Stručně: Co dělat jako zákazník hostingu u zranitelnosti PHP2Shell? Aktualizaci PHP většinou nemusíte nasazovat sami, u sdíleného hostingu ji provede poskytovatel. Vaše úkoly jsou jiné: vyžádat si písemné potvrzení stavu záplat, zvolit v zákaznickém menu podporovanou verzi PHP a zkontrolovat web na nápadnosti. Patnáct nejčastějších otázek k tomu zodpovídá tento článek stručně a popořadě.
Zranitelnost PHP jako zákazník hostingu: jsem dotčen, co dělat?
Od 21. října 2026 dostáváme mnoho dotazů od firem, jejichž web leží u poskytovatele hostingu. Většina se točí kolem týchž bodů. Kdo si chce odpovědnosti přečíst podrobněji, najde je na stránce Sdílený hosting: co dělá poskytovatel a co musíte udělat vy.
1. Týká se to vůbec mého webu?
Pokud váš web běží na WordPressu, Shopwaru, TYPO3, Joomle, Contao nebo jiném systému PHP, může být postižen server pod ním. Čisté stránky HTML bez PHP ne. V případě pochybností pomůže pohled do zákaznického menu: Pokud tam je nastavení verze PHP, PHP používáte.
2. Jaký je rozdíl mezi sdíleným hostingem a vlastním serverem?
U sdíleného hostingu sdílíte server provozovaný poskytovatelem s dalšími zákazníky; PHP spravuje poskytovatel. U vlastního root serveru nebo vServeru odpovídáte vy sami. U spravovaného serveru určuje smlouva, kdo nasazuje aktualizace.
3. Můj poskytovatel poslal hromadný e-mail. Musím ještě něco udělat?
Přečtěte si přesně, co v něm stojí. Hromadný e-mail často jen potvrzuje, že poskytovatel „na tématu pracuje“. Potřebujete vyjádření k vašemu balíčku: větev PHP, stav záplat, čas a restart.
Odpovědnost a aktualizace
4. Nasazuje poskytovatel aktualizaci automaticky?
Zpravidla ano, pro verze PHP, které na svých serverech nabízí. Zda se tak již stalo a zda jsou pokryty i starší verze, se u jednotlivých poskytovatelů liší. Zeptejte se.
5. Moje zákaznické menu ukazuje starou verzi. Jsem nechráněn?
Ne nutně. Mnoho poskytovatelů zabudovává opravy jako backport, číslo pak zůstává stejné. Plesk například může dál zobrazovat 8.2.34, přestože je chyba opravena. Rozhodující je potvrzení poskytovatele.
6. Stále používám PHP 7.4 nebo 8.1. Co teď?
Tyto větve už od projektu PHP nedostávají oficiální aktualizace. Někteří poskytovatelé dodávají vlastní opravy, jiní ne. Vyjasněte to písemně a naplánujte přechod na podporovanou větev. Předem si v systémových požadavcích svého CMS ověřte, které verze PHP podporuje.
7. Mohu verzi PHP přepnout sám?
U většiny poskytovatelů ano, v zákaznickém menu. Jak na to a na co si předem dát pozor, popisuje článek Změna verze PHP v zákaznické sekci hostingu. Předem proveďte zálohu.
8. Pomůže aktualizovat WordPress nebo pluginy?
Proti PHP2Shell ne, protože zranitelnost je v PHP. Aktualizace CMS jsou přesto smysluplné, protože uzavírají jiné zranitelnosti.
Kontrolovat a dokládat
9. Jak získám doklad od poskytovatele?
Písemným dotazem, který požaduje konkrétní údaje: stav balíčku pro každou větev PHP, datum instalace, restart všech procesů PHP. Vzor ke zkopírování nabízí průvodce Vyžádání potvrzení aktualizace PHP od poskytovatele hostingu.
10. Mohu nastavit přechodná opatření přes .user.ini?
Ne. php.net výslovně nedoporučuje nastavovat přechodná nastavení přes ini_set() nebo .user.ini. Patří do konfigurace serveru a tu u sdíleného hostingu spravuje poskytovatel.
