Slovník: PHP a IT bezpečnost

125 odborných pojmů jasnými slovy, každý s odkazem na příslušnou odbornou stránku.

#A B C D E F G H I J K L M N O P R S T U V W X Z Č Ř

#

2FA: 2FA (dvoufázové ověření) vyžaduje při přihlášení kromě hesla druhý doklad, například kód z aplikace nebo bezpečnostní klíč. Samotné ukradené heslo pak nestačí. Pro všechny administrátorské přístupy do CMS, hostingového panelu a serverů by mělo být 2FA standardem. Jak zavést dvoufázové ověření pro přístupy správců →

A

Apache: Apache HTTP Server je jeden z nejstarších a nejrozšířenějších webových serverů. PHP v něm běží buď jako modul (mod_php), nebo přes PHP-FPM pomocí FastCGI. Pomocí souborů .htaccess lze konfiguraci upravovat po jednotlivých adresářích. Zabezpečení Apache s mod_php →

B

Backdoor (zadní vrátka): Backdoor (zadní vrátka) je skrytý přístup, kterým se mohou útočníci po průniku vracet. Může jít o soubor, administrátorský účet, cron úlohu nebo klíč SSH. K každému vyčištění proto patří hledání všech druhů přístupů, nejen souborů. Jak najít zadní vrátka ve WordPressu: systematické hledání →
Backport: Backport přenáší bezpečnostní opravu do starší verze programu, aniž by se přecházelo na novou verzi. Distribuce Linuxu a hostingové firmy to dělají často; zobrazené číslo verze pak zůstává stejné. Zda je backport nasazen, dokládá changelog balíčku a potvrzení poskytovatele, ne číslo verze. Upgrade PHP, nebo backport? Rozhodnutí pro starší systémy →
Bezpečnostní hlavičky: Bezpečnostní hlavičky jsou hlavičky odpovědi HTTP, které prohlížeči předepisují ochranná pravidla, například Content-Security-Policy, Strict-Transport-Security nebo X-Content-Type-Options. Chrání návštěvníky před určitými útoky v prohlížeči. Proti zranitelnostem na serveru, jako je PHP2Shell, nepomáhají. Bezpečnostní hlavičky pro weby: jak je správně nastavit →
Brute force: Při útoku brute force útočník automatizovaně zkouší mnoho hesel pro jeden účet. Cílem bývají administrátorská přihlášení do CMS, SSH nebo FTP. Ochranu poskytují silná hesla, dvoufázové ověření a automatická blokování, například Fail2ban. Ochrana přihlášení správců před brute force: ochrana každého loginu →
BSI: BSI (německý Spolkový úřad pro informační bezpečnost, Bundesamt für Sicherheit in der Informationstechnik) je německý spolkový úřad pro kybernetickou bezpečnost. Zveřejňuje varování, doporučení a standardy, například IT-Grundschutz. K PHP2Shell vyhlásilo BSI výstražný stupeň 3 (oranžový) a doporučilo okamžitou aktualizaci. Co BSI k PHP2Shell doporučuje →

