Stručne: Ste postihnutý? Zavolajte. Pomôžeme vám. Ak máte podozrenie, že váš server bol hacknutý, najprv záleží na jednom: zachovať stopy. Od prvej správy preberáme na diaľku prehľad situácie, zabezpečenie, izoláciu, vyčistenie a dokumentáciu, kým nie je incident uzavretý.
Teraz nič nemažte a nič neinštalujte odznova. Ani nevracajte zálohu, kým sa nič nezabezpečilo. Kto upratuje, ničí presne tie stopy, ktoré ukazujú, ako sa útočník dostal dnu. Nahláste núdzový prípad, potom budeme postupovať spoločne.
Ste postihnutý? Príznaky, že server bol hacknutý
Na ozvanie sa stačí podozrenie. Útok nemusíte dokazovať. Typické náznaky sú:
- Webový server alebo PHP-FPM spúšťa procesy ako
shalebobash. Je to silný varovný signál, ktorý vysvetľujeme na stránke Webový server spúšťa shell. - V adresároch pre nahrávanie, cache alebo temp ležia nové alebo neznáme súbory PHP.
- Existujú cronjoby, ktoré nikto nevytvoril, alebo kľúče SSH, ktoré nikto nevie priradiť.
- Zaťaženie je bez zjavnej príčiny vysoké alebo server nadväzuje nezvyčajné odchádzajúce spojenia.
- Pošta z vášho servera končí v spame alebo je odmietaná.
- Poskytovateľ hostingu, zákazník alebo upozornenie v prehliadači hlási škodlivý kód.
- V CMS sa objavujú administrátorské účty, ktoré nikto nevytvoril.
Ďalšie príznaky nájdete v časti Som už kompromitovaný?. Ak platí viacero bodov, považujte server za hacknutý, kým sa nepreukáže opak.
Server hacknutý: čo urobiť hneď
- Zachovať pokoj a nič nemeniť. Žiadne mazanie súborov, žiadne „rýchle opravy“, žiadna nová inštalácia cez starý stav.
- Zaznamenať čas. Poznačte si, čo ste kedy pozorovali a kto naposledy vykonal zmeny v systéme.
- Zachovať logy. Prístupové, chybové a systémové protokoly nesmú rotovať ani sa prepisovať. Pri PHP2Shell odborná tlač radí uchovať logy servera od 20. 10. 2026.
- Zmenšiť plochu útoku. Odpojte server od verejnej siete alebo ho zablokujte firewallom, ak by mohli unikať údaje. Nevypínajte ho jednoducho.
- Zozbierať prístupy. Kto má prístup cez SSH, panel, FTP, CMS a databázu? Heslá meňte až po dohode a len z čistého zariadenia.
- Určiť kontaktnú osobu. Mala by byť dosiahnuteľná osoba s rozhodovacou právomocou, aj pre vypnutie a reštarty.
- Ozvite sa hneď. Zavolajte alebo napíšte cez WhatsApp. Všetko ostatné s vami objasníme krok za krokom.
Odpojiť od siete, alebo nechať bežať?
Je to najčastejšia otázka v prvých minútach a nemá paušálnu odpoveď. Ak beží e-shop s platbami alebo portál so zákazníckymi údajmi, väčšinou prevažuje ochrana údajov. Potom je správne dočasné oddelenie, napríklad cez stránku údržby alebo pravidlo firewallu, ktoré pustí iba vašich administrátorov.
Tvrdé vypnutie je naopak zriedka najlepším prvým krokom, pretože v pamäti ležia stopy, ktoré reštart zmaže. Lepší je obraz systému, napríklad snapshot u poskytovateľa hostingu, skôr než sa niečo zmení. V situácii s PHP2Shell BSI odporúča webové servery dočasne odpojiť od siete, ak aktualizáciu nemožno nasadiť hneď. Neznamená to, že každý vypnutý server bol hacknutý.
O tom, či vo vašom prípade server oddelíme, obmedzíme alebo necháme bežať, rozhodneme spolu s vami podľa toho, čo sa v systéme nachádza.
Inštalovať odznova, alebo vyčistiť?
Mnohí by server najradšej hneď postavili odznova. Nie je to nesprávne, ale až po zabezpečení. Inak zostane nejasné, ako sa útočník dostal dnu, a tá istá cesta je otvorená aj novému systému. Zváženie popisuje stránka Server nainštalovať odznova, alebo vyčistiť?, zabezpečenie pred novou inštaláciou stránka Zabezpečte dôkazy skôr, než inštalujete odznova.
Dôležité: Samotná aktualizácia PHP problém nevyrieši. Zraniteľnosť uzavrie, ale už zavlečený škodlivý softvér neodstráni. Ako nájsť stopy v protokoloch, popisuje časť Vyhodnotenie logov webového servera po útoku. A počítajte s tým, že sa z konfiguračných súborov prečítali aj prístupové údaje: prístupy k databáze, pošte a API patria do zoznamu tajných údajov, ktoré treba obnoviť.
