113 článků

Blog: PHP2Shell, bezpečnost serverů a nouzová pomoc

Zařazení situace, návody pro administrátory a podklady pro rozhodování vedení. Seřazeno podle tématu, každý článek se zdroji.

WhatsApp nouze

Situace a zařazení Hosting a distribuce Detekce a forenzní analýza Hardening a konfigurace Bezpečný vývoj Management a právo Podklady pro rozhodování

Situace a zařazení

17 článků

001

PHP2Shell: co je doloženo a co ne

Kontrola faktů k PHP2Shell: která tvrzení pocházejí z primárních zdrojů, která z mediálních zpráv a které domněnky se neudrží.

Číst dál →002

Proč se zranitelnost PHP stala známou před záplatou

Podle zpráv se podrobnosti o PHP2Shell staly veřejnými před koncem embarga. Vysvětlujeme průběh a co znamená pro vaše plánování záplat.

Číst dál →003

Úřady odpojují weby od sítě: čemu se mohou firmy naučit

Mohuč, hesenská zemská vláda a BKA preventivně odpojily weby. Co si z toho mohou firmy vzít pro vlastní rozhodování.

Číst dál →004

Výstražný stupeň BSI oranžový: co zařazení znamená

BSI zařadilo PHP2Shell do stupně 3 / oranžový. Co stupnice vypovídá, co ne a jak firmy zařazení převedou do rozhodnutí.

Číst dál →005

Co CERT-EU a CERT-Bund k PHP2Shell radí

Oficiální místa se shodují: okamžitě záplatovat, jinak izolovat. Porovnáváme doporučení a ukazujeme, jak izolace vypadá v praxi.

Číst dál →006

Ochranná pravidla Cloudflare proti PHP2Shell: co dokážou a co ne

Cloudflare brzy nasadil ochranná pravidla proti PHP2Shell. Proč pomáhají, proč přesto nenahrazují aktualizaci PHP a která nastavení zkontrolovat.

Číst dál →007

22,6 milionu exponovaných instancí: jak čísla správně zařadit

Unit 42, CybelAngel a další uvádějí k PHP2Shell velmi odlišná čísla. Vysvětlujeme, co se počítalo a které číslo je pro vás skutečně důležité.

Číst dál →008

PHP2Shell za pět minut: briefing pro vedení firmy

Zranitelnost PHP2Shell na jedné stránce pro rozhodující osoby: situace, riziko, pět otázek na IT a rozhodnutí pro dnešek.

Číst dál →009

Bezpečnostní zranitelnost PHP jednoduše vysvětlená

PHP2Shell pro netechniky: s příklady z běžného života, malým slovníčkem a třemi typickými výchozími situacemi, co dělat jako provozovatel webu.

Číst dál →010

PHP2Shell: 15 otázek zákazníků hostingu

Váš web leží u poskytovatele hostingu a chcete vědět, co musíte u PHP2Shell udělat sami? Zde je 15 nejčastějších otázek s krátkými odpověďmi.

Číst dál →011

Proč aktualizace WordPressu proti PHP2Shell nepomůže

Mnoho provozovatelů po titulcích aktualizovalo WordPress a cítí se v bezpečí. Proč to u PHP2Shell vyjde naprázdno a co místo toho platí.

Číst dál →012

PHP2Shell a Log4Shell: co mají zranitelnosti společné

Mnozí srovnávají PHP2Shell s Log4Shell z roku 2021. Co srovnání unese, kde pokulhává a jaká poučení z té doby pomáhají dnes.

Číst dál →013

Hromadné skeny nezáplatovaného PHP: jak probíhají automatizované útoky

Po PHP2Shell prohledávají útočníci internet automatizovaně kvůli zranitelným serverům. Jak to probíhá, proč velikost nehraje roli a co vás chrání.

Číst dál →014

Časové okno mezi záplatou a útokem

U PHP2Shell byly pokusy o útok už před záplatou. Vysvětlujeme fáze časového okna, jak změřit své vlastní a jak ho zkrátit.