C

CDN: CDN (content delivery network) doručuje obsah přes mnoho distribuovaných serverů a stojí tak před vlastním webem. Mnoho CDN nabízí navíc pravidla WAF, například Cloudflare proti PHP2Shell. Ochrana působí jen pro provoz přes CDN a nenahrazuje aktualizaci PHP. Ochranná pravidla Cloudflare proti PHP2Shell: co dokážou a co ne →
CERT-Bund: CERT-Bund je Computer Emergency Response Team německé spolkové správy při BSI. Zveřejňuje varovné a informační služby k zranitelnostem a upozorňuje provozovatele sítí na zranitelné systémy. K PHP2Shell CERT-Bund také vydal varování. Co CERT-EU a CERT-Bund k PHP2Shell radí →
CERT-EU: CERT-EU je tým pro kybernetickou bezpečnost orgánů, institucí a agentur Evropské unie. Podle zpráv CERT-EU považuje za možné, že PHP2Shell postihuje verze od PHP 5. Doporučuje izolovat veřejně dostupné aplikace, pokud je nelze včas záplatovat. Co CERT-EU a CERT-Bund k PHP2Shell radí →
CGI: CGI (Common Gateway Interface) je staré rozhraní, při kterém webový server pro každý požadavek spustí externí program a vrátí jeho výstup. Je jednoduché, ale pomalé a pro PHP ho z velké části nahradilo FastCGI. Staré instalace s CGI se ještě najdou u některých hostingů a systémů Windows. CGI a FastCGI: základy →
cgroups: cgroups (control groups) jsou funkce jádra Linuxu, kterou lze omezit paměť, CPU a další zdroje pro skupiny procesů. Využívají je kontejnery a systemd, například pomocí MemoryMax. php.net doporučuje jako přechodné opatření proti PHP2Shell limit paměti přes kontejner nebo cgroup místo RLIMIT_AS či RLIMIT_DATA. Nastavení limitů paměti pomocí systemd a cgroups →
Changelog: Changelog uvádí změny verze programu nebo balíčku, u bezpečnostních oprav většinou s číslem CVE. V Debianu a Ubuntu zobrazí changelog balíčku příkaz apt-get changelog, v rodině RHEL rpm -q --changelog. Tak lze backport doložit i při stejném čísle verze. Doložení čísel CVE v changelogu balíčku →
CLI: CLI (Command Line Interface) je PHP na příkazové řádce, například pro cron úlohy, konzolové příkazy CMS a Composer. CLI PHP může být jiná verze než PHP, které obsluhuje weby. Příkaz php -v proto ukazuje jen verzi z příkazové řádky; záplatované musí být obě cesty. PHP v příkazové řádce (CLI) →
CloudLinux: CloudLinux je distribuce Linuxu pro sdílený hosting, která zákazníky odděluje do omezených prostředí. Pomocí alt-php poskytuje mnoho verzí PHP vedle sebe, i starších. Každá z těchto verzí musí být záplatovaná zvlášť. CloudLinux a alt-php: co by měli vědět zákazníci hostingu →
Command injection: U command injection se vstupy bez kontroly dostanou do systémového příkazu, který aplikace spouští. Útočník tak může s oprávněními webového serveru spouštět vlastní příkazy. Ochranu poskytuje, kde je to možné, vyhnutí se voláním shellu a důsledné ošetření pomocí escapeshellarg(). Prevence command injection v PHP →
Composer: Composer je správce balíčků pro PHP. Instaluje knihovny podle údajů v composer.json a přesné verze uchovává v composer.lock. Příkazem composer audit lze nainstalované balíčky zkontrolovat na známé bezpečnostní zranitelnosti; zranitelnosti v samotném PHP tento příkaz nenajde. Composer: správce balíčků pro PHP →
cPanel: cPanel je správcovský panel pro webhosting, s WHM jako rozhraním pro správce serveru. Verze PHP se tam většinou poskytují přes vlastní balíčky (EasyApache). Které buildy jsou záplatované, potvrdí stav balíčku a poskytovatel hostingu. cPanel a WHM: zabezpečení PHP →
Credential stuffing: U credential stuffing útočníci zkouší přihlašovací údaje z dřívějších úniků dat u jiných služeb. Funguje to proto, že mnoho lidí používá hesla opakovaně. Ochranu poskytují jedinečná hesla pro každou službu a dvoufázové ověření. Jak zavést dvoufázové ověření pro přístupy správců →
CSP: CSP (Content Security Policy) je hlavička, která určuje, z jakých zdrojů smí stránka načítat skripty, obrázky a další obsah. Ztěžuje XSS a vkládání cizích skriptů, například při skimmingu. Přísnou CSP je nutné pečlivě otestovat, aby web dál fungoval. Bezpečnostní hlavičky pro weby: jak je správně nastavit →
CSRF: CSRF (cross-site request forgery) přiměje prohlížeč přihlášeného uživatele, aby nechtěně provedl akci na jiném webu. Typické jsou změny v administrátorských rozhraních. Ochranu poskytují náhodné tokeny ve formulářích a cookies s atributem SameSite. Ochrana proti CSRF v aplikacích PHP →
CVE: CVE (Common Vulnerabilities and Exposures) je celosvětově používaný seznam, který každé známé bezpečnostní zranitelnosti přidělí jedinečné číslo, například CVE-2026-109618. Číslo umožňuje porovnávat zprávy výrobců, úřadů a distribucí. Podle čísla CVE lze také v changelogu balíčku ověřit, zda je oprava nasazena. Doložení čísel CVE v changelogu balíčku →
CVSS: CVSS (Common Vulnerability Scoring System) hodnotí závažnost zranitelnosti na stupnici od 0 do 10. Hodnocení zohledňuje například to, zda je útok možný přes síť a bez přihlášení. Zranitelnosti PHP2Shell mají každá CVSS v4.0 9.2; o konkrétním riziku ve vašem prostředí samotná hodnota nic neříká.
Cyklus vydávání: Každá verze PHP nejprve dostává opravy chyb a poté ještě určitou dobu jen bezpečnostní opravy. Kdy která verze končí, zveřejňuje projekt PHP na php.net v přehledu podporovaných verzí. PHP 8.2 podle php.net dosáhne konce podpory 31. 12. 2026. Verze PHP a cyklus vydávání →

D

DDoS: Útok DDoS (distributed denial of service) zahltí službu požadavky z mnoha zdrojů, dokud přestane být dostupná. Data se přitom zpravidla nekradou. DDoS je třeba odlišit od exploitu, který cíleně zneužívá zranitelnost. DDoS, nebo hackerský útok? Jak útoky správně zařadit →
Defacement: U defacementu útočníci viditelně změní úvodní stránku nebo obsah webu, například zprávami nebo obrázky. Je nápadný, ale často je jen viditelným znamením hlubšího průniku. Web by měl být do vyjasnění považován za napadený. Web napaden, co dělat? Nouzová pomoc na dálku →
Deserializace: Deserializace převádí uložená data zpět na objekty, v PHP například pomocí unserialize(). Pokud data pocházejí od uživatelů, mohou útočníci objekty sestavit tak, aby se při načtení spustil nechtěný kód. Pro uživatelská data je bezpečnější volbou JSON. Nezabezpečená deserializace v PHP: unserialize a bezpečnost →
Digest image: Digest image je hash (sha256), který jednoznačně určuje obsah image kontejneru. Na rozdíl od tagu, jako je php:8.3-fpm, který lze přesunout na nové buildy, se digest nikdy nemění. Kdo image pevně určuje digestem, musí ho po bezpečnostní aktualizaci vědomě aktualizovat. Oficiální image PHP pro Docker: tagy, digesty a nové sestavení →
disable_functions: disable_functions je nastavení v php.ini, kterým se vypínají jednotlivé funkce PHP, typicky ty pro spouštění systémových příkazů. Lze ho nastavit jen v php.ini, ne v kódu aplikace. Útočníkům život ztěžuje, ale nenahrazuje aktualizace ani správná oprávnění. Jak správně nasadit PHP disable_functions →
display_errors: display_errors určuje, zda PHP zobrazuje chybová hlášení přímo v prohlížeči. V produkci patří hodnota na Off, chyby se místo toho zapisují pomocí log_errors do protokolu. Viditelná hlášení by jinak prozradila cesty, verze a části kódu. display_errors off: vypnutí chybových výstupů v produkci →

