# Bezpečnost webu pro lékárny: předobjednávky, e-shop a zdravotní údaje

> Předobjednávky, fotografie receptů, e-shop: jak lékárny zabezpečí web proti PHP2Shell, ochrání zdravotní údaje a včas rozpoznají farmaceutický spam.

Zdroj: https://phpsos.de/cs/branchen/apotheken/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** U bezpečnosti webu lékárny jde o zdravotní údaje: kdo předobjedná lék nebo vyfotí recept, prozradí něco o svém zdraví. Ujasněte, kdo provozuje váš webový server, nechte si potvrdit záplatu PHP a restart a dávejte pozor na skrytou reklamu na léčiva, kterou útočníci rádi vkládají na weby lékáren.

## Jaké systémy PHP lékárny používají

Mnoho lékáren má web s otevírací dobou, upozorněním na pohotovostní službu a formulářem pro předobjednávku. Často přibývá funkce pro nahrání fotografií receptů nebo medikačních plánů, k tomu poptávky na donášku a termíny poradenství či očkování. Zásilkové lékárny a lékárny s online prodejem provozují navíc e-shop, například na [WooCommerce](https://phpsos.de/cs/plattformen/woocommerce/) nebo [Shopware 6](https://phpsos.de/cs/plattformen/shopware-6/).

Některé weby pocházejí z balíčků kooperací nebo specializovaných poskytovatelů, jiné postavila místní agentura. Pro PHP2Shell se podle toho rozhoduje, kdo server provozuje a je tedy odpovědný za záplatu PHP.

Zvlášť výmluvné jsou poptávky na donášku. Spojují adresu bydliště, telefonní číslo a lék, často u starších nebo pečovaných lidí. Kdo takové záznamy zachytí, ví, kdo bydlí sám, jaké přípravky se pravidelně potřebují a kdy se dováží. To je zajímavé pro podvodníky, kteří cíleně oslovují starší lidi.

## Zdravotní údaje: proč je citlivý už formulář předobjednávky

Jméno plus lék dává zdravotní údaj. Takové údaje patří do zvláštních kategorií osobních údajů podle čl. 9 GDPR. Pro lékárníky navíc platí mlčenlivost, jejíž porušení může být podle § 203 StGB (německý trestní zákoník) trestné.

Na webovém serveru leží takové údaje na několika místech: v databázi formulářového pluginu, v nahraných fotografiích receptů, ve frontách pošty a v e-shopu s historií objednávek. Kdo může pomocí PHP2Shell spouštět kód, se zpravidla ke všemu dostane, aniž by se musel přihlásit.

## Lékárna a bezpečnost webu: co útok způsobí

- **Únik dat:** Předobjednávky a fotografie receptů umožňují usuzovat na nemoci. Riziko pro dotčené je vysoké, oznamovací povinnosti podle GDPR jsou na místě. [72hodinovou lhůtu](https://phpsos.de/cs/compliance/dsgvo-meldepflicht-72-stunden/) posoudíte s pověřencem pro ochranu osobních údajů.
- **Farmaceutický spam:** Útočníci vkládají skryté stránky s reklamou na léky na předpis. Vyhledávače web degradují nebo zobrazí varování, jak je popsáno v poradně [Odstranění varování Google](https://phpsos.de/cs/ratgeber/google-warnung-entfernen/).
- **Ztracené předobjednávky:** Když formulář vypadne nebo přesměrovává, stojí zákazníci u pultu a lék není objednán.
- **Zmanipulovaný e-shop:** Změněný kód v objednávkovém procesu může zachytit platební údaje nebo poslat zákazníky na padělané stránky.

> **Důležité:**
> Aktualizace e-shopu nebo CMS PHP2Shell neuzavře. Zranitelnost je odstraněna až s PHP 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. poskytovatelem potvrzeným backportem, a teprve po restartu všech procesů PHP.