Číst dál →015

Po PHP2Shell: proč jsou další oznámení pravděpodobná

PHP2Shell není záplatou z 21. října uzavřeno. Proč se dají očekávat navazující oznámení a jak na ně svůj tým připravit.

Číst dál →016

PHP2Shell: přehled situace po prvním týdnu

Týden po prvním pozorovaném pokusu o útok: stav záplat, varování úřadů, útoků a odstavení, čistě rozdělený podle zdrojů.

Číst dál →017

Nebezpečné falešné rady k PHP2Shell, které právě kolují

Blokovat cookies, skrývat chybová hlášení, aktualizovat jen CMS: devět rad k PHP2Shell, které vytvářejí falešný pocit bezpečí, a co skutečně platí.

Číst dál →

Hosting a distribuce

18 článků

018

Změna verze PHP v zákaznické sekci hostingu

Jak v zákaznické sekci poskytovatele hostingu přepnout verzi PHP, kterou verzi zvolit a co zkontrolovat předtím a potom.

Číst dál →019

Debian a Ubuntu: je můj balíček PHP záplatován?

Které balíčky PHP Debian a Ubuntu proti PHP2Shell opravily, jak přesně porovnat nainstalovaný stav a na čem doklad ztroskotává.

Číst dál →020

RHEL, AlmaLinux a Rocky Linux: kontrola záplaty PHP

Co Red Hat k PHP2Shell zveřejnil, jak na RHEL a jeho derivátech doložit stav balíčků a proč znovunačtení (reload) nestačí.

Číst dál →021

Repozitář sury.org: balíčky PHP z cizího zdroje

Mnoho serverů s Debianem a Ubuntu získává PHP z repozitáře sury. Co to po PHP2Shell znamená pro aktualizace, doklady a staré verze PHP.

Číst dál →022

Repozitář Remi: udržovat PHP na systémech RHEL aktuální

Remi dodává aktuální verze PHP pro rodinu RHEL, jako modul nebo instalovatelné souběžně. Jak ověřit stav po PHP2Shell a nezapomenout na žádnou větev.

Číst dál →023

Proč php -v po aktualizaci ukazuje stejné číslo

Aktualizace proběhla, ale php -v hlásí starou verzi. Většinou jde o backport, ne o chybu. Jak odlišit neškodné od skutečných problémů.

Číst dál →024

Doložení čísel CVE v changelogu balíčku

Kdo musí vedení, auditorům nebo pojišťovnám doložit záplatu PHP, potřebuje víc než číslo verze. Takto se záznam v changelogu stane důkazem.

Číst dál →025

Změna hostera po bezpečnostním incidentu: na co dát pozor?

Po incidentu je přání mít nového hostera pochopitelné. Aby si přechod neodnesl i útočníka, záleží na pořadí kroků a na výběru.

Číst dál →026

Více verzí PHP na jednom serveru: záplatovat každou zvlášť

Na mnoha serverech běží vedle sebe tři, čtyři i více instalací PHP. Po PHP2Shell je nutné každou najít, aktualizovat a restartovat.

Číst dál →027

Vypnutí starých verzí PHP v hostingovém panelu

PHP2Shell je dobrý důvod zbavit se starých verzí PHP. Takto postupujte ve třech fázích, aby neočekávaně nevypadl žádný web ani cron úloha.

Číst dál →028

Plesk: porozumění handlerům PHP (FPM, FastCGI, modul Apache)

Který handler PHP Plesk pro web používá, rozhoduje o izolaci, konfiguraci a riziku. Porovnání s ohledem na PHP2Shell.

Číst dál →029

CloudLinux a alt-php: co by měli vědět zákazníci hostingu

Na serverech CloudLinux často běží weby s vlastními balíčky alt-php. Každá z těchto verzí potřebuje vlastní záplatu a nasadit ji může jen provozovatel serveru.

Číst dál →030

PHP na NAS, firewallech a zařízeních: zapomenuté systémy

PHP nepoužívají jen webové servery. Postižena mohou být i systémy NAS, firewally a odborná zařízení s webovým rozhraním. Záplatovat tam zpravidla může jen výrobce, dostupnost řešíte sami.

