# IT bezpečnost pro správce domů a realitní firmy

> Portál nájemců, hlášení škod, dotazník zájemců: jak správci nemovitostí zabezpečí systémy PHP proti PHP2Shell a ochrání nájemce a vlastníky.

Zdroj: https://phpsos.de/cs/branchen/immobilien-hausverwaltung/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Pro IT bezpečnost správy domů se počítají především systémy, přes které nájemci a vlastníci odesílají data: portály, hlášení škod a formuláře zájemců o byty. Ujasněte, které z nich běží na vašem vlastním serveru, nechte si potvrdit záplatu PHP a mějte připravenou náhradní cestu pro naléhavá hlášení škod.

## Jaké systémy PHP správci domů a makléři používají

Mnoho správců pracuje s oborovým softwarem pro objekty, nájemné a vyúčtování. Navenek přistupují další systémy: portály nájemců a vlastníků s úložištěm dokumentů, online formuláře pro hlášení škod s nahráváním fotografií, nabídky bytů s formulářem zájemce a dotazníkem nájemce, oblasti pro shromáždění vlastníků s protokoly a usneseními.

Část z toho se provozuje jako služba poskytovatele softwaru, jiná běží na vlastním webu, často na WordPressu s realitními pluginy. Pro PHP2Shell je rozhodující právě tento rozdíl.

K tomu přistupují rozhraní, kterých si v běžném provozu téměř nikdo nevšimne: nabídky nemovitostí se automaticky přenášejí z oborového softwaru na web a do realitních portálů, stavy měřidel přicházejí od měřicích firem, zakázky řemeslníkům běží přes vlastní formuláře. Každé z těchto spojení potřebuje přístupové údaje, které bývají uloženy na webovém serveru. Po incidentu je nutné všechny obnovit, jinak zůstanou útočníkovi zadní vrátka do sousedních systémů.

## Jaká data nájemci a vlastníci svěřují

U správy domů leží nájemní smlouvy, bankovní spojení pro inkaso, vyúčtování služeb, stavy měřidel, korespondence k závadám a sporům i fotografie z bytů. U zájemců přibývají dotazníky s doklady o příjmech, kopiemi dokladů totožnosti a bonitními zprávami. V portálech vlastníků se najdou usnesení, rezervní fondy a částečně informace o uzamykacích systémech.

Pro útočníky jsou tato data zajímavá ze dvou důvodů: umožňují zneužití identity a poskytují vše, co je třeba pro věrohodné podvodné e-maily, například údajné nové bankovní spojení pro nájemné. Nahrané soubory jsou navíc typickou cestou útoku. Jak se nahrávání řeší bezpečně, vysvětluje poradna [Nahrávání souborů v PHP](https://phpsos.de/cs/ratgeber/datei-upload-sicher/).

## Správa domů a IT bezpečnost: co incident znamená

Když portál vypadne, chybí kanál pro naléhavá hlášení, jako jsou vodní škody nebo výpadky topení. To vytváří tlak na telefon a pohotovost, ale je to plánovatelné. Nebezpečnější je nepozorovaný útok:

- Nájemci dostávají padělané výzvy k platbě s cizím IBAN, které uvádějí skutečné údaje ze smluv.
- Dotazníky zájemců o byty se kopírují a používají k podvodům.
- Vlastníci ztrácejí důvěru ve správu, což se stane tématem na příštím shromáždění.

Pokud existují náznaky úniku dat, může být nutné hlášení dozorovému úřadu podle [72hodinového pravidla GDPR](https://phpsos.de/cs/compliance/dsgvo-meldepflicht-72-stunden/). Posouzení provedete s pověřencem pro ochranu osobních údajů.

> **Jednejte ihned:**
> Pokud nikdo nepotvrdí, že PHP na serveru vašeho portálu je záplatované a restartované, odpojte portál od sítě. Hlášení škod dočasně přesměrujte na telefon a pohotovost.