11. Můj web byl krátce offline. Byl jsem napaden?
Ne nutně. Někteří poskytovatelé weby preventivně odstavili nebo servery restartovali. Zeptejte se na důvod, než vyvodíte závěry.
12. Podle čeho poznám, že byl můj web napaden?
Možnými náznaky jsou neznámé administrátorské účty, nové soubory PHP ve složce uploadu, přesměrování na cizí stránky, cizí stránky v indexu Google nebo varování v Search Console. Požádejte poskytovatele, aby uchoval přístupové logy od 20. října.
Když něco nesedí
13. Poskytovatel neodpovídá nebo odpovídá vyhýbavě. Co dělat?
Zeptejte se písemně a stanovte přiměřenou lhůtu. Pokud odpověď nepřijde, měli byste server považovat za nezkontrolovaný a zvážit dočasné přepnutí webu na statickou nouzovou stránku.
14. Mám změnit poskytovatele?
Změna uprostřed situace vytváří vlastní rizika. Smysl má, pokud poskytovatel trvale nepodává informace nebo dál provozuje staré verze PHP bez opravy. Na co přitom dbát, popisuje článek Změna poskytovatele hostingu po incidentu.
15. Musím něco hlásit?
Pokud existují náznaky útoku a mohou být dotčeny osobní údaje, může existovat oznamovací povinnost podle GDPR, zpravidla do 72 hodin. Vyjasněte to se svým pověřencem pro ochranu osobních údajů nebo s právníkem. Nejde o právní poradenství.
Váš krátký kontrolní seznam
- Písemně se zeptat poskytovatele na stav záplat a restart.
- Zkontrolovat verzi PHP v zákaznickém menu, zastaralé větve nahradit.
- Projít administrátorské účty a složku uploadu.
- Zkontrolovat varování v Search Console.
- Při nápadnostech si před mazáním souborů sehnat pomoc.
Jak konkrétně pomáhá PHP SOS?
- Vyjasnění s poskytovatelem: Formulujeme dotaz nebo vedeme rozhovor a vyhodnocujeme odpověď.
- Kontrola webu: Hledáme stopy v souborech, databázi a účtech, pokud to hostingový balíček umožňuje.
- Vyčištění: Pokud najdeme škodlivý kód, odstraníme ho a změníme všechny přístupy.
- Dokumentace: Dostanete stav písemně.
Při konkrétním podezření pomůže nouzová pomoc při napadených webech.
Závěr
Jako zákazník hostingu u PHP2Shell nenesete břemeno aktualizace, ale odpovědnost za svůj web. Většinu otázek vyřeší jasná písemná odpověď vašeho poskytovatele. Co zbývá, je pohled na vlastní web: účty, soubory, upozornění Google. Kdo udělal obojí, splnil svou část a v případě pochybností může doložit, že jednal pečlivě.
Časté dotazy
Kdo odpovídá za aktualizaci PHP u webhostingu?
U sdíleného hostingu zpravidla poskytovatel, protože provozuje server a instalaci PHP. Vy odpovídáte za svůj web, své přístupy a volbu verze PHP v zákaznickém menu. U spravovaných serverů dělení upravuje smlouva.
Proč můj poskytovatel zobrazuje starou verzi PHP?
Mnoho poskytovatelů a distribucí zabudovává opravu jako backport do stávající verze. Číslo pak zůstává stejné, přestože je zranitelnost uzavřena. Spolehněte se proto na písemné potvrzení poskytovatele, ne na zobrazení.
Co mohu jako zákazník hostingu zkontrolovat sám?
Můžete zkontrolovat nastavenou verzi PHP v zákaznickém menu, projít administrátorské účty svého CMS, podívat se po neznámých souborech ve složce uploadu a ověřit varování v Search Console. Stav záplat samotného serveru může doložit jen poskytovatel.
Pomůže nastavení firewallu v hostingovém balíčku?
Pravidla firewallu poskytovatele nebo předřazené služby mohou riziko snížit. Aktualizaci PHP na serveru ale nenahrazují. Ptejte se proto vždy nejdřív na aktualizaci.