Číst dál →031

PHP u cloudových a PaaS poskytovatelů: kdo záplatuje běhové prostředí?

U platformních služeb závisí záplata PHP na provozním modelu. Rozhodující je běhové prostředí, které skutečně běží, nikoli lokální prostředí nebo kód aplikace.

Číst dál →032

Oficiální image PHP pro Docker: tagy, digesty a nové sestavení

Tag oficiálního image PHP je ukazatel, který se časem přesouvá na nové stavy. Kdo rozumí tagu, variantě a digestu, vybere správný image a může doložit stav záplat.

Číst dál →033

CI/CD: automatické nové sestavení imagí PHP

Image zastarává i bez změny kódu. Časově řízené buildy, kontrola verze a nasazení podle digestu dostanou záplaty PHP spolehlivě do produkce.

Číst dál →034

Dlouhodobá podpora starých verzí PHP: možnosti a hranice

Kdo nemůže hned přejít z PHP 8.1 nebo starší, najde dlouhodobou podporu u distribucí, třetích stran a komerčních služeb. Co tyto cesty nabízejí, co potřebujete písemně a kde leží hranice.

Číst dál →035

Aktualizace PHP ve Windows

Ve Windows neexistuje automatická aktualizace PHP. Kdo zvolí správnou variantu, ověří stažení a restartuje všechny procesy, nasadí záplatu PHP2Shell čistě na každý počítač.

Číst dál →

Detekce a forenzní analýza

18 článků

036

Varovný signál: webový server spouští shell

Spustí-li proces PHP-FPM nebo webového serveru shell, je to jeden z nejsilnějších varovných signálů průniku. Jak zkontrolovat strom procesů, zařadit výjimky a vzorec trvale sledovat.

Číst dál →037

Hledání podezřelých procesů na serverech s Linuxem

Škodlivé procesy se maskují neškodnými názvy, běží z dočasných složek nebo ze smazaných souborů. Několika čtecími příkazy najdete nápadnosti a zařadíte je.

Číst dál →038

Rozpoznání skrytých cron úloh jako zadních vrátek

Útočníci využívají plánované úlohy, aby se po vyčištění vrátili. Takto úplně zkontrolujete crontaby, adresáře cron, časovače systemd a úlohy at a poznáte podezřelé záznamy.

Číst dál →039

Hledání nedávno změněných souborů na webovém serveru

Po možném průniku záleží na tom, co se na serveru změnilo. Takto hledat podle časových oken, správně používat mtime a ctime a porovnávat s balíčky, Gitem a zálohami.

Číst dál →040

Soubory PHP ve složce uploadu: správně vyložit místa nálezu

Soubor PHP ve složce uploadu je téměř vždy poplašný signál, ale ne každý je škodlivý kód. Jak nález posoudit, aniž byste zničili stopy, a zjistit, zda jej někdo zavolal.

Číst dál →041

Rozpoznání zašifrovaného (obfuskovaného) kódu PHP

Nečitelný kód PHP s eval a base64_decode je klasický znak vloženého škodlivého kódu. Jaké vzory hledat, jak je bezpečně najít a kdy je zašifrování legitimní.

Číst dál →042

Kontrola odchozích spojení serveru

Webový server především odpovídá na požadavky. Naváže-li sám spojení na neznámé cíle, může to znamenat řízení útočníkem nebo odliv dat. Jak odchozí provoz zkontrolovat a omezit.

Číst dál →043

Hledání cizích účtů správců v CMS a na serveru

Neznámý administrátor je často nejjednodušší zadní vrátka. Takto hledat cizí účty úroveň po úrovni, i ty, které rozhraní skrývá.

Číst dál →044

Hledání a odstranění neznámých klíčů SSH

Vložený klíč SSH otevírá útočníkům dveře, i když jsou všechna hesla změněna. Takto najdete každý soubor authorized_keys a zkontrolujete každý záznam.

Číst dál →045

Kryptominer na webovém serveru: příznaky a postup

Trvale plný procesor, aniž by přibylo návštěvníků: to může být kryptominer. Jak zkontrolovat zatížení, najít proces a jeho mechanismy restartu a postupovat uspořádaně.

