníkov a dôveru. Ako web dôkladne vyčistiť, nájsť skryté spamové stránky a požiadať o preverenie v Search Console.
Čítať ďalej →24Kontrolný zoznam po hacku: 20 bodov na dokončenie
Po útoku záleží na správnom poradí. Tento kontrolný zoznam vás v 20 bodoch prevedie ohraničením, zabezpečením dôkazov, vyčistením, novými prístupmi, povinnosťami a zdokumentovaným uzavretím.
Čítať ďalej →Každá hodina sa počíta. Napíšte nám hneď.
Stručne opíšte systém, verziu PHP a svoje pozorovanie. Ozveme sa, vyjasníme situáciu a budeme pracovať na diaľku, kým nebude incident uzavretý a zdokumentovaný.