# Řešit sami, nebo si přizvat dodavatele? Upřímná rozvaha

> Najmout dodavatele IT bezpečnosti, nebo řešit sami? Upřímná rozvaha s kritérii, testem a případy, kdy žádnou pomoc nepotřebujete.

Zdroj: https://phpsos.de/cs/blog/selbst-beheben-oder-dienstleister/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Najmout dodavatele IT bezpečnosti se vyplatí, pokud existují příznaky průniku, běží staré verze PHP bez oficiální aktualizace, interně chybí čas nebo odborné znalosti, nebo jsou dotčeny právní otázky. Pokud váš web leží u poskytovatele hostingu, který záplatu a restart písemně potvrzuje, nebo pokud vaše vlastní IT dokáže podporovaný stav PHP samo aktualizovat a zkontrolovat, často pro PHP2Shell externí pomoc nepotřebujete.

## Otázka, kterou si mnozí právě kladou

V týdnu po 21. 10. 2026 se mnoho firem poprvé podívalo podrobněji na to, kdo vlastně pečuje o jejich webové servery. Výsledek byl často střízlivý: Agentura odpovídá za obsah, poskytovatel hostingu za hardware a verzi PHP na starém vServeru nezná nikdo přesně.

Zároveň platí: Ne každá firma v této situaci dodavatele bezpečnosti potřebuje. Kdo upřímně posoudí, co zvládne interně, ušetří peníze a zachová si kontrolu. Kdo se přecení, riskuje, že průnik zůstane neodhalen. Tento příspěvek pomáhá se zařazením, aniž by vám chtěl prodat něco, co nepotřebujete.

## Řešit sami, nebo najmout dodavatele IT bezpečnosti: kritéria

| Kritérium | Řešit sami | Najmout dodavatele |
|---|---|---|
| Model hostingu | Sdílený hosting nebo spravovaný s potvrzenou záplatou | Vlastní server bez péče, nejasná odpovědnost |
| Verze PHP | 8.2 až 8.5, k dispozici oficiální aktualizace nebo backport distribuce | 8.1 nebo starší, jen zdrojové backporty nebo zdroje třetích stran |
| Počet systémů | Jeden nebo několik webů, dobře zdokumentovaných | Mnoho serverů, smíšená prostředí, kontejnery |
| Interní kompetence | Administrátor s právy k serveru, zkušeností se správou balíčků a restarty | Nikdo s přístupem nebo zkušeností k dispozici |
| Příznaky průniku | Po kontrole žádné nápadnosti | Neznámé soubory, procesy, účty nebo spojení |
| Osobní údaje | Na systému žádná citlivá data | Data zákazníků, zdravotní nebo platební data |
| Pojištění a oznamovací povinnosti | Žádný dotyk | Pojišťovna nebo ochrana osobních údajů musí být zapojena |
| Potřeba dokladu | Stačí interní poznámka | Nutná zpráva pro vedení, audit nebo pojišťovnu |

Pokud ve vaší situaci platí více řádků z pravého sloupce, mluví mnohé pro externí pomoc. Pokud platí pravý sloupec jen u „Potřeby dokladu“, často stačí cílená podpora při dokumentaci.

## Test v sedmi otázkách

Odpovězte ano, nebo ne. Každé ne je náznakem, kde byste mohli potřebovat pomoc.

1. Víte u každého webu, na kterém serveru a s jakou verzí PHP běží?
2. Dokážete doložit, že tento stav je opraven proti CVE-2026-109618 a CVE-2026-109619, například přes changelog balíčku? Návod najdete v [Jak správně ověřit verzi PHP a stav záplat](https://phpsos.de/cs/php2shell/php-version-pruefen/).
3. Má někdo ve firmě práva i znalosti k aktualizaci PHP a restartu všech workerů?
4. Máte u webů u poskytovatele hostingu písemné potvrzení záplaty a restartu? Vzor nabízí [Jak se zeptat poskytovatele hostingu na stav záplat](https://phpsos.de/cs/ratgeber/hoster-patch-status-erfragen/).
5. Hledal někdo nápadnosti od 17. 10. 2026, například nové soubory PHP ve složkách pro nahrávání nebo neznámé cronjoby?
6. Jsou logy serveru od 20. 10. 2026 zajištěny?
7. Je tu osoba, která smí rozhodnout o dočasném odstavení a je k zastižení?

Sedm ano znamená: Jste dobře postaveni. Jedno nebo dvě ne lze často doplnit interně. Při třech a více ne, zvlášť u otázek 2 a 5, je externí podpora vážnou úvahou.