Číst dál →046

Server rozesílá spam: jak najít příčiny

Nedoručitelné maily, blacklisty, stížnosti: Když vlastní server rozesílá spam, stojí za tím většinou skript nebo unesená schránka. Jak najít zdroj.

Číst dál →047

SEO spam a cizí stránky v indexu Google

Pod vaší doménou se najednou umisťují stránky o lécích nebo značkovém zboží. Jak zjistit, odkud SEO spam pochází, a dostat ho zpět z indexu.

Číst dál →048

Web přesměrovává na cizí stránky

Návštěvníci končí na soutěžích nebo pochybných e-shopech, vy sami ale nic nevidíte? Jak najít vrstvu, ve které přesměrování sídlí, a odstranit ho.

Číst dál →049

Zajistěte důkazy dříve, než server nainstalujete znovu

Nová instalace odstraní útočníka, ale i všechny stopy. Kdo předem investuje hodinu do zajištění důkazů, bude později umět říct, co se stalo.

Číst dál →050

Vytvoření časové osy incidentu

Kdy přišel útočník, co dělal a kdy si toho někdo všiml? Pečlivá časová osa tyto otázky zodpoví a je základem pro hlášení, pojištění i zprávu.

Číst dál →051

Porovnání jádrových souborů CMS s originálem

Porovnání s čistým originálem ukáže každý změněný soubor, bez ohledu na to, zda ho skener zná. Jak porovnání nastavit pro WordPress, projekty s Composerem a systémové balíčky.

Číst dál →052

Kontrola databáze na vložený kód

Kdo kontroluje jen soubory, přehlédne polovinu. Jak prohledat obsah, nastavení, triggery a účty databáze na vložený kód, jen čtením a na kopii.

Číst dál →053

Malwarové skenery pro weby: co najdou a co ne

Skener nic nehlásí, tak je všechno v pořádku? Nemusí být. Jaké druhy skenerů webů existují, co který vidí a co v zásadě vidět nemůže.

Číst dál →

Hardening a konfigurace

20 článků

054

Izolace poolů PHP-FPM pro každý web

Vlastní pool pro každý web je začátek, ne konec. Jak zkontrolovat stávající pooly a zabezpečit sockety, přípony, stavové stránky, zdroje a logy.

Číst dál →055

Správné nastavení memory_limit

memory_limit omezuje paměť na jeden požadavek PHP. Po PHP2Shell php.net přechodně radí opak. Co platí v běžném provozu, v přechodné době a po aktualizaci.

Číst dál →056

Rozumné omezení post_max_size a upload_max_filesize

Limity nahrávání působí na třech místech: ve webovém serveru, v PHP a v aplikaci. Jak hodnoty nastavit shodně, i s přechodnými hodnotami od php.net k PHP2Shell.

Číst dál →057

Vypnutí session.upload_progress: správně a trvale

Opatření proti CVE-2026-115560 a jedno z přechodných opatření k PHP2Shell se nastaví rychle. Aby vydrželo, musí být na správném místě, uzamčené a po každé aktualizaci znovu ověřené.

Číst dál →058

expose_php a hlavičky Server: skrytí údajů o verzi

PHP, Nginx a Apache uvádějí své číslo verze standardně v každé odpovědi. Před útoky to nechrání, skenerům to ale dává pohodlný seznam cílů. Jak to vypnout a přesto zachovat přehled.

Číst dál →059

display_errors off: vypnutí chybových výstupů v produkci

Viditelná chybová hlášení PHP prozrazují cesty, názvy databází a verze. Jak je vypnout v PHP, ve frameworku i ve webovém serveru a přitom nepustit chyby z očí.

Číst dál →060

php_admin_value: uzamknutí nastavení proti přepsání

Bezpečnostní nastavení málo platí, když ho aplikace jedním řádkem kódu změní zpět. Pomocí php_admin_value a php_admin_flag určíte hodnoty pro PHP-FPM a Apache závazně.