Ako PHP SOS konkrétne pomáha?
- Zmapovať situáciu: S vami objasníme, čo sa pozorovalo, ktoré systémy môžu byť dotknuté a aké údaje sa na nich nachádzajú.
- Zabezpečiť a uzavrieť: Zabezpečíme súbory, databázu a logy skôr, než sa niečo zmení. Potom útok izolujeme a uzavrieme vstupné dvere, pri PHP2Shell záplatou a reštartom všetkých procesov PHP.
- Skontrolovať a vyčistiť: Hľadáme webshelly, zadné vrátka, cronjoby a cudzie prístupy a odstraňujeme ich. Podrobnosti nájdete v časti Odstránenie malvéru a webshellov.
- Spevniť a podať správu: Dostanete dokumentáciu s časovou osou, miestami nálezov a odporúčaniami. Ak incident presiahne jeden server, prejdeme na štruktúrovanú Incident Response.
Čomu sa treba vyhnúť
V strese vznikajú chyby, ktorým sa dá vyhnúť. Nemažte „podozrivé“ súbory len na podozrenie bez toho, aby ste ich predtým zabezpečili. Nespúšťajte príkazy z fór, ktorým nerozumiete. A neinštalujte bezpečnostné pluginy na server, ktorý je možno už kompromitovaný: škodlivý kód môže skenery oklamať a výsledok vás uspí falošným pocitom bezpečia. Opatrnosť aj pri radách blokovať všetky požiadavky s určitým ID relácie; odborní autori takéto rady k PHP2Shell výslovne odmietajú. Vlastnú verziu bezpečne overíte pomocou php -v a pohľadom do changelogu balíka vašej distribúcie, pretože backporty často nechávajú číslo verzie rovnaké.
Čo by ste nám mali poslať
- krátky popis: čo sa zistilo, odkedy, čo sa naposledy zmenilo
- typ systému: vlastný server, vServer, managed server alebo hostingový balík
- prístup cez SSH alebo panel, alebo súhlas, aby sme mohli komunikovať s vaším poskytovateľom hostingu
- informácie o existujúcich zálohách a ich veku
- varovné hlásenia od poskytovateľa hostingu, prehliadača alebo zákazníkov v pôvodnom znení
Ak niečo z toho chýba, ozvite sa aj tak. Medzery zaplníme v rozhovore.
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Máte jedného kontaktného partnera, pracujeme na diaľku, bez výjazdu, v celej Európe. Každý krok sa dokumentuje a otvorene rozlišujeme medzi preukázaným, pravdepodobným a neznámym. Sľuby, ktoré nikto nemôže dodržať, nedávame. Prehľad dodatočnej starostlivosti nájdete v kontrolnom zozname po hacknutí, celú núdzovú pomoc v časti Web hacknutý? Núdzová pomoc na diaľku. K oznamovacej povinnosti pri únikoch údajov si prečítajte pravidlo 72 hodín; právne posúdenie zostáva na zodpovedných osobách pre ochranu údajov a právnikoch.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Nečakajte, kým sa z podozrenia stane väčšia škoda. Preberáme prípad od prvej správy a zostávame pri ňom, kým nie je incident uzavretý a zdokumentovaný. Nahlásiť núdzový prípad teraz.
Časté otázky
Server hacknutý: mám ho hneď vypnúť?
Nie unáhlene. Vypnutím sa môžu zničiť prchavé stopy v pamäti. Lepšie je server odpojiť od siete alebo ho oddeliť firewallom a najprv zabezpečiť. Ak si nie ste istý, ozvite sa nám predtým.
Ako zistím, či bol môj server naozaj hacknutý?
Náznaky poskytujú procesy, ktoré spúšťa webový server, nové súbory PHP v adresároch pre nahrávanie alebo v cache, neznáme cronjoby a kľúče SSH, ako aj nezvyčajné odchádzajúce spojenia. Istotu dá až analýza logov a súborov. Neexistujú žiadne potvrdené indikátory PHP2Shell, rozpoznanie sa opiera o analýzu správania.
Stačí aktualizácia PHP, ak je server už hacknutý?
Nie. Záplata uzavrie vstupné dvere, ale neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo. Po aktualizácii sa musia navyše reštartovať všetky procesy PHP.
Musím hacknutý server nahlásiť?
Ak mohli byť dotknuté osobné údaje, môže byť potrebné oznámenie dozornému orgánu do 72 hodín. Posúdenie urobí vaša zodpovedná osoba pre ochranu údajov alebo váš právnik, technické fakty na to dodáme my.
Môžem hacknutý server vyčistiť sám?
Pri malých systémoch je to možné, ale rizikové: kto odstráni iba viditeľné súbory, často prehliadne zadné vrátka, cronjoby alebo prístupy. Preveríme, či stačí vyčistenie, alebo je rozumnejšie nové zostavenie z čistých zdrojov.