Stručně: Kybernetická bezpečnost ve středních firmách u PHP2Shell málokdy selhává na záplatování, ale na přehledu. Vedle webu běží portály pro obchodníky, konfigurátory, stránky s kariérou a interní wiki u různých dodavatelů. Teprve úplný seznam udělá riziko zvládnutelným a doložitelným vůči zákazníkům i dohledu.
Typické systémy PHP ve středních podnicích
Ve výrobních firmách se v průběhu let nahromadí mnoho webových aplikací: B2B e-shopy pro náhradní díly, portály pro obchodníky a partnery s ceníky, produktové konfigurátory, oblasti ke stažení pro technickou dokumentaci a data CAD, reklamační a servisní portály, stránky s kariérou se správou uchazečů. Interně přibývají wiki, například MediaWiki, nástroje pro tikety a webová analytika.
Velká část z toho běží na PHP. Systémy často objednala odborná oddělení, postavily agentury a provozují je hostingové firmy, které centrální IT nezná. Právě tady leží u zranitelnosti typu PHP2Shell skutečný problém.
Jaká data a spojení mohou být zasažena
V portálech leží zákaznické podmínky, kontaktní osoby u obchodníků, data nabídek a zakázek i výkresy, které podléhají dohodám o mlčenlivosti. Portály pro uchazeče obsahují životopisy a vysvědčení. Pro konkurenty a vyděrače jsou konstrukční data a cenové struktury často cennější než osobní údaje.
Kritická jsou spojení: mnoho portálů vyměňuje data s ERP, skladovým systémem nebo PIM. Kdo na takovém webovém serveru spouští kód, najde tam přístupové údaje k rozhraním, databázím nebo VPN. Napadený portál se tak může stát vstupem do firemní sítě.
Střední firmy a kybernetická bezpečnost: dodavatelský řetězec a NIS2
S NIS2 platí pro mnoho firem rozšířené povinnosti v řízení rizik a hlášení závažných bezpečnostních incidentů. Zda se vaše firma týká přímo, závisí na odvětví a velikosti. Nepřímo se týká mnohem více firem, protože zákazníci předávají bezpečnostní požadavky smlouvami svým dodavatelům.
Pro vedení firmy přistupuje otázka vlastní odpovědnosti. Co k tomu obecně platí, vysvětluje stránka o odpovědnosti vedení. Posouzení v konkrétním případě patří vašemu právnímu poradenství.
Palo Alto Networks (Unit 42) napočítalo více než 22,6 milionu exponovaných, potenciálně zranitelných instancí. Zapomenutý testovací systém agentury je pro automatizované skeny stejně viditelný jako váš hlavní web.
Typická mezera v odpovědnosti ve středních firmách
| Oblast | Kdo často rozhoduje | Co přitom chybí |
|---|---|---|
| Firemní web | marketing s agenturou | doklad o záplatě PHP |
| Portál pro obchodníky, B2B e-shop | obchod s dodavatelem | zapojení do konceptu IT bezpečnosti |
| Stránka s kariérou | personální oddělení s poskytovatelem | jasno o hostingu a datech |
| Interní nástroje | jednotlivá oddělení | inventář a odpovědné osoby |
Centrální IT odpovídá za síť, pracovní stanice a ERP, ale často nemá přístup k externě hostovaným systémům. Tento vzorec se při každé kritické zranitelnosti stává úzkým místem. Pomáhá jednoduché pravidlo: každá webová aplikace, která zpracovává firemní data, se před spuštěním nahlásí IT s provozovatelem a kontaktní osobou.
Webový server a výrobní síť čistě oddělit
V průmyslu přibývají webové aplikace, které komunikují se stroji a zařízeními: servisní portály a portály pro vzdálenou správu, dashboardy s daty ze strojů, portály pro zákazníky, kteří si zjišťují stav dodaných zařízení. Některé z nich jsou postaveny na PHP a stojí v síťovém segmentu, který má víc spojení, než by pro daný úkol bylo nutné.
Napadený webový server nesmí být odrazovým můstkem do výroby. Zkontrolujte, jaká spojení vedou ze síťových segmentů webových serverů do kancelářských a výrobních sítí, a omezte je na nezbytné. Uložené přístupové údaje na webových serverech by měly mít jen taková oprávnění, která aplikace skutečně potřebuje. U přístupů pro vzdálenou správu to platí zvlášť.
První hodiny pro vedení IT a jednatele
- Založit inventář všech externě dostupných systémů PHP: doména, provozovatel, verze PHP, provozní režim, kontaktní osoba.
- Nejdřív řešit systémy s mod_php a ty na PHP 8.1 nebo starším. U mod_php hodnotí tým PHP riziko nejvýše.
- U každého systému nechat písemně potvrdit záplatu na 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. backport, a restart. Co nelze potvrdit, dočasně odpojit od sítě.
- Zajistit logy od 20. 10. 2026 a zkontrolovat spojení webových serverů do vnitřní sítě.
- Stav stručně zdokumentovat, abyste mohli doložitelně odpovědět zákazníkům, pojišťovně a případně úřadům.
Jak konkrétně pomáhá PHP SOS?
- Společně s IT a odbornými odděleními vytvoříme inventář systémů PHP a seřadíme je podle rizika.
- Koordinujeme záplaty a restarty s agenturami a hostingovými firmami a doklady shromažďujeme na jednom místě.
- Při podezření převezmeme strukturovanou reakci na incidenty se zajištěním stop a kontrolou spojení do firemní sítě.
- Poté nabídneme bezpečnostní audit nebo penetrační test od specializovaných partnerů, jehož výsledek můžete předložit zákazníkům.
- Na přání systémy průběžně sledujeme, aby inventář zůstal aktuální.
Časté dotazy
Vztahuje se na naši firmu NIS2?
Záleží na odvětví, velikosti firmy a obratu a je třeba to posoudit v konkrétním případě. I ten, na koho se NIS2 přímo nevztahuje, často pocítí požadavky přes zákazníky v dodavatelském řetězci. Závazné zařazení ujasníte se svým právním poradenstvím.
Může napadený webový server vést do firemní sítě?
Je to možné, pokud má webový server spojení do vnitřní sítě, například rozhraní na ERP, společné přístupové údaje nebo tunel VPN. Zda tomu tak je u vás, ukáže kontrola síťových spojení a uložených přístupových údajů.
Jak najdeme všechny aplikace PHP ve firmě?
Východiskem jsou záznamy DNS, certifikáty, faktury za hosting a smlouvy s agenturami. Doplňují je dotazování v marketingu, obchodu, servisu a personálním oddělení. Většinou se přitom objeví systémy, o kterých IT oddělení vůbec nevědělo.
Co od nás jako dodavatele zákazníci po PHP2Shell očekávají?
Někteří zákazníci se aktivně ptají, zda byli jejich dodavatelé postiženi a jak reagovali. Pomůže stručné, doložitelné shrnutí: které systémy, jaký stav záplat, kdy restart, jaké kontroly na napadení. Slibovat víc, než je doloženo, škodí.