Stručne: Pri managed serveri poskytovateľ preberá časť bezpečnosti, typicky operačný systém, balíky PHP a štandardné služby. Aplikácia, pluginy, prístupy a zodpovednosť z hľadiska ochrany údajov zostávajú väčšinou na vás. Po PHP2Shell by ste mali oboje vyjasniť písomne: čo urobil poskytovateľ a čo ešte zostáva na vás?
Čo „managed“ znamená a čo nie
Pojem nie je chránený. Jeden poskytovateľ pod ním možno rozumie iba nasadzovanie aktualizácií operačného systému, iný spravuje aj webový server, PHP, databázu a zálohy. Niektoré tarify zahŕňajú nepretržité monitorovanie, iné len kontaktnú osobu v pracovnom čase.
Práve pri situácii ako PHP2Shell sa ukáže, aký presný je opis služieb. Obe zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sú v samotnom PHP. Či váš poskytovateľ spravuje PHP ako súčasť svojej platformy, alebo či PHP platí za „váš softvér“, stojí v zmluve. Nespoliehajte sa na predpoklad, že sa o to už niekto stará.
Bezpečnosť managed servera: typické rozdelenie úloh
Nasledujúca tabuľka ukazuje časté rozdelenie. Nenahrádza pohľad do vašej zmluvy, ale pomáha klásť správne otázky.
| Oblasť | Väčšinou u poskytovateľa | Väčšinou u vás |
|---|---|---|
| Hardvér, sieť, virtualizácia | áno | nie |
| Aktualizácie operačného systému | áno | nie |
| Balíky PHP z platformy | často | ak ste ich nainštalovali sami |
| Reštart PHP-FPM a webového servera | často | pri vlastných službách |
| Celoserverová konfigurácia PHP | často | pri osobitných požiadavkách |
| CMS, obchod, pluginy, vlastný kód | nie | áno |
| Účty administrátorov aplikácie | nie | áno |
| Zálohy | často | kontrola obnovy |
| Posúdenie a oznámenie úniku údajov | nie | áno |
| Monitorovanie útokov | podľa tarifu | podľa tarifu |
Nejasné polia sú skutočným rizikom. Tam, kde by ste museli uviesť „podľa tarifu“ alebo „často“, chýba úprava.
Aké otázky by ste mali teraz položiť
Pošlite svojmu poskytovateľovi krátky, vecný dopyt. Požiadajte o odpoveď v textovej forme, aby ste ju mohli neskôr predložiť. Tieto body by mal obsahovať:
- Aké verzie PHP bežia na našom serveri a sú zabezpečené proti CVE-2026-109618 a CVE-2026-109619?
- Odkedy to platí a boli potom reštartované všetky procesy PHP a webový server?
- Bola oprava nasadená ako backport? Ak áno, ktorá verzia balíka to dokladá?
- Existovali náznaky pokusov o útok alebo nápadné procesy na našom serveri?
- Uchovávajú sa logy webového servera od 20. 10. 2026 a ako ich dostaneme?
Vypracovaný vzor nájdete na stránke Opýtajte sa hostingu na stav záplat. Číslo verzie v zákazníckom menu nie je dôkaz: pri backportoch často zostáva nezmenené, napríklad pri 8.2.34.
Aj keď poskytovateľ PHP zaplátal, vašu aplikáciu treba skontrolovať. Záplata neodstráni škodlivý softvér, ktorý bol zavlečený pred aktualizáciou, a nedokazuje, že sa nič nestalo.
Čo zostáva na vás
Vaša časť zahŕňa predovšetkým aplikáciu. Skontrolujte CMS, obchod a pluginy na aktuálny stav, odstráňte už nepoužívané rozšírenia a skontrolujte zoznam administrátorov. Dávajte pozor na nové súbory v priečinkoch na nahrávanie, cudzie presmerovania a nezvyčajné plánované úlohy v aplikácii.
K tomu pristupuje právna stránka. Ak sa pri incidente dostanú osobné údaje do cudzích rúk, oznamovaciu povinnosť má spravidla vaša firma ako prevádzkovateľ, nie poskytovateľ. Ten vás ako sprostredkovateľ musí bez zbytočného odkladu informovať. Základy vysvetľuje stránka Oznamovacia povinnosť podľa GDPR: 72 hodín. Ide o všeobecnú informáciu, nie právne poradenstvo; jednotlivý prípad posúdia zodpovedné osoby za ochranu údajov alebo právnici.
Jeden ďalší bod sa často prehliada: softvér, ktorý ste na managed serveri nainštalovali vy alebo vaša agentúra, napríklad dodatočná verzia PHP z cudzieho zdroja, kontajner alebo pomocný program, spravidla nepatrí do starostlivosti poskytovateľa. Opýtajte sa preto aj na to, či poskytovateľ vie, čo beží popri štandardnej výbave. A vyjasnite, kto v prípade podozrenia prevezme vyšetrenie. Mnohí poskytovatelia platformu obnovia, ale nevyšetrujú, či a aké údaje boli dotknuté. Práve túto odpoveď však potrebujete na posúdenie možných oznamovacích povinností.
Zlepšite zmluvy do budúcnosti
Využite situáciu na to, aby ste rozdelenie úloh zakotvili písomne. Zmysel majú úpravy bezpečnostných aktualizácií vrátane reštartu, informovania pri kritických zraniteľnostiach, uchovávania a vydávania logov a podpory pri incidentoch. Opýtajte sa aj na to, či vás poskytovateľ aktívne upozorňuje, alebo či sa musíte pýtať sami.
Alternatívou je vlastný server bez starostlivosti, ktorý však presúva celú prácu na vás. Čo to znamená, opisuje stránka Vlastné zabezpečenie root servera a vServeru.
Ako konkrétne pomáha PHP SOS?
- Prečítame váš opis služieb a zostavíme maticu úloh, ktorá ukáže medzery.
- Sformulujeme technické otázky pre vášho poskytovateľa a vyhodnotíme jeho odpovede.
- Skontrolujeme časť aplikácie, ktorá je na vás, na stopy a zastarané komponenty.
- Čo poskytovateľ nepokrýva, na požiadanie preberieme cez zmluvu o bezpečnostnej údržbe alebo doplníme bezpečnostným monitoringom.
Časté otázky
Je pri managed serveri automaticky všetko zabezpečené?
Nie. Managed znamená, že poskytovateľ preberá určité, zmluvne stanovené úlohy, väčšinou operačný systém a štandardné služby. Aplikácia, pluginy, prístupy a vlastný softvér často zostávajú na vás.
Kde je napísané, za čo zodpovedá môj poskytovateľ?
V opise služieb a zmluvných podmienkach, často aj v dokumente o rozdelení úloh. Pri osobných údajoch pribúda zmluva o spracúvaní osobných údajov v mene prevádzkovateľa. Ak chýba jasná úprava bezpečnostných aktualizácií, opýtajte sa písomne.
Musím aj pri managed serveri sám niečo robiť kvôli PHP2Shell?
Áno. Vyžiadajte si potvrdenie, že všetky verzie PHP sú zaplátané a procesy reštartované. Skontrolujte aj svoju aplikáciu na stopy a objasnite, či existuje oznamovacia povinnosť.
Kto oznamuje únik údajov, ak bol dotknutý poskytovateľ hostingu?
Oznamovaciu povinnosť voči dozornému orgánu má spravidla prevádzkovateľ, teda vaša firma. Poskytovateľ hostingu vás ako sprostredkovateľ musí bez zbytočného odkladu informovať. Jednotlivý prípad nechajte posúdiť zodpovednou osobou za ochranu údajov.