# Výstražný stupeň BSI oranžový: co zařazení znamená

> Výstražný stupeň BSI oranžový vysvětlen: co znamená čtyři stupně, proč se PHP2Shell považuje za kritické pro provoz a jak se firmy mají rozhodnout.

Zdroj: https://phpsos.de/cs/blog/bsi-warnstufe-orange-erklaert/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Oranžový výstražný stupeň BSI (německý Spolkový úřad pro informační bezpečnost) je druhý nejvyšší ze čtyř stupňů. Znamená: Situace IT hrozeb je kritická pro provoz, běžný provoz může být masivně narušen. Pro PHP2Shell přidělilo BSI tento stupeň 3 a doporučuje okamžitou aktualizaci nebo, pokud to nejde, dočasné odpojení postižených webových serverů od sítě. Pro firmy znamená oranžový stupeň: Téma patří ještě dnes na stůl vedení.

## Co zařazení znamená pro rozhodující osoby

Mnoho jednatelů slyšelo ve zprávách o „oranžovém výstražném stupni“, aniž by vědělo, jak to zařadit. Je to poplach pro všechny, nebo téma pro IT oddělení? Krátká odpověď: Oranžový je stupeň, u kterého BSI vychází z toho, že dotčeným bez rychlého jednání hrozí vážné poruchy jejich podnikání.

Podle hessenschau mluvilo BSI u PHP2Shell o mimořádném potenciálu hrozby. Počítalo s rychlým a plošným zneužíváním. Potvrzené úspěšné útoky v širokém měřítku nebyly v době varování podle BSI známy. Obojí k sobě patří: Vysoký stupeň popisuje riziko, ne již nastalou škodu.

## Výstražný stupeň BSI oranžový a další tři stupně

BSI řadí svá kybernetická bezpečnostní varování na stupnici od 1 do 4. Následující tabulka význam vyjadřuje volně:

| Stupeň | Barva | Význam (volně) |
|---|---|---|
| 1 | šedá | situace IT hrozeb bez podstatných nápadností |
| 2 | žlutá | zvýšené sledování nápadností, běžný provoz zčásti narušen |
| 3 | oranžová | situace kritická pro provoz, masivní narušení běžného provozu |
| 4 | červená | mimořádně kritická situace, běžný provoz v mnoha oblastech nelze udržet |

Stupeň vypovídá o situaci jako celku, ne o vašem jednotlivém serveru. Plně záplatovaný a zkontrolovaný webový server je v dobré pozici i při oranžové. Nezáplatovaný server s PHP 8.1 a mod_php je ohrožen i při nižším stupni.

### Jak stupnici využít uvnitř firmy

Mnoho firem má vlastní nouzové stupně, například v nouzové příručce nebo v rámci řízení informační bezpečnosti. Vyplatí se stupně BSI tam pevně přiřadit. Jednoduché pravidlo může znít: Při žluté kontroluje IT v rámci běžného provozu. Při oranžové je vedení informováno téhož dne, je určena odpovědná osoba a písemně je zjištěn stav všech dotčených systémů. Při červené se schází krizový štáb.

Tak se ze zprávy stane nacvičená reakce. Kdo přiřazení stanovil předem, nemusí v ostrém případě diskutovat, zda je situace „dost vážná“. U PHP2Shell by toto pravidlo znamenalo: ještě 21. října soupis, plán záplat a rozhodnutí o odstavení.

Samotná varování BSI zveřejňuje na svém webu, kde je při nových poznatcích také aktualizuje. Vyplatí se číst vždy aktuální znění, protože doporučení a posouzení se mohou v průběhu situace měnit.

## Proč je PHP2Shell oranžové a ne červené

Pro srovnání se často používá Log4Shell. Pro zranitelnost v javové knihovně Log4j vyhlásilo BSI v prosinci 2021 stupeň červený, podle dobových zpráv mimo jiné proto, že zranitelnost šlo triviálně zneužít a napadení už byla známa. V lednu 2022 bylo varování podle Spolkového sněmu (Bundestag) sníženo na žlutý stupeň.

Přesné odůvodnění oranžového stupně u PHP2Shell zná jen BSI. Rozpoznatelnými rozdíly jsou situace u potvrzených útoků a skutečnost, že pro všechny podporované větve PHP je k dispozici aktualizace. Podrobné srovnání nabízí článek [PHP2Shell a Log4Shell](https://phpsos.de/cs/blog/php2shell-und-log4shell/). Oranžový stupeň přitom není uklidněním. Doporučení v nouzi odpojit servery od sítě je pro úřad jasným sdělením.

> **Důležité:**
> Výstražný stupeň se může měnit, oběma směry. Rozhodující je aktuální stav na webu BSI, ne novinový článek ze včerejška.