E

EDR: EDR (endpoint detection and response) je software na serverech a pracovních stanicích, který sleduje procesy, přístupy k souborům a síťová spojení a hlásí nebo zastavuje podezřelé chování. Na webových serverech může například rozpoznat, že PHP-FPM spustilo shell. Protože pro PHP2Shell neexistují potvrzené IOC, je taková analýza chování obzvlášť důležitá. Varovný signál: webový server spouští shell →
Embargo: Embargo je dohodnutá lhůta, po kterou zůstanou podrobnosti o zranitelnosti důvěrné, dokud nejsou připraveny záplaty. Výrobci a distribuce tak mohou aktualizace připravit. U PHP2Shell se podle několika zpráv podrobnosti staly veřejnými před koncem embarga; php.net proto oznámil záplaty již 20. 10. 2026. Proč se zranitelnost PHP stala známou před záplatou →
End of Life: End of Life (EOL) znamená, že verze softwaru už od výrobce nedostává žádné aktualizace, ani bezpečnostní opravy. PHP 8.1 a starší už od projektu PHP nedostávají oficiální aktualizace; pro 7.4, 8.0 a 8.1 existují jen minimální zdrojové backporty. Systémy se softwarem EOL potřebují plán upgradu. Konec podpory PHP: rizika zastaralých verzí →
Exploit: Exploit je kód nebo postup, který konkrétní zranitelnost skutečně zneužije. Jakmile záplata vyjde, mohou ji útočníci analyzovat a odvodit exploity. Proto se po zveřejnění záplaty doba do útoků často výrazně zkracuje. Časové okno mezi záplatou a útokem →
expose_php: expose_php řídí, zda PHP prozradí svou verzi v hlavičce HTTP X-Powered-By. V produkci by mělo být nastaveno na Off, aby útočníci na první pohled neviděli, jaká verze PHP běží. Jde o ochranu informací, ne o náhradu aktualizace. expose_php a hlavičky Server: skrytí údajů o verzi →
Extension (rozšíření): Extension (rozšíření) doplňuje PHP o funkce, například pro databáze, obrázky nebo šifrování. Rozšíření běží ve stejném procesu jako PHP a mají stejná oprávnění. Vypnutí nepotřebných rozšíření zmenšuje plochu pro útok. Rozšíření PHP (extensions) srozumitelně →

F

Fail2ban: Fail2ban čte logovací soubory a po opakovaných neúspěšných pokusech dočasně zablokuje IP adresy ve firewallu. Typickými oblastmi nasazení jsou SSH, pošta a administrátorská přihlášení webů. Proti distribuovaným útokům z mnoha adres pomáhá jen omezeně. Nastavení Fail2ban pro webové servery →
FastCGI: FastCGI je protokol, kterým webový server předává požadavky trvale běžícím aplikačním procesům, například PHP-FPM. Na rozdíl od klasického CGI se pro každý požadavek nespouští nový proces. Protože procesy zpracovávají více požadavků po sobě, je po aktualizacích důležitý čistý restart. CGI a FastCGI: základy →
Forenzní analýza: IT forenzní analýza po incidentu metodicky zkoumá, co se stalo: jak se útočník dostal dovnitř, co udělal a jaká data jsou dotčena. Základem jsou zajištěné kopie datových nosičů, operační paměti a logů. Výsledky jsou důležité pro oznamovací povinnosti, pojištění a trestní oznámení. IT forenzní analýza po útoku na webový server →
FPM pool: Pool je skupina procesů PHP-FPM s vlastní konfigurací, vlastním socketem a ideálně vlastním systémovým uživatelem. Samostatný pool pro každý web od sebe weby odděluje, takže průnik do jednoho webu se nedostane přímo k souborům ostatních. V poolu lze nastavení pevně zadat pomocí php_admin_value. Izolace poolů PHP-FPM pro každý web →
FrankenPHP: FrankenPHP je moderní aplikační server pro PHP založený na webovém serveru Caddy. PHP je tam zabudováno přímo, v režimu worker zůstává aplikace mezi požadavky v paměti. FrankenPHP patří podle týmu PHP mezi postižené provozní režimy; po aktualizaci je nutné server restartovat s novým PHP. Zabezpečení FrankenPHP →

G

GDPR čl. 33: Čl. 33 GDPR ukládá správcům povinnost nahlásit porušení zabezpečení osobních údajů příslušnému dozorovému úřadu pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděli. Povinnost odpadá jen tehdy, když pravděpodobně nehrozí riziko pro dotčené osoby. V jednotlivém případě poradí pověřenci pro ochranu osobních údajů nebo právníci. Oznamovací povinnost podle GDPR: 72 hodin po incidentu →
GDPR čl. 34: Čl. 34 GDPR upravuje oznámení samotným dotčeným osobám. Je nutné, pokud porušení zabezpečení údajů pravděpodobně znamená vysoké riziko pro jejich práva a svobody. Zda to platí, by se mělo posoudit s pověřencem pro ochranu osobních údajů nebo s právníky. Oznamovací povinnost podle GDPR: 72 hodin po incidentu →
GHSA: GHSA je označení GitHub Security Advisory, tedy bezpečnostního oznámení v databázi GitHubu. Mnoho open-source projektů, včetně PHP, zveřejňuje svá oznámení tam navíc k číslu CVE. Pro PHP2Shell jde o GHSA-w8hw-w9fx-j79w a GHSA-6wmf-4rv5-p3rp.

H

Hardening: Hardening znamená nastavit systém tak, aby nabízel co nejmenší plochu pro útok: jen nutné služby, úzká oprávnění, bezpečná výchozí nastavení. U serverů s PHP k tomu patří například oddělené pooly, zablokované funkce a žádné spouštění PHP ve složkách s nahranými soubory. Hardening omezuje škody, ale nenahrazuje aktualizace. Hardening serveru pro webové servery s PHP →
HSTS: HSTS (HTTP Strict Transport Security) je hlavička, kterou web sděluje prohlížeči, že se má po určitou dobu otevírat už jen přes HTTPS. Brání to snížení spojení na nešifrované HTTP. Před zapnutím by mělo HTTPS spolehlivě fungovat na všech dotčených doménách. Bezpečnostní hlavičky pro weby: jak je správně nastavit →
.htaccess: Soubory .htaccess jsou konfigurační soubory po jednotlivých adresářích pro Apache a kompatibilní servery, jako je LiteSpeed. CMS je používají pro přesměrování a ochranu přístupu, útočníci pro skrytá přesměrování. Nginx .htaccess nevyhodnocuje; ochranná pravidla tam musí být v konfiguraci serveru. Bezpečné nastavení Apache pro PHP →