## Mezera v odpovědnosti v lékárně

| Oblast | Typicky odpovídá | Často nevyjasněno |
|---|---|---|
| Skladový systém, pokladny, telematická infrastruktura | softwarový dům nebo IT lékárny | spojení s internetovým obchodem |
| Web z balíčku kooperace | poskytovatel balíčku | písemné potvrzení záplaty |
| Vlastní web nebo e-shop | agentura a hosting | kdo PHP aktualizuje a restartuje |

U řetězců poboček přistupuje to, že každá pobočka může mít vlastní formuláře nebo domény, které centrálně nikdo nevede.

## Předobjednávku a nahrávání receptů navrhnout úsporně vůči datům

Mnoho formulářů lékáren ukládá víc, než je nutné. Předobjednávka potřebuje jméno, kontakt a požadovaný přípravek, ne datum narození, adresu ani diagnózu. Fotografie receptů by neměly trvale ležet ve veřejně dostupné složce pro nahrávání, ale po vyzvednutí se mají mazat.

Zkontrolujte také, kam údaje z formulářů putují. Pokud skončí každá předobjednávka jako nešifrovaný e-mail ve sdílené schránce, ke které přistupuje mnoho zaměstnanců, je schránka stejně chráněnou věcí jako server. A pokud formulářový plugin ukládá každý dotaz navíc do databáze, roste tam s každým měsícem archiv zdravotních údajů, který nikdo nepotřebuje.

Čím méně leží na webovém serveru, tím menší je škoda, pokud je přesto napaden. O lhůtách uložení rozhodnete s pověřencem pro ochranu osobních údajů.

## První hodiny pro vedení lékárny

1. U provozovatele webového serveru se písemně zeptat na stav záplat PHP a restart.
2. Bez potvrzení: vypnout formulář předobjednávky a nahrávání receptů a přejít na telefon. Stačí upozornění na úvodní stránce.
3. Nechat zajistit logy od 20. 10. 2026.
4. V Google Search Console zkontrolovat, zda se nehlásí neznámé stránky nebo bezpečnostní problémy.
5. Staré fotografie receptů a záznamy z formulářů, které se už nepotřebují, po domluvě s pověřencem pro ochranu osobních údajů nechat smazat.

## Jak konkrétně pomáhá PHP SOS?

- S poskytovatelem balíčku, agenturou nebo hostingem ujasníme, kdo záplatuje PHP, a vyžádáme potvrzení se stavem balíčku.
- Zkontrolujeme web a e-shop na webshelly, vložený farmaceutický spam a změněný objednávkový kód a [odstraníme nalezený škodlivý software](https://phpsos.de/cs/leistungen/malware-entfernung/).
- Ukážeme, kde na serveru leží zdravotní údaje, a pomůžeme omezit dobu uložení a nahrávání.
- Zjištění zdokumentujeme tak, aby váš pověřenec pro ochranu osobních údajů mohl posoudit oznamovací povinnost.


## Časté dotazy

**Týká se PHP2Shell našeho skladového a lékárenského systému?**  
Lékárenský skladový systém a přístup k telematické infrastruktuře běží zpravidla odděleně od webu. Postiženy jsou webové servery s PHP, tedy většinou web, formulář předobjednávky a internetový obchod. Zda existují rozhraní mezi e-shopem a skladovým systémem, by měl ověřit váš IT dodavatel.

**Náš web pochází ze stavebnice naší kooperace. Kdo je odpovědný?**  
U balíčků webů od kooperací, velkoobchodů nebo specializovaných poskytovatelů provozuje server většinou poskytovatel. Pak leží záplata PHP na něm. Zeptejte se písemně na stav, protože odpovědnost za data vašich zákazníků zůstává u vaší lékárny.

**Co je farmaceutický hack (pharma hack)?**  
Tak se nazývají útoky, při kterých se na napadený web vloží skryté stránky nebo odkazy s reklamou na léčiva. Návštěvníci z toho často nevidí nic, vyhledávače ale ano. U lékárny je to obzvlášť choulostivé, protože takový obsah vystupuje pod důvěryhodným jménem.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [BSI: varování a doporučení](https://www.bsi.bund.de/)
- [Nápověda Google Search Console](https://support.google.com/webmasters/)
- [GDPR čl. 33: oznámení dozorovému úřadu](https://dsgvo-gesetz.de/art-33-dsgvo/)