## Kdy výslovně dodavatele nepotřebujete

Existují situace, v nichž bychom sami odradili od vydávání peněz za externí pomoc. Patří sem jednoduchý firemní web u velkého poskytovatele hostingu, který záplatu potvrdil, bez formulářů s citlivými daty a bez nápadností. Stejně tak vlastní server s PHP 8.3 nebo 8.4, jehož administrátor nasadil backport distribuce, restartoval všechny procesy a krátce prohlédl logy.

V těchto případech je nejdůležitější krátká písemná poznámka: Co bylo kdy zkontrolováno, s jakým výsledkem? Pomůže při dotazech i v příští situaci.

Upřímně k tomu patří i nepodceňovat vlastní hranice. Nainstalovat aktualizaci je pro mnoho administrátorů rutina. Správně vyhodnotit podezřelý soubor, aniž by se smazaly stopy, rutina většinou není. Kdo při záplatování najde něco nápadného, měl by se na tomto místě zastavit, nic nemazat a znovu rozhodnout, zda bude pokračovat sám.

> **Tip:**
> I když všechno zvládnete sami: Stanovte dnes, komu byste zavolali, kdyby se přece jen něco ukázalo. V krizi je hledání dodavatele ztracený čas.

## Střední cesta: rozdělit místo předat

Mezi „všechno sám“ a „všechno předat“ leží varianta, která v mnoha firmách funguje nejlépe. Vlastní tým převezme, co zná: aktualizace, restarty, kontakt s poskytovatelem hostingu. Dodavatel převezme, co vyžaduje odborné znalosti nebo nezávislý pohled, například kontrolu stop, vyhodnocení podezření nebo zprávu pro pojišťovnu.

Aby to vyšlo, musí být upraveny přístupy, odpovědnosti a ochrana osobních údajů. Pokud dodavatel přistupuje na servery s osobními údaji, je zpravidla nutná smlouva o zpracování osobních údajů; pokyny najdete v [Zpracování osobních údajů, když dodavatelé přistupují na servery](https://phpsos.de/cs/blog/auftragsverarbeitung-serverzugriff/). Jak najít vhodného poskytovatele, popisuje [Výběr dodavatele IT bezpečnosti](https://phpsos.de/cs/blog/sicherheitsdienstleister-auswaehlen/).

## Jak konkrétně pomáhá PHP SOS?

- Začínáme krátkou inventurou a řekneme otevřeně, pokud nás nepotřebujete.
- Cíleně přebíráme části, které interně chybí, například kontrolu stop, starší systémy nebo doložení, a zbytek necháváme na vašem týmu.
- Pracujeme na dálku s přístupy, které uvolníte, a dokumentujeme každý krok.
- Při akutní potřebě převezmeme prostřednictvím [okamžité pomoci při PHP2Shell](https://phpsos.de/cs/leistungen/php2shell-soforthilfe/) inventuru, záplatu, restart a hledání stop v plném rozsahu.

## Závěr

Správná odpověď na „sami, nebo dodavatel?“ je zřídka černobílá. Kdo zná své systémy, provozuje podporované verze PHP a umí doložit, že bylo záplatováno a restartováno, PHP2Shell často zvládne sám. Kdo má starší systémy, nejasné stavy nebo příznaky průniku, by neměl váhat a pomoc si přizvat.


## Časté dotazy

**Kdy bych měl najmout dodavatele IT bezpečnosti?**  
Především pokud existují příznaky průniku, pokud běží staré verze PHP bez oficiální aktualizace, pokud interně není k dispozici nikdo s právy k serveru a zkušenostmi, nebo pokud jsou dotčeny osobní údaje a pojistné otázky.

**Nemůže to prostě vyřídit můj poskytovatel hostingu?**  
U sdíleného hostingu a mnoha spravovaných tarifů poskytovatel PHP záplatuje sám. Nechte si stav záplat a restart potvrdit písemně. Za vaši aplikaci, pluginy a kontrolu stop poskytovatel zpravidla neodpovídá.

**Co bych měl připravit, než dodavateli zavolám?**  
Seznam dotčených webů a serverů, cesty přístupu, kontaktní osoby s pravomocí rozhodovat a krátký popis toho, čeho jste si všimli. Do té doby nemažte ani neměňte nic, co by mohlo obsahovat stopy.

**Existuje střední cesta mezi vlastním řešením a předáním všeho?**  
Ano. Vlastní tým často převezme rutinu, například aktualizace a restarty, zatímco dodavatel převezme kontrolu stop, hodnocení nebo dokumentaci. Důležité je jasné rozdělení, kdo co dělá.

## Zdroje

- [php.net: bezpečnostní hlášení](https://www.php.net/)
- [PHP: podporované verze](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)