Číst dál →061

Nastavení limitů paměti pomocí systemd a cgroups

php.net doporučuje jako přechodné opatření k PHP2Shell memory_limit=-1 a limit paměti mimo PHP. Jak tento limit nastavit pomocí systemd a cgroups, aby jeden worker nestrhl celou službu.

Číst dál →062

Bezpečné nastavení Nginx pro PHP

Většina slabin v nastavení Nginx pro PHP není v Nginx, ale v několika řádcích bloku location pro PHP. Jak předávání do PHP-FPM nastavit tak, aby se spouštěly jen chtěné skripty.

Číst dál →063

Bezpečné nastavení Apache pro PHP

Apache je flexibilní a právě proto je náchylný k chybné konfiguraci. Jak připojit PHP přes PHP-FPM, uzavřít .htaccess jako zadní vrátka a bezpečně nastavit nejdůležitější základní volby.

Číst dál →064

Zákaz spouštění PHP ve složkách s nahranými soubory

Webshell potřebuje dvě věci: složku, do které ji lze zapsat, a server, který ji spustí. Jak jí vzít to druhé, a to v každé zapisovatelné složce, nejen v uploads.

Číst dál →065

Filtrování požadavků na nahrávání na okraji sítě: příležitosti a rizika

Odborní autoři navrhují blokovat na proxy požadavky na nahrávání mimo skutečné cesty pro upload, dokud není PHP záplatováno. Může to pomoci, ale také ochromit formuláře a objednávky. Jak postupovat kontrolovaně.

Číst dál →066

Nasazení ModSecurity a OWASP Core Rule Set

Vlastní webový aplikační firewall s ModSecurity a OWASP Core Rule Set je zdarma a výkonný, ale nejde sám od sebe. Jak vybrat engine, začít bez výpadků a pravidla vyladit.

Číst dál →067

Nastavení Fail2ban pro webové servery

Fail2ban blokuje adresy, které se opakovaně objevují v lozích. Pro webové servery přináší hotové filtry a několika řádky přidáte vlastní. Jak jej nastavit, aniž byste vyloučili sebe nebo své zákazníky.

Číst dál →068

Firewall pro webový server: otevřít jen nutné porty

Webový server potřebuje navenek zpravidla jen dva porty. Přesto na mnoha serverech v internetu naslouchají databáze, PHP-FPM nebo správcovská rozhraní. Jak najít otevřené služby a zavřít, co není potřeba.

Číst dál →069

Automatické bezpečnostní aktualizace na serverech s Linuxem

Podle zpráv distribuce dodávaly backporty PHP zčásti už 21. října 2026, v den záplat. Kdo používá automatické bezpečnostní aktualizace, měl je na serveru rychle. Aby i zabíraly, je třeba restarty, zdroje třetích stran a kontrola.

Číst dál →070

Least Privilege: oprávnění uživatele webserveru

Vložený kód běží s právy uživatele webserveru. Co tento účet smí, rozhoduje o tom, jak daleko se útočník dostane. Takto omezíte shell, sudo, cron, databázi a souborový systém na nezbytné minimum.

Číst dál →071

Odstínění administrace pomocí IP, VPN nebo další ochrany

Proč nemusí být backend webu dostupný celému světu a jak ho odstínit pomocí povolených IP adres, VPN nebo předřazeného přihlášení, aniž byste zablokovali sami sebe.

Číst dál →072

Správná konfigurace TLS a HTTPS

Které verze TLS a šifrovací sady by měl webserver dnes nabízet, čím se doporučení řídí a jak zkontrolovat Nginx, Apache a odchozí spojení PHP.

Číst dál →073

Benchmarky CIS a moduly BSI pro webservery

Jaké standardy hardeningu existují pro linuxové webservery, v čem se liší benchmarky CIS a moduly IT-Grundschutz a jak z nich vytvořit ověřitelný předpis pro vaše servery s PHP.

Číst dál →

Bezpečný vývoj

16 článků

074

Bezpečné ukládání hesel v PHP: správné použití password_hash

Jak vývojáři ukládají hesla v PHP pomocí password_hash a password_verify, vybírají vhodný postup a nahrazují staré hashe MD5 nebo SHA-1 bez resetu hesla pro všechny uživatele.