## Co oranžový stupeň neznamená

Setkáváme se nyní často se třemi nedorozuměními:

- **„Oranžový znamená, že jsme napadeni.“** Ne. Stupeň popisuje situaci hrozeb, ne nález na vašich systémech.
- **„Oranžový platí jen pro úřady.“** Ne. Varování míří na všechny provozovatele postižených systémů, i na malé firmy.
- **„Když máme Cloudflare nebo WAF, oranžový stupeň se nás netýká.“** Ne. Ochranná pravidla riziko snižují, ale aktualizaci PHP nenahrazují.

Zda z varování plynou právní povinnosti, například v rámci [NIS2](https://phpsos.de/cs/compliance/nis2/), závisí na vašem odvětví a velikosti. Nejde o právní poradenství; podrobnosti vyjasněte se svým právním poradenstvím nebo pověřencem pro ochranu osobních údajů.

## Zařazení převést do rozhodnutí

Výstražný stupeň má takovou cenu, jakou mají rozhodnutí, která z něj plynou. Pro PHP2Shell firmám doporučujeme toto pořadí:

1. **Vyjasnit dotčenost:** Které servery a weby běží s PHP, kdo je provozuje?
2. **Doložit stav záplat:** opravená verze 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, nebo backport potvrzený poskytovatelem.
3. **Zajistit restart:** Všechny procesy PHP musí být restartovány.
4. **Pokud to nejde hned:** Nastavit přechodná opatření nebo server dočasně odpojit od sítě, jak doporučuje BSI. Možnosti popisuje [Okamžitá opatření bez záplaty](https://phpsos.de/cs/php2shell/sofortmassnahmen-ohne-patch/).
5. **Zkontrolovat stopy a zajistit logy:** od 20. října.
6. **Zdokumentovat rozhodnutí:** kdo co kdy rozhodl a na jakém základě.

Právě poslední bod se podceňuje. Kdo při oficiálním varování stupně oranžový jednal srozumitelně, stojí vůči pojišťovnám, zákazníkům a dozorovým orgánům lépe. Souvislosti přináší stránka o [odpovědnosti vedení](https://phpsos.de/cs/compliance/geschaeftsfuehrer-haftung/).

## Jak konkrétně pomáhá PHP SOS?

- **Situace pro vaši firmu:** Zařazení BSI převádíme do seznamu vašich dotčených systémů s prioritou.
- **Provedení doporučení:** Záplatujeme, restartujeme nebo nastavujeme přechodná opatření, dokud není aktualizace možná.
- **Doklad:** Dostanete dokumentaci, co se kdy na kterém serveru stalo.
- **Sledování:** Pokud BSI zařazení změní nebo přijdou nové zprávy, zařadíme je pro vaše systémy.

Více na stránce [okamžitá pomoc při PHP2Shell](https://phpsos.de/cs/leistungen/php2shell-soforthilfe/).

## Závěr

Oranžový výstražný stupeň je druhý nejvyšší stupeň BSI a u PHP2Shell je dobře odůvodněn. Nevyžaduje paniku, ale rozhodnutí téhož dne: záplatovat, restartovat, zkontrolovat, nebo dočasně odstavit. Kdo to zdokumentuje, varování správně přečetl.


## Časté dotazy

**Kolik výstražných stupňů BSI má?**  
Kybernetická bezpečnostní varování BSI používají čtyři stupně: 1 / šedý, 2 / žlutý, 3 / oranžový a 4 / červený. Oranžový je druhý nejvyšší stupeň a popisuje situaci IT hrozeb kritickou pro provoz s masivním narušením běžného provozu.

**Je oranžový výstražný stupeň povinností jednat?**  
Samotné varování je odborné posouzení s doporučeními postupu. Jaké povinnosti z něj pro vaši firmu plynou, například z NIS2, smluv nebo pojistných podmínek, závisí na konkrétním případu. Vyjasněte to s právním poradenstvím; nejde o právní poradenství.

**Proč PHP2Shell není stupeň červený?**  
Důvody zařazení stanoví samo BSI. Nápadný je rozdíl oproti Log4Shell, které v roce 2021 dostalo červený stupeň: tehdy byla podle dobových zpráv již známa napadení. U PHP2Shell nebyly potvrzené úspěšné útoky v širokém měřítku podle BSI zpočátku známy.

**Může se výstražný stupeň změnit?**  
Ano. BSI zařazení přizpůsobuje situaci, nahoru i dolů. Log4Shell bylo například podle Spolkového sněmu (Bundestag) v lednu 2022 sníženo z červeného na žlutý stupeň. Aktuální stav ověřte přímo u BSI.

## Zdroje

- [BSI: německý Spolkový úřad pro informační bezpečnost](https://www.bsi.bund.de/)
- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [php.net: bezpečnostní oznámení](https://www.php.net/)