I

ini_set(): ini_set() je funkce PHP, kterou skript mění nastavení za běhu. Co smí skript změnit, závisí na režimu změny daného nastavení. Protože ini_set() může zavolat i škodlivý kód, patří ochranná nastavení do konfigurace serveru nebo poolu, ne do kódu aplikace. php.ini vysvětlen: struktura, úrovně a priorita →
IOC: IOC (indicator of compromise) jsou konkrétní stopy útoku, například názvy souborů, hashe, IP adresy nebo domény. Pomocí nich lze systémy cíleně zkontrolovat na známý útok. Pro PHP2Shell nebyla zveřejněna žádná potvrzená IOC; detekce se opírá o analýzu chování. Jsem už napaden? Známky po PHP2Shell →
ISO 27001: ISO/IEC 27001 je mezinárodní norma pro systémy řízení bezpečnosti informací (ISMS). Vyžaduje uspořádaný přístup k rizikům, opatřením a zlepšování, včetně řízení zranitelností a incidentů. Firmy se podle ní mohou nechat certifikovat. ISO 27001 a TISAX: čeho se týkají webové servery →
IT-Grundschutz: IT-Grundschutz německého BSI je metodika s moduly a požadavky pro informační bezpečnost ve firmách a úřadech. Existují vlastní moduly například pro webové servery a webové aplikace. Lze ho použít jako základ pro ISMS nebo certifikaci. Benchmarky CIS a moduly BSI pro webservery →

J

JIT: JIT (just-in-time compiler) překládá často spouštěný kód PHP za běhu do strojového kódu. Přišel s PHP 8.0 a je součástí OPcache. U typických webů je zvýšení výkonu zpravidla malé, u výpočetně náročných úloh větší. JIT a výkon v PHP 8 →

K

Kontejner: Kontejner je izolované běhové prostředí, které spouští aplikaci se všemi závislostmi z image, například pomocí Dockeru. PHP v kontejneru pochází z image, ne z hostitelského systému. Aktualizace na hostiteli ho proto nezáplatuje; image je nutné znovu sestavit a kontejner restartovat. Provoz PHP v kontejnerech →
Kontrola integrity: Při kontrole integrity se soubory porovnávají se známým původním stavem, většinou pomocí kontrolních součtů. Mnoho CMS pro to nabízí vlastní příkazy, například WordPress, Nextcloud nebo Matomo. Upravené soubory, nahrané soubory a obsah databáze takové porovnání nepokryje. Porovnání jádrových souborů CMS s originálem →
Kryptominer: Kryptominer je škodlivý software, který na cizích serverech počítá kryptoměnu. Typickými příznaky jsou trvale vysoké vytížení CPU a neznámé procesy. Miner ukazuje, že útočník může spouštět kód; server by pak měl být považován za napadený. Kryptominer na webovém serveru: příznaky a postup →
Kyberpojištění: Kyberpojištění podle smlouvy hradí náklady po útoku, například na forenzní analýzu, obnovu nebo přerušení provozu. Mnoho smluv obsahuje povinnosti, jako jsou včasné aktualizace a okamžité nahlášení škody. Co platí v konkrétním případě, ujasněte se svou pojišťovnou. Kyberpojištění: na čem záleží při škodní události →

L

Lessons learned: Lessons learned je následné vyhodnocení incidentu: Co se stalo, co fungovalo dobře, co se musí změnit? Cílem jsou konkrétní opatření s odpovědnými osobami a termíny, ne hledání viníků. Výsledky se promítnou do nouzového plánu, procesu záplatování a školení. Lessons learned: po incidentu být lepší →
LFI: LFI (local file inclusion) nastává, když aplikace vloží lokální soubor, jehož cestu může útočník ovlivnit. Tak lze číst konfigurační soubory nebo za určitých okolností spustit vložený kód. Ochranu poskytují pevné seznamy povolených hodnot místo názvů souborů z uživatelských vstupů. Jak zabránit Local File Inclusion v PHP: LFI a RFI →
LiteSpeed: LiteSpeed je webový server, který je z velké části kompatibilní s konfiguracemi Apache, například .htaccess, a PHP připojuje přes vlastní rozhraní LSAPI. Je rozšířený u hostingových firem; OpenLiteSpeed je volná varianta. LiteSpeed patří podle týmu PHP mezi provozní režimy postižené PHP2Shell. LiteSpeed a LSAPI: aktualizace PHP →

M

memory_limit: memory_limit omezuje, kolik operační paměti smí využít jeden skript PHP; výchozí hodnota je 128 MB. Když je limit dosažen, PHP skončí chybou nedostatku paměti. Proti CVE-2026-109618 php.net přechodně radí memory_limit=-1, pevně nastavené, a limit paměti přes kontejner nebo cgroup. Správné nastavení memory_limit →
mod_php: mod_php je modul PHP pro webový server Apache. PHP přitom běží přímo v procesu Apache a většinou s jeho oprávněními. Tým PHP hodnotí riziko PHP2Shell u mod_php jako nejvyšší; tam byl předveden exploit ještě předtím, než se vůbec spustí kód aplikace. mod_php vysvětleno: PHP v procesu Apache →
ModSecurity: ModSecurity je rozšířená open-source WAF, která běží jako modul v Apache, Nginx nebo jiných webových serverech. Vyhodnocuje požadavky podle pravidel a může je protokolovat nebo blokovat. Většinou se používá spolu s OWASP Core Rule Set. Nasazení ModSecurity a OWASP Core Rule Set →
Monitoring: Monitoring je průběžné sledování systémů, například dostupnosti, zátěže, logovacích souborů a změn souborů. Bezpečnostní monitoring cíleně hledá nápadnosti, jako jsou nové soubory PHP nebo shelly spouštěné webovým serverem. Pomáhá jen tehdy, když někdo hlášení také včas vyhodnotí. Bezpečnostní monitoring webových serverů →

