Poradna: bezpečnost PHP a serverů
Odborné články pro administrátory a vývojáře: rozpoznání webshellů, hardening php.ini, vyhodnocení logů, bezpečné programování.
Časová osa PHP2Shell: chronologie od 17. do 25. října 2026
Všechna doložená data k PHP2Shell přehledně, od prvního pozorovaného pokusu o útok po stav k 25. 10. 2026, a co z nich plyne pro vaši kontrolu.
Číst dál →02Potvrzení aktualizace PHP od hostingu: jak se zeptat na stav záplaty
Zobrazená verze PHP po PHP2Shell mnoho nedokazuje. Pomocí tohoto vzoru si od poskytovatele hostingu vyžádáte potvrzení, které můžete zdokumentovat.
Číst dál →03Jak poznat a odstranit webshell
Jak vyhledat zadní vrátka na webových serverech s PHP, aniž byste zničili stopy, a proč samotné smazání zřídka stačí.
Číst dál →04Jak najít zadní vrátka ve WordPressu: systematické hledání
Kde se zadní vrátka ve WordPressu typicky ukrývají a jak je správci systematicky vyhledají pomocí WP-CLI a několika příkazů.
Číst dál →05Jak bezpečně nakonfigurovat php.ini
Která nastavení v php.ini zmenšují plochu pro útok, jak je chránit před přepsáním a co platí navíc po PHP2Shell.
Číst dál →06Jak správně nasadit PHP disable_functions
Pomocí disable_functions zakážete rizikové funkce PHP. Jak seznam sestavit podle své aplikace, aniž byste web vyřadili z provozu.
Číst dál →07open_basedir a izolace jednotlivých webů
Jak pomocí open_basedir, samostatných systémových uživatelů a oddělených poolů PHP-FPM zabránit tomu, aby průnik do jednoho webu zasáhl všechny ostatní na serveru.
Číst dál →08Práva k souborům na webovém serveru
Proč webový server nesmí měnit vlastní kód, jaká práva pro soubory a složky dávají smysl a jak rychle ověřit skutečný stav.
Číst dál →09composer audit: kontrola závislostí na zranitelnosti
Jak vývojáři pomocí composer audit najdou známé zranitelnosti v knihovnách, kontrolu zautomatizují a vyhnou se typickým chybám při deploymentu.
Číst dál →10Konec podpory PHP: rizika zastaralých verzí
Co znamená konec podpory verze PHP, které větve po PHP2Shell ještě dostávají oficiální záplaty a jak přechod naplánovat.
Číst dál →11Jak zabránit SQL injection v PHP
Jak vývojáři spolehlivě vyloučí SQL injection v aplikacích PHP pomocí prepared statements, whitelistů a minimálních práv databáze.
Číst dál →12Jak zabránit XSS v PHP: spolehlivá obrana proti cross-site scriptingu
Jak vývojáři zabrání cross-site scriptingu v aplikacích PHP: kódování podle kontextu, automatické escapování v šablonách, čištění HTML a Content Security Policy.
Číst dál →13Bezpečné nahrávání souborů v PHP: bezpečnost uploadu
Formuláře pro nahrávání jsou častou cestou pro webshelly. Jak správně kontrolovat typy souborů, ukládat je bezpečně a zabránit serveru ve spouštění nahraných skriptů.
Číst dál →14Zabezpečení relací v PHP: bezpečnost session v praxi
Session udržují uživatele přihlášené, a jsou proto lákavým cílem. Jak bezpečně nastavit cookies, ID session a místa uložení a jak uplatnit upozornění k PHP2Shell u upload progress.
Číst dál →15Nezabezpečená deserializace v PHP: unserialize a bezpečnost
unserialize() s cizími daty může v nejhorším případě vést ke spuštění kódu. Jak ji nahradit JSON, omezit tam, kde musí zůstat, a najít riziková místa v kódu.
Číst dál →16Jak zabránit Local File Inclusion v PHP: LFI a RFI
Pokud include nebo require přebírají cesty z požadavku, mohou útočníci načítat cizí soubory. Jak bezpečně postavit výběr stránek a šablon a server navíc zabezpečit.
Číst dál →17Ochrana přihlášení správců před brute force: ochrana každého loginu
Automatizované pokusy o heslo zasáhnou každou dostupnou přihlašovací stránku. Jak útočníky zpomalit pomocí rate limitingu a Fail2ban, chránit účty druhým faktorem a správně ukládat hesla.
Číst dál →18DDoS, nebo hackerský útok? Jak útoky správně zařadit
Pomalý web, vysoká zátěž, podivné soubory: zda za tím stojí DDoS, nebo průnik, rozhoduje o správné reakci. Jak situaci zařadit několika kontrolami.
Číst dál →19Vyhodnocení logů webového serveru po útoku: jak číst access log
Soubory logů jsou po útoku často nejdůležitější stopou. Jak správně zajistit logy access, error a PHP, najít nápadné požadavky a vyhnout se typickým chybám při vyhodnocení.
Číst dál →20Jak zavést dvoufázové ověření pro přístupy správců
Odcizené heslo nesmí stačit k převzetí vašeho serveru nebo e-shopu. Jak zvolit vhodnou metodu, zabezpečit všechny přístupy správců a naplánovat nouzové přístupy.
Číst dál →21Strategie zálohování serveru: zálohy podle pravidla 3-2-1
Záloha pomůže jen tehdy, když přežije útok a dá se obnovit. Jak uplatnit pravidlo 3-2-1 pro webové servery a správně naplánovat uchování a testy.
Číst dál →22Bezpečnostní hlavičky pro weby: jak je správně nastavit
Bezpečnostní hlavičky přikazují prohlížeči lépe chránit vaše návštěvníky. Jak nastavit nejdůležitější hlavičky v Nginx a Apache, zavést Content Security Policy postupně a zkontrolovat výsledek.
Číst dál →23Jak odstranit varování Google „Tento web byl hacknut“
Varování před hackem ve výsledcích vyhledávání stojí návštěvníky i důvěru. Jak web důkladně vyčistit, najít skryté spamové stránky a požádat o posouzení v Search Console.
Číst dál →24Kontrolní seznam po hacku: 20 bodů pro následné kroky
Po útoku záleží na správném pořadí. Tento seznam vás ve 20 bodech provede zadržením, zajištěním důkazů, čištěním, novými přístupy, povinnostmi a zdokumentovaným uzavřením.
Číst dál →Každá hodina se počítá. Napište nám hned.
Stručně popište systém, verzi PHP a pozorování. Ozveme se, vyjasníme situaci a budeme pracovat na dálku, dokud nebude incident uzavřen a zdokumentován.