Číst dál →075

Ochrana proti CSRF v aplikacích PHP

Jak vývojáři v aplikacích PHP zabraňují Cross-Site Request Forgery: tokeny pro každý měnící požadavek, kontrola původu v hlavičce a cookies SameSite jako další vrstva.

Číst dál →076

Validace a filtrování vstupů v PHP pomocí filter_var

Jak vývojáři kontrolují vstupy v PHP pomocí filter_var, filter_input_array a seznamů povolených hodnot, které filtry jsou zastaralé a proč validace nenahrazuje prepared statements ani kódování výstupu.

Číst dál →077

Prevence command injection v PHP

Jak vývojáři v PHP předcházejí command injection: nahrazují systémové příkazy funkcemi PHP, používají proc_open bez shellu, kontrolují argumenty a hledají nebezpečná místa ve stávajícím kódu.

Číst dál →078

Prevence Server-Side Request Forgery (SSRF) v PHP

Jak vývojáři zabrání tomu, aby aplikace PHP jménem cizích osob dotazovala interní systémy: seznamy povolených cílů, omezení protokolů, kontrola přeložené adresy a hranice v síti.

Číst dál →079

Prevence XML External Entities (XXE) v PHP

Jak vývojáři bezpečně zpracovávají XML v PHP: výchozí chování libxml, riziková nastavení jako LIBXML_NOENT, ochrana pomocí entity loaderu a LIBXML_NO_XXE a typické skryté vstupy XML.

Číst dál →080

Type juggling v PHP: volná porovnání jako bezpečnostní riziko

Proč mohou volná porovnání pomocí == v PHP vést k bezpečnostním mezerám, co se změnilo s PHP 8.0 a jak psát porovnání v přihlášení, tokenech a oprávněních robustně.

Číst dál →081

Bezpečná náhodná čísla a tokeny v PHP pomocí random_bytes

Jak vývojáři v PHP vytvářejí tokeny pro odkazy k obnovení hesla, klíče API a jednorázové kódy: kryptograficky bezpečné zdroje, dostatečná délka, ukládání jako hash a omezená platnost.

Číst dál →082

Správná ochrana přístupových údajů a souborů .env

Jak chránit hesla k databázi, klíče API a další tajné hodnoty v projektech PHP: soubory .env mimo webroot, blokování ve webserveru, úzká práva a uspořádaná výměna po incidentu.

Číst dál →083

Veřejná složka .git: podceňovaný únik dat

Proč může webroot nasazený přes Git prozradit kompletní zdrojový kód včetně historie, jak to ověřit, okamžitě zablokovat a nasazování trvale postavit bez složky .git.

Číst dál →084

Záložní soubory ve webrootu: .zip, .sql a .bak

Proč výpisy databází, archivy a záložní kopie ve veřejném adresáři patří k nejčastějším únikům dat, jak je najít, zablokovat a zjistit, zda byly staženy.

Číst dál →085

Soubory phpinfo(): proč musí zmizet

Po PHP2Shell zakládá mnoho administrátorů rychle soubor info.php. Proč jsou takové soubory únikem dat, jak je najít a jaké způsoby kontroly jsou lepší.

Číst dál →086

Udržování závislostí aktuálních: Composer, npm a pluginy

Projekt se skládá ze tří světů balíčků: Composer, npm a pluginy CMS. Jak všechny tři udržovat aktuální pevným rytmem, jasnou odpovědností a testy.

Číst dál →087

Bezpečnostní code review pro projekty v PHP

Jak týmy cíleně procházejí vlastní kód PHP kvůli bezpečnostním mezerám: druhy review, kritické funkce, užitečné nástroje a kontrolní seznam.

Číst dál →088

Bezpečné logování: protokolovat chyby bez úniku dat

Logy pomáhají při hledání chyb a forenzní analýze, ale rychle se samy stávají únikem dat. Co by aplikace PHP měly protokolovat, co nikdy a jak logy chránit.

Číst dál →089

Zabezpečení API REST v PHP

Rozhraní bývají chráněna hůře než web před nimi. Nejdůležitější pravidla pro API REST v PHP, od oprávnění k objektům až po omezení četnosti požadavků.

