Stručně: Pokud je web řemeslné firmy napaden nebo ohrožen zranitelností PHP2Shell, nemusíte být technik. Důležité je položit správné otázky hostingu a webdesignérovi, zajistit přístupy a v případě pochybností web krátce vypnout. Zbytek převezmou odborníci.
Proč jsou weby řemeslníků ohrožené
Web řemeslné firmy bývá štíhlý: služby, referenční fotografie, kontaktní formulář, možná stránka s nabídkou práce. Postavila ho často před lety malá agentura, freelancer nebo někdo z rodiny, často na WordPressu. Od té doby tiše běží.
PHP2Shell zasahuje právě takové stránky. Zranitelnosti jsou v samotném PHP, programovacím jazyku, na kterém běží téměř všechny weby tohoto druhu. Útočníci k tomu nepotřebují žádné heslo. Internet automatizovaně prohledávají kvůli zranitelným serverům, ať už tam stojí koncern, nebo firma pokrývačů.
Jaká data na webu řemeslníka leží
Na první pohled málo. Na druhý: poptávky se jmény, adresami a telefonními čísly, fotografie koupelen, střech a kotelen, které zákazníci nahrávají k posouzení, a životopisy se zkouškami a vysvědčeními. Některé formulářové pluginy to všechno ukládají trvale do databáze, i když jste poptávku dávno dostali e-mailem.
Pro útočníky mají tato data menší hodnotu než samotný server. Napadený web řemeslníka často slouží jako odesílatel spamu, úložiště podvodných stránek nebo přesměrování na falešné e-shopy. Vaše dobré jméno v regionu se tak stává maskováním. Všimnete si toho často až tehdy, když zavolá zákazník a zeptá se, proč vaše stránka najednou ukazuje reklamu na online kasina.
Co napadený server znamená pro firmu
- Méně zakázek: Pokud Google zobrazí varování nebo se stránka přesměruje, poptávky vypadnou, často nepozorovaně celé týdny.
- E-maily ve spamu: Pokud server rozesílá spam, končí i vaše nabídky a faktury u zákazníků ve složce spamu.
- Potíže s hostingem: Hostingové firmy blokují nápadné balíčky, někdy i se schránkami.
- Padělané faktury: Pokud jsou dotčeny i poštovní přístupy, mohou zákazníci dostat faktury s cizím bankovním spojením.
Řemeslo a napadený web: kdo je odpovědný?
V malých firmách je situace často nepřehledná. Smlouva o hostingu je vedena na majitele, přístupové údaje má bývalý webdesignér a nikdo přesně neví, jaká verze PHP běží. U běžného webhostingu aktualizuje PHP na serveru poskytovatel. Zda to udělal, byste se měli zeptat písemně. Vzor najdete v poradně Zeptat se hostingu na stav záplat.
Důležité vědět: aktualizace webu nebo jeho pluginů zranitelnost PHP neuzavře. A záplata neodstraní škodlivý kód, který byl vložen dříve.
Přístupové údaje k doméně, hostingu a administraci webu uložte na bezpečné místo ve firmě, ne jen u webdesignéra. V nouzi byste jinak ztráceli čas hledáním.
První hodiny: kontrolní seznam pro majitele
- Zeptat se hostingu: Je PHP pro můj balíček záplatované a restartované? Nechat si odpověď dát písemně.
- Pokud není jasná odpověď nebo existují známky napadení, web dočasně vypnout přes zákaznické menu hostingu. Poptávky mezitím půjdou přes telefon a e-mail.
- Požádat hosting, aby uchoval logy serveru od 20. 10. 2026.
- Všechna hesla měnit až tehdy, když je server čistý, jinak útočník ta nová hned přečte.
- Zkontrolovat, zda existuje aktuální záloha a kdo ji může obnovit.
Po incidentu: web záměrně udržet jednoduchý
Mnoho webů řemeslníků nese zbytečný balast: pluginy pro funkce, které se nikdy nepoužívaly, staré testovací stránky, zapomenutá kniha návštěv. Každou z těchto částí je třeba udržovat. Po incidentu se vyplatí udělat řez: co nepřináší poptávky, to pryč.
Ujasněte si také, zda formuláře musí poptávky trvale ukládat, nebo zda stačí e-mail firmě. Zajistěte pravidelné zálohy, které neleží na stejném serveru. A zvažte, zda váš hostingový balíček ještě odpovídá webu, nebo zda je pro vás jednodušším řešením spravovaný balíček s jasnou odpovědností za PHP.
Jak konkrétně pomáhá PHP SOS?
- Mluvíme za vás s hostingem a webdesignérem a srozumitelně vyjasníme, kdo co musí udělat.
- Na dálku ověříme, zda je server záplatovaný a zda nejsou přítomny škodlivý kód, cizí administrátorské účty nebo spamové skripty.
- Při napadení web vyčistíme v rámci naší nouzové pomoci a pomůžeme odstranit varování Google.
- Znovu zabezpečíme vaše přístupy a předáme vám krátkou dokumentaci pro vaše podklady.
- Kdo se o to už nechce starat sám, získá díky servisní smlouvě pevnou odpovědnost.
Časté dotazy
Můj web postavil známý. Kdo je teď odpovědný?
Za web odpovídá firma, na kterou je vedena doména a hosting. Webdesignér může pomoci, ale odpovídá jen tehdy, pokud to upravuje smlouva o údržbě. Za PHP na serveru odpovídá u běžného webhostingu většinou poskytovatel hostingu.
Podle čeho poznám, že byl můj řemeslnický web napaden?
Typickými znamení jsou přesměrování na cizí stránky, cizojazyčný obsah ve výsledcích Google, varování v prohlížeči nebo náhle chybějící poptávky. Někdy se ozve i hosting, protože server rozesílá spam. Často ale zprvu není vidět nic.
Může napadení webu zasáhnout i moje e-maily?
Pokud web a poštovní schránky leží ve stejném hostingovém balíčku, je to možné. Útočník může server použít k rozesílání spamu, kvůli čemuž vaše e-maily končí u zákazníků ve spamu. Po vyčištění změňte také hesla ke schránkám.