N

Nginx: Nginx je rozšířený webový server a reverzní proxy. PHP sám nespouští, ale požadavky předává přes FastCGI do PHP-FPM. Důležitá je konfigurace, která předává PHP jen skutečné soubory PHP a vynechává složky s nahranými soubory. Zabezpečení Nginx s PHP-FPM →
NIS2: NIS2 je směrnice EU, která pro mnoho firem a institucí stanoví povinnosti v oblasti řízení rizik a hlášení bezpečnostních incidentů. Týká se výrazně více odvětví a velikostí firem než předchozí úprava. Zda se vaše firma na ni vztahuje, ujasněte podle národního provedení a s právním poradenstvím. NIS2 a bezpečnost webových serverů →
Nouzový plán: IT nouzový plán stanoví, kdo co při incidentu dělá: kontakty, rozhodovací cesty, první kroky, obnovení provozu. Musí být k dispozici i offline pro případ výpadku systémů. Pravidelná cvičení ukazují, zda v krizové situaci funguje. Vytvoření IT nouzového plánu pro webové servery →

O

OPcache: OPcache je bytecode cache, která je součástí PHP. Ukládá již přeložený kód do sdílené paměti, aby se soubory PHP nemusely při každém požadavku překládat znovu. Po aktualizaci nebo vyčištění je nutné cache vyprázdnit, resp. PHP restartovat, jinak může dál běžet starý kód. OPcache vysvětlena: bytecode cache v PHP →
open_basedir: open_basedir omezuje, ke kterým adresářům mohou skripty PHP přistupovat pomocí souborových funkcí. Na serverech s více weby tím brání tomu, aby jeden web jednoduše četl soubory jiného. Nejde o úplnou izolaci; patří k ní samostatní systémoví uživatelé a pooly FPM. open_basedir a izolace jednotlivých webů →
Origin server: Origin server je vlastní webový server za CDN nebo reverzní proxy. Pokud je dostupný i přímo přes svou IP adresu, mohou útočníci předřazenou ochranu obejít. Origin by proto měl přijímat jen spojení od CDN nebo proxy. Ochranná pravidla Cloudflare proti PHP2Shell: co dokážou a co ne →
Out of Memory: Out of Memory označuje stav, kdy program nezíská další paměť a musí skončit. V PHP k tomu dojde při překročení memory_limit. U CVE-2026-109618 může takové ukončení přerušit PHP ve chvíli, kdy jsou data požadavku inicializována jen částečně. memory_limit a Out-of-Memory: co se děje uvnitř →
OWASP CRS: OWASP Core Rule Set (CRS) je volně dostupná sada pravidel pro ModSecurity a kompatibilní WAF. Rozpoznává typické třídy útoků, například SQL injection nebo command injection. Pravidla je nutné přizpůsobit aplikaci, jinak blokují i legitimní požadavky. Nasazení ModSecurity a OWASP Core Rule Set →
OWASP Top 10: OWASP Top 10 je pravidelně aktualizovaný seznam nejdůležitějších rizik pro webové aplikace, který vydává nezisková nadace OWASP Foundation. Slouží jako základ pro vývoj, kontroly a školení. Jako doplněk nabízí OWASP Cheat Sheets s konkrétními protiopatřeními.

P

PECL: PECL (PHP Extension Community Library) je adresář rozšíření PHP, která jsou napsána v C a nepatří do standardní výbavy. Taková rozšíření musí odpovídat nainstalované verzi PHP. Po změně hlavní verze PHP je často nutné je znovu sestavit nebo nahradit. Rozšíření PHP (extensions) srozumitelně →
PHP: PHP je skriptovací jazyk, který běží hlavně na webových serverech a vytváří tam webové stránky. Mnoho rozšířených redakčních systémů a e-shopů, například WordPress, TYPO3 nebo Shopware, je napsáno v PHP. Zranitelnost v interpretu PHP se proto týká všech aplikací, které na něm běží, bez ohledu na jejich vlastní stav aktualizací. Co je PHP? Programovací jazyk vysvětlen →
php-cgi: php-cgi je program PHP pro provoz přes CGI nebo FastCGI. Podle týmu PHP patří mezi provozní režimy postižené PHP2Shell. Kde se php-cgi ještě používá, vyplatí se ověřit, zda je možný přechod na PHP-FPM. php-cgi: zastaralý režim s rizikem →
PHP-FPM: PHP-FPM (FastCGI Process Manager) je samostatná služba, která spravuje procesy PHP v poolech a přijímá požadavky od webového serveru přes FastCGI. Dnes je to obvyklý provozní režim s Nginx a na mnoha serverech s Apache. Po aktualizaci PHP je nutné PHP-FPM restartovat, aby neběžely staré procesy. PHP-FPM vysvětleno: správce procesů, pooly a workery →
php.ini: Soubor php.ini je centrální konfigurační soubor PHP. Určuje limity, bezpečnostní nastavení a nastavení chyb, například memory_limit nebo display_errors. Často existuje pro každé SAPI (FPM, CLI, Apache) vlastní php.ini, kterou je nutné spravovat zvlášť. php.ini vysvětlen: struktura, úrovně a priorita →
PHP2Shell: PHP2Shell je název dvou kritických zranitelností přímo v PHP, CVE-2026-109618 a CVE-2026-109619, každé s CVSS v4.0 9.2. Umožňují spuštění škodlivého kódu na dálku bez přihlášení. Opraveny jsou v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35, vydaných 21. 10. 2026. Co je PHP2Shell? Zranitelnost srozumitelně →
php_admin_value: php_admin_value nastaví hodnotu PHP v poolu FPM nebo v konfiguraci Apache tak, aby ji aplikace nemohly přepsat pomocí ini_set() ani .htaccess. Pro přepínače existuje php_admin_flag. php.net tuto cestu doporučuje pro přechodná opatření proti PHP2Shell, například pro memory_limit. php_admin_value: uzamknutí nastavení proti přepsání →
Plesk: Plesk je rozšířený správcovský panel pro webové servery, ve kterém lze nastavit domény, verze PHP a handlery pro každý web. Dodává vlastní balíčky PHP, ale může používat i balíčky PHP z distribuce. U backportů může Plesk dál zobrazovat starší číslo, například 8.2.34, přestože je záplatováno. Server Plesk: kontrola verzí PHP a záplatování →
post_max_size: post_max_size určuje, jak velký smí být obsah požadavku POST celkem; výchozí hodnota je 8 MB. Jako přechodné opatření proti PHP2Shell uvádí php.net 8M pro weby bez nahrávání souborů a 32M s nahráváním. upload_max_filesize musí být nižší. Rozumné omezení post_max_size a upload_max_filesize →
Princip nejmenších oprávnění: Princip nejmenších oprávnění (least privilege) znamená, že každý uživatel a každý proces dostane jen ta oprávnění, která skutečně potřebuje. Pokud PHP běží s úzkými oprávněními, může útočník po průniku napáchat méně škody. To se týká systémových uživatelů, oprávnění k souborům, databázových účtů i administrátorských přístupů. Least Privilege: oprávnění uživatele webserveru →
Proof of Concept: Proof of Concept (PoC) je důkaz, že zranitelnost lze zneužít, často ve formě jednoduchého demonstračního kódu. Slouží výrobcům a výzkumníkům k hodnocení, ale útočníkům může posloužit jako předloha. Zveřejněný PoC proto zpravidla zvyšuje naléhavost záplatování.