## Typická mezera v odpovědnosti

| Systém | Provoz | Kdo záplatuje PHP |
|---|---|---|
| Oborový software v kanceláři | IT správce | většinou není postižen |
| Portál jako služba poskytovatele | poskytovatel softwaru | poskytovatel, vyžádat potvrzení |
| Portál na vlastním serveru | hosting nebo dodavatel | podle smlouvy, často nevyjasněno |
| Web s nabídkami bytů | agentura a hosting | hosting u webhostingu |

K tomu přistupuje, že v menších správách nikdo nemá celkový přehled. Agentura zná web, IT správce kancelářské počítače, poskytovatel softwaru svůj portál.

## Vlastníky, výbory a nájemce správně zapojit

Ve správě společenství vlastníků jednotek (WEG) nejsou vlastníci a správní výbory jen dotčení, ale také zadavatelé. Právem očekávají, že správa o incidentu informuje otevřeně a doložitelně. Krátká zpráva s příčinou, dotčenými systémy, provedenými opatřeními a otevřeným stavem je lepší než mlčení do příštího shromáždění.

Nájemci potřebují hlavně praktické pokyny: jaká cesta hlášení právě platí, že se bankovní spojení nemění e-mailem a komu mohou podezřelé zprávy předat. Sladěné texty brání tomu, aby domovníci, referenti i účetní podávali různé informace.

## První hodiny pro jednatele

1. Sepsat všechny portály a formuláře a u každého ujasnit, kde běží.
2. Nechat písemně potvrdit stav záplat na 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. backport, a restart.
3. Zajistit logy od 20. 10. 2026, nechat zkontrolovat adresáře pro nahrávání na neznámé soubory.
4. Zkontrolovat účty zaměstnanců v portálech a po vyčištění je zabezpečit [dvoufázovým ověřením](https://phpsos.de/cs/ratgeber/zwei-faktor-admin/).
5. Nájemce preventivně upozornit, že se bankovní spojení nemění e-mailem.

## Jak konkrétně pomáhá PHP SOS?

- Zmapujeme vaše portály a formuláře a s poskytovatelem, agenturou a hostingem ujasníme odpovědnosti.
- Zkontrolujeme stav záplat a restart a prozkoumáme adresáře pro nahrávání a databáze na webshelly.
- Při napadení vyčistíme v rámci [nouzové pomoci při napadených webech](https://phpsos.de/cs/leistungen/website-gehackt-notfallhilfe/) a incident zdokumentujeme pro pověřence pro ochranu osobních údajů a pojišťovnu.
- Díky [servisní smlouvě pro bezpečnost](https://phpsos.de/cs/leistungen/security-wartungsvertrag/) zůstane PHP na vašich serverech trvale aktuální a sledované.


## Časté dotazy

**Náš portál nájemců je software od poskytovatele. Týká se nás to?**  
Pokud portál běží jako služba u poskytovatele, odpovídá za server a PHP on. Zeptejte se tam písemně na stav. Pokud stejný software běží na vašem vlastním serveru nebo u vašeho hostingu, leží záplata a restart na vás nebo na vašem dodavateli.

**Která data z dotazníku nájemce jsou obzvlášť citlivá?**  
Doklady o příjmech, kopie dokladů totožnosti, bonitní zprávy a údaje o zaměstnavateli se hodí ke zneužití identity a podvodům. Měly by být ukládány jen po dobu nezbytnou pro pronájem. Jak dlouho to je, ujasněte s pověřencem pro ochranu osobních údajů.

**Jak zabráníme padělaným výzvám k platbě nájemcům?**  
Sdělte nájemcům, že se vaše bankovní spojení nemění e-mailem ani zprávou v portálu, aniž byste to potvrdili druhou cestou. Po incidentu byste měli nájemce aktivně varovat. Technicky pomáhá hardening portálů a dvoufázové ověření pro účty zaměstnanců.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [BSI: varování a doporučení](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR čl. 33: oznámení dozorovému úřadu](https://dsgvo-gesetz.de/art-33-dsgvo/)