Číst dál →

Management a právo

14 článků

090

Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti

PHP2Shell ukázalo, jak často je nejasné, kdo má záplatovat. Jaké bezpečnostní povinnosti patří do smluv s agenturou, hostingovou firmou a IT dodavatelem.

Číst dál →091

Zpracování osobních údajů, když dodavatelé přistupují na servery

Kdo pouští externí osoby na servery s daty zákazníků, potřebuje zpravidla smlouvu o zpracování. Co vyžaduje čl. 28 GDPR a jak v krizi organizovat přístupy v souladu s ochranou údajů.

Číst dál →092

Řízení zranitelností pro střední firmy

Žádná střední firma nemůže zpracovat každé hlášení okamžitě. Štíhlý cyklus zjištění, hodnocení, rozhodnutí a doložení zajistí, že se důležité věci dělají jako první.

Číst dál →093

Vědět, co běží: inventář všech webů a serverů

U PHP2Shell mnoho firem nescházelo na záplatě, ale na otázce, kde vůbec PHP běží. Takto vytvoříte inventář všech webů a serverů.

Číst dál →094

Správa záplat jako proces, ne hašení požárů

Kdo záplatuje, jen když hoří, ztrácí v krizi čas. Jak proces správy záplat s pevnými třídami, okny a doklady spojuje rutinu a nouzi.

Číst dál →095

Nouzové kontakty: kdo musí být kdy informován?

V krizi rozhoduje, koho zastihnete a kdy. Jak sestavit seznam IT nouzových kontaktů se spouštěči, zástupci a údaji, které potřebuje každý hovor.

Číst dál →096

Kolik stojí napadený server: nákladové položky

Napadený webový server způsobí víc nákladů než samotná oprava. Jaké nákladové položky vznikají a jak si vlastními čísly zdůvodnit rozpočet na prevenci.

Číst dál →097

Informování zákazníků po incidentu

Povinnost, nebo dobrovolně: jak se po incidentu rozhodnout, koho informovat, které kanály jsou bezpečné a jak připravit zákaznický servis.

Číst dál →098

Dodavatelský řetězec webu: agentura, hosting, dodavatelé pluginů

PHP2Shell ukázalo, kolik článků leží mezi záplatou a vaším webem. Jak svůj dodavatelský řetězec znát, zabezpečit a zachytit výpadky jednotlivých článků.

Číst dál →099

Bezpečnostní povědomí administrátorů a redaktorů: security awareness v týmu správy webu

Kdo spravuje weby, rozhoduje o bezpečnosti denně, často aniž by si to uvědomoval. Jak proškolit administrátory a redaktory podle rolí a bez záplavy slajdů.

Číst dál →100

Krizové cvičení u stolu: projít incident webového serveru

Cvičení u stolu stojí jedno odpoledne a ukáže, zda váš krizový plán obstojí. Zde najdete hotový scénář incidentu na webovém serveru s PHP.

Číst dál →101

ISO 27001 a TISAX: čeho se týkají webové servery

Kdo provozuje ISMS podle ISO 27001 nebo má štítek TISAX, musí myslet i na webové servery. Zde je, kterých požadavků se dotýkají a jaké doklady po PHP2Shell platí.

Číst dál →102

VdS 10000: informační bezpečnost pro malé a střední podniky

VdS 10000 je štíhlý rámec informační bezpečnosti pro střední firmy. Co vyžaduje, co přišlo nového v roce 2025 a co to znamená pro weby a webové servery.

Číst dál →103

Lessons learned: po incidentu být lepší

Po incidentu je před dalším. Strukturovaná zpětná porada bez hledání viníka udělá ze špatného týdne měřitelný pokrok.

Číst dál →

Podklady pro rozhodování

10 článků

104

Okamžitý kontakt

Každá hodina se počítá. Napište nám hned.

Stručně popište systém, verzi PHP a pozorování. Ozveme se, vyjasníme situaci a budeme pracovat na dálku, dokud nebude incident uzavřen a zdokumentován.

WhatsApp nouze Zavolat