R

Ransomware: Ransomware šifruje data a požaduje výkupné za dešifrování, často spojené s hrozbou zveřejnění ukradených dat. Napadený webový server může být vstupním bodem. Nejúčinnější ochranou jsou oddělené, otestované zálohy a nouzový plán. Strategie zálohování serveru: zálohy podle pravidla 3-2-1 →
RCE: RCE (Remote Code Execution) znamená, že útočník může na cizím systému na dálku spustit vlastní kód. Pokud k tomu není potřeba přihlášení, mluvíme o unauthenticated RCE, nejzávažnější třídě zranitelností webových serverů. S RCE může útočník číst data, vytvářet zadní vrátka a dál zneužívat server. Co je PHP2Shell? Zranitelnost srozumitelně →
Reakce na incidenty (incident response): Reakce na incidenty (incident response) je uspořádané zpracování bezpečnostního incidentu: rozpoznat, omezit, zajistit stopy, vyčistit, obnovit a vyhodnotit. Pevně stanovený postup brání tomu, aby se v zápalu práce zničily důkazy nebo přehlédla zadní vrátka. Důležité jsou jasné odpovědnosti a nepřerušená dokumentace. Reakce na incidenty (incident response) při útocích na server →
Reverzní proxy: Reverzní proxy přijímá požadavky z internetu a předává je jednomu nebo více serverům za ní. Může převzít TLS, rozkládat zátěž a sloužit jako místo pro pravidla filtrování nebo WAF. Ochranu poskytuje jen tehdy, když servery za ní nejsou navíc dostupné přímo. Filtrování požadavků na nahrávání na okraji sítě: příležitosti a rizika →
RFI: RFI (remote file inclusion) je varianta, při které aplikace stahuje a spouští kód z cizí adresy. V PHP vkládání vzdálených souborů brání nastavení allow_url_include=Off, které je již dlouho výchozí. Staré aplikace a konfigurace je vhodné na to zkontrolovat. Jak zabránit Local File Inclusion v PHP: LFI a RFI →
Root server: Root server je pronajatý server, na kterém má zákazník plná administrátorská práva. Tím leží plná odpovědnost za aktualizace, hardening a sledování také na zákazníkovi. Poskytovatel dodává jen hardware a síť. Vlastní zabezpečení root serveru a vServeru →

S

SAPI: SAPI (Server Application Programming Interface) je rozhraní, přes které PHP komunikuje se svým okolím, například s Apache, PHP-FPM nebo příkazovou řádkou. Použité SAPI určuje, jak se procesy PHP spouštějí, znovu využívají a restartují. U PHP2Shell je podle týmu PHP postiženo více provozních režimů, nejvyšší riziko má mod_php. SAPI vysvětleno: jak PHP komunikuje s webovým serverem →
Sdílený hosting: Při sdíleném hostingu sdílí mnoho zákazníků jeden server, který provozuje poskytovatel hostingu. Poskytovatel odpovídá za PHP, operační systém a webový server, zákazník za svou aplikaci. U PHP2Shell to znamená: zeptat se poskytovatele na stav záplat a zkontrolovat vlastní web na stopy. Sdílený hosting: co dělá hosting a co musíte udělat vy →
SEO spam: SEO spam jsou vložené stránky, odkazy nebo přesměrování, kterými útočníci umísťují cizí nabídky ve vyhledávačích. Často manipulovaný obsah vidí jen vyhledávače nebo návštěvníci z Google. Kromě vyčištění je poté nutná kontrola v Google Search Console. SEO spam a cizí stránky v indexu Google →
serialize_handler: session.serialize_handler určuje, v jakém formátu PHP ukládá data session, například php, php_binary nebo php_serialize. Upozornění k CVE-2026-115560 se týká jen neobvyklé konfigurace, ve které se tento formát za běhu přepíná a je aktivní session upload progress. Řešením do dalšího bugfixového vydání je session.upload_progress.enabled=0. CVE-2026-115560: upozornění k session upload progress →
Session (relace): Session propojuje více požadavků téhož návštěvníka, například pro přihlášení nebo nákupní košík. PHP ukládá data na straně serveru a prohlížeči předá ID session, ve výchozím nastavení v cookie PHPSESSID. Kdo zná cizí ID session, může za určitých okolností vystupovat jako tento uživatel. Relace a cookies v PHP →
session.upload_progress: Session upload progress je funkce PHP, která ukládá průběh probíhajícího nahrávání souborů do session; ve výchozím stavu je zapnutá. php.net přechodně radí nastavit session.upload_progress.enabled=0 v php.ini, poolu FPM nebo konfiguraci serveru a poté restartovat všechny workery. Podle odborných zpráv toto nastavení samo o sobě neuzavře obě zranitelnosti PHP2Shell; povinná zůstává aktualizace. Vypnutí session.upload_progress: správně a trvale →
SIEM: SIEM (security information and event management) centrálně sbírá logovací data z mnoha systémů a vyhodnocuje je z hlediska bezpečnostních událostí. Tak lze rozpoznat souvislosti, které by se v jednotlivých lozích ztratily. SIEM potřebuje udržovaná pravidla a lidi, kteří hlášení zpracovávají. Bezpečnostní monitoring webových serverů →
Skimming: Při skimmingu v e-shopech útočníci vloží do pokladny JavaScript, který čte platební a zákaznická data a odesílá je. Kód bývá ukryt v souborech šablon, sledovacích skriptech nebo záznamech v databázi. Zákazníci si ničeho nevšimnou, obchodník často až z upozornění od poskytovatelů plateb. Napadený e-shop? IT bezpečnost pro obchodníky →
Spravovaný server: U spravovaného serveru (managed server) poskytovatel dodá vlastní server a smluvně převezme určité části provozu, často aktualizace operačního systému a PHP. Co přesně k tomu patří, stojí ve smlouvě a mezi poskytovateli se velmi liší. V případě pochybností by měla být odpovědnost za záplaty potvrzena písemně. Managed Server: vyjasnit odpovědnost →
SQL injection: Při SQL injection útočník vloží přes vstupy do aplikace vlastní databázové příkazy. Tak lze data číst nebo měnit. Ochranu poskytují připravené dotazy (prepared statements) se zástupnými znaky místo skládaných textů SQL. Jak zabránit SQL injection v PHP →
SSRF: SSRF (server-side request forgery) přiměje aplikaci, aby jménem útočníka odesílala požadavky na jiné adresy, i na interní systémy. Tak se stanou dosažitelnými služby, které jsou zvenčí jinak odstíněné. Ochranu poskytují seznamy povolených cílů a blokování interních rozsahů adres. Prevence Server-Side Request Forgery (SSRF) v PHP →
Superglobální proměnné: Superglobální proměnné jsou proměnné, které PHP poskytuje v každém skriptu, například $_GET, $_POST, $_COOKIE, $_FILES, $_SERVER a $_SESSION. Obsahují data aktuálního požadavku, která z velké části pocházejí od návštěvníka. Vše v nich je nutné považovat za nedůvěryhodné a kontrolovat. Superglobály: $_GET, $_POST, $_FILES a další →
sury.org: sury.org je repozitář balíčků Ondřeje Surého s aktuálními i staršími verzemi PHP pro Debian a Ubuntu. Jde o nabídku třetí strany, ne o bezpečnostní archiv Debianu. Podle zpráv tam byly poskytnuty buildy pro všechny větve od 5.6 do 8.5. Repozitář sury.org: balíčky PHP z cizího zdroje →

T

Threat hunting: Threat hunting je aktivní hledání útočníků ve vlastní síti, aniž by existovalo varování. Východiskem jsou hypotézy, například: Spustil proces webového serveru od 20. 10. shell? Takto se najdou průniky, které automatické nástroje přehlédnou. Varovný signál: webový server spouští shell →
TISAX: TISAX je ověřovací a výměnný postup pro informační bezpečnost v automobilovém průmyslu. Vychází z katalogu požadavků německého Svazu automobilového průmyslu (VDA) a provozuje ho ENX Association. Dodavatelé jím musí vůči výrobcům prokazovat svou úroveň bezpečnosti. ISO 27001 a TISAX: čeho se týkají webové servery →
TLS: TLS (Transport Layer Security) šifruje spojení mezi prohlížečem a serverem; poznáte ho podle HTTPS. Aktuálně se doporučují TLS 1.2 a 1.3, starší verze protokolu by měly být vypnuty. TLS chrání data při přenosu, ne před zranitelnostmi na samotném serveru. Správná konfigurace TLS a HTTPS →
Type juggling: Type juggling je automatický převod typů v PHP, například při volném porovnání pomocí ==. Díky tomu mohou být za stejné považovány hodnoty, které stejné nejsou, což je nebezpečné při kontrole hesel nebo tokenů. Ochranu poskytují striktní porovnání pomocí === a hash_equals() pro tajné hodnoty. Type juggling v PHP: volná porovnání jako bezpečnostní riziko →

U

upload_max_filesize: upload_max_filesize omezuje velikost jednoho nahraného souboru; výchozí hodnota je 2 MB. Hodnota musí být menší než post_max_size, protože soubor je součástí požadavku POST. Příliš velkorysé hodnoty zvětšují plochu pro útok bez užitku. Rozumné omezení post_max_size a upload_max_filesize →
.user.ini: Soubory .user.ini jsou nastavení PHP po jednotlivých adresářích, která vyhodnocují PHP-FPM a CGI. Provozovatelé webů tak mohou bez přístupu k serveru měnit jednotlivé hodnoty, ale jen ty, které PHP k tomu uvolní. Bezpečnostně důležitá nastavení, jako session.upload_progress.enabled=0 proti PHP2Shell, se podle php.net nemají nastavovat přes .user.ini. php.ini vysvětlen: struktura, úrovně a priorita →

V

VdS 10000: VdS 10000 je směrnice německé organizace VdS Schadenverhütung pro informační bezpečnost v malých a středních firmách. Je štíhlejší než ISO 27001 a přizpůsobená možnostem malých a středních podniků. Certifikace podle ní je možná. VdS 10000: informační bezpečnost pro malé a střední podniky →
Virtuální záplatování: Virtuální záplatování blokuje útoky na známou zranitelnost před aplikací, většinou pomocí WAF, aniž by se měnil zranitelný kód. Získá se tak čas, než bude možná skutečná aktualizace. U PHP2Shell například Cloudflare upozorňuje, že pravidla jen podle dat požadavku nestačí; aktualizace zůstává povinná. WAF a virtuální záplatování pro PHP →
vServer: vServer (virtuální server) je virtuální počítač na sdíleném hardwaru, s vlastním operačním systémem a většinou s přístupem root. Pro bezpečnost platí totéž co u root serveru: aktualizace a hardening jsou věcí zákazníka. Mnoho vServerů běží s předinstalovanými panely, jako je Plesk. Vlastní zabezpečení root serveru a vServeru →
Výstražný stupeň: BSI zařazuje hrozbu u bezpečnostních varování do stupňů, které jsou označeny i barvou. Stupeň 3 (oranžový) znamená kritickou situaci pro provoz s možným masivním narušením běžného provozu. Pro PHP2Shell platí výstražný stupeň 3 / oranžový. Výstražný stupeň BSI oranžový: co zařazení znamená →

W

WAF: WAF (web application firewall) kontroluje požadavky HTTP před aplikací a blokuje známé vzorce útoků. Může běžet jako cloudová služba, jako proxy nebo jako modul webového serveru. Získá se jí čas, ale nenahrazuje aktualizaci a lze ji obejít, pokud je server dostupný i přímo. WAF a virtuální záplatování pro PHP →
Webshell: Webshell je skript, který útočníci umístí na webový server, aby ho mohli ovládat přes prohlížeč. Bývá malý, zakódovaný a ukrytý ve složkách s nahranými soubory nebo cache. Webshell zůstává i po aktualizaci PHP nebo CMS a je nutné ho cíleně hledat. Jak poznat a odstranit webshell →

X

XSS: XSS (cross-site scripting) znamená, že se cizí JavaScript spustí přes web v prohlížeči jiných návštěvníků. Lze tak převzít relace nebo odposlouchávat zadávání do formulářů. Ochranu poskytuje důsledné kódování všech výstupů a Content Security Policy. Jak zabránit XSS v PHP: spolehlivá obrana proti cross-site scriptingu →
XXE: XXE (XML external entities) využívá toho, že parsery XML mohou dočítat externí odkazy v dokumentech. Za určitých okolností tak lze číst soubory ze serveru nebo spouštět interní požadavky. Ochranu poskytuje vypnutí načítání externích entit při zpracování nedůvěryhodných dat XML. Prevence XML External Entities (XXE) v PHP →

Z

ZAC: Zentrale Ansprechstellen Cybercrime (ZAC), tedy ústřední kontaktní místa německé policie pro kybernetickou kriminalitu, jsou specializovaná kontaktní místa pro firmy a úřady, které se staly obětí kybernetického útoku. Existují ve všech německých spolkových zemích a u BKA. Přijímají trestní oznámení a radí s dalším postupem. Podat oznámení: ústřední kontaktní místa pro kybernetickou kriminalitu →
Zajištění důkazů: Zajištění důkazů znamená zajistit stopy incidentu dříve, než se ztratí vyčištěním, restartem nebo novou instalací. Patří k tomu logovací soubory, obrazy datových nosičů a podle případu operační paměť. Odborný tisk po PHP2Shell radí uchovat logy serveru od 20. 10. 2026. Zajistěte důkazy dříve, než server nainstalujete znovu →
Zend Engine: Zend Engine je jádro interpretu PHP. Převádí kód PHP na interní instrukce (opcody), provádí je a spravuje paměť. Chyby v Zend Engine se projeví ve všech aplikacích PHP a lze je odstranit jen aktualizací PHP. Zend Engine: srdce PHP →
Zero-Day: Zero-Day je zranitelnost, která je zneužívána nebo veřejně známá dříve, než výrobce poskytne záplatu. Provozovatelé pak mají nulový náskok. Do vydání záplaty pomáhají jen přechodná opatření, oddělení a sledování. Časové okno mezi záplatou a útokem →
Zpracovatelská smlouva (DPA): Zpracovatelská smlouva (DPA, v němčině AVV) podle čl. 28 GDPR je nutná, pokud dodavatel jménem správce zpracovává osobní údaje nebo k nim může přistupovat. To často platí i pro hostingové firmy, agentury a dodavatele IT s přístupem k serveru. Smlouva upravuje mimo jiné pokyny, ochranná opatření a cesty hlášení. Zpracování osobních údajů, když dodavatelé přistupují na servery →
Záloha 3-2-1: Pravidlo 3-2-1 doporučuje tři kopie dat na dvou různých úložných médiích, z toho jednu na jiném místě. Alespoň jedna kopie by měla být ze serveru nezměnitelná, aby ji útočníci nemohli smazat ani zašifrovat. Záloha se počítá teprve tehdy, když je obnova otestována. Strategie zálohování serveru: zálohy podle pravidla 3-2-1 →
Záplata (patch): Záplata je oprava od výrobce, která uzavře zranitelnost v programovém kódu. Působí teprve tehdy, když je nainstalována a všechny běžící procesy jsou restartovány. Záplata neodstraní již vloženou škodlivou aplikaci a nedokazuje, že se předtím nic nestalo. Služba záplatování PHP: aktualizace, restart a doklad →

Č

Časová osa: Časová osa (timeline) řadí všechny stopy incidentu chronologicky: záznamy v lozích, změny souborů, přihlášení, procesy. Ukazuje, kdy útok začal a co se stalo v jakém pořadí. Důležité je jednotné časové pásmo, nejlépe UTC. Vytvoření časové osy incidentu →

Ř

Řetězec důkazů (chain of custody): Řetězec důkazů (chain of custody) nepřerušeně dokumentuje, kdo kdy zajistil, předal a zpracoval důkazní materiál. Doplněn kontrolními součty dokládá, že data nebyla změněna. Bez této dokumentace stopy ztrácejí hodnotu před soudem nebo vůči pojišťovnám. IT forenzní analýza po útoku na webový server →

Okamžitý kontakt

Každá hodina se počítá. Napište nám hned.

Stručně popište systém, verzi PHP a pozorování. Ozveme se, vyjasníme situaci a budeme pracovat na dálku, dokud nebude incident uzavřen a zdokumentován.

WhatsApp nouze Zavolat