# Server napaden – co dělat? První kroky a okamžitá pomoc

> Server napaden, co dělat? Nic nemazat, zachovat stopy, ujasnit přístupy. Převezmeme to na dálku. Zavolejte nebo napište přes WhatsApp.

Zdroj: https://phpsos.de/cs/soforthilfe/server-gehackt-was-tun/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Týká se to vás? Zavolejte nám. Pomůžeme. Pokud máte podezření, že byl váš server napaden, počítá se nejdřív jedna věc: zachovat stopy. Na dálku od první zprávy přebíráme přehled situace, zajištění dat, zadržení útoku, vyčištění a dokumentaci, dokud není incident uzavřen.

> **Jednejte ihned:**
> **Nyní nic nemažte a nic znovu nenasazujte.** Ani neobnovujte zálohu, dokud není vše zajištěno. Kdo uklízí, ničí právě ty stopy, které ukazují, jak se útočník dostal dovnitř. [Nahlásit nouzi](https://phpsos.de/cs/notfall/) a budeme postupovat společně.

## Týká se to vás? Známky, že byl server napaden

K ozvání stačí podezření. Útok nemusíte dokazovat. Typické příznaky jsou:

- Webový server nebo PHP-FPM spouští procesy jako `sh` nebo `bash`. To je silné varovné znamení, které vysvětlujeme na stránce [Webový server spouští shell](https://phpsos.de/cs/blog/webserver-startet-shell/).
- Ve složkách pro nahrávání, cache nebo dočasných složkách leží nové nebo neznámé soubory PHP.
- Existují cron úlohy, které nikdo nevytvořil, nebo klíče SSH, které nikdo neumí přiřadit.
- Zátěž je bez zjevné příčiny vysoká, nebo server navazuje neobvyklá odchozí spojení.
- E-maily z vašeho serveru končí ve spamu nebo jsou odmítány.
- Hosting, zákazník nebo varování v prohlížeči hlásí škodlivý kód.
- V CMS se objevují účty administrátorů, které nikdo nevytvořil.

Další příznaky najdete v článku [Byl už můj server kompromitován?](https://phpsos.de/cs/php2shell/bin-ich-gehackt-anzeichen/). Pokud platí více bodů, považujte server za napadený, dokud se neprokáže opak.

## Server napaden: co udělat hned

1. **Zachovat klid a nic neměnit.** Nemažte soubory, žádné „rychlé opravy“, žádná nová instalace přes starý stav.
2. **Zaznamenat čas.** Poznamenejte si, co jste kdy pozorovali a kdo naposledy provedl změny v systému.
3. **Uchovat logy.** Přístupové, chybové a systémové protokoly se nesmějí rotovat ani přepisovat. U PHP2Shell radí odborný tisk uchovat logy serveru od 20. 10. 2026.
4. **Zmenšit plochu útoku.** Odpojte server od veřejné sítě nebo ho zablokujte firewallem, pokud by mohla unikat data. Nevypínejte ho jednoduše.
5. **Shromáždit přístupy.** Kdo má přístup přes SSH, panel, FTP, CMS a databázi? Hesla měňte až po dohodě a jen z čistého zařízení.
6. **Určit kontaktní osobu.** Měl by být dosažitelný někdo s pravomocí rozhodovat, i o vypnutí a restartech.
7. **Ozvěte se hned.** Zavolejte nebo napište přes WhatsApp. Vše ostatní s vámi vyjasníme krok za krokem.

## Odpojit od sítě, nebo nechat běžet?

To je nejčastější otázka v prvních minutách a nemá paušální odpověď. Pokud běží e-shop s platbami nebo portál se zákaznickými údaji, většinou převáží ochrana dat. Pak je správné dočasné odstínění, například stránkou údržby nebo pravidlem firewallu, které pustí jen vaše administrátory.

Tvrdé vypnutí naopak málokdy bývá nejlepším prvním krokem, protože v operační paměti jsou stopy, které restart smaže. Lepší je obraz systému, například snapshot u hostingu, než se cokoli změní. V situaci kolem PHP2Shell doporučuje německé BSI webové servery dočasně odpojit od sítě, pokud aktualizace není okamžitě možná. To neznamená, že každý vypnutý server byl napaden.

Zda ve vašem případě odstínit, omezit, nebo nechat běžet, rozhodneme s vámi podle toho, co je v systému uloženo.

## Nasadit znovu, nebo vyčistit?

Mnozí chtějí server nejraději ihned sestavit znovu. To není špatně, ale až po zajištění dat. Jinak zůstane nejasné, jak se útočník dostal dovnitř, a stejná cesta zůstane otevřená i novému systému. Úvahu popisuje stránka [Server nasadit znovu, nebo vyčistit?](https://phpsos.de/cs/blog/neu-aufsetzen-oder-bereinigen/), zajištění před novým sestavením stránka [Zajistit důkazy před novou instalací](https://phpsos.de/cs/blog/beweise-sichern-vor-neuinstallation/).

Důležité: samotná aktualizace PHP problém nevyřeší. Zranitelnost uzavře, ale neodstraní již vložený škodlivý software. Jak najít stopy v protokolech, vysvětluje článek [Vyhodnocení logů webového serveru po útoku](https://phpsos.de/cs/ratgeber/logfiles-auswerten/). A počítejte s tím, že byly přečteny i přístupové údaje z konfiguračních souborů: přístupy k databázi, poště a API patří na seznam tajemství, která je třeba obnovit.

## Jak PHP SOS konkrétně pomáhá?

1. **Zmapování situace:** S vámi ujasníme, co bylo pozorováno, které systémy mohou být dotčeny a jaká data na nich leží.
2. **Zajištění a uzavření:** Zajistíme soubory, databázi a logy dříve, než se cokoli změní. Poté útok zadržíme a uzavřeme vstupní bránu, u PHP2Shell záplatou a restartem všech procesů PHP.
3. **Kontrola a vyčištění:** Hledáme webshelly, zadní vrátka, cron úlohy a cizí přístupy a odstraňujeme je. Podrobnosti najdete na stránce [Odstranění malwaru a webshellů](https://phpsos.de/cs/leistungen/malware-entfernung/).
4. **Hardening a zpráva:** Dostanete dokumentaci s časovou osou, místy nálezu a doporučeními. Pokud incident přesáhne jeden server, přecházíme do strukturované [reakce na incidenty (Incident Response)](https://phpsos.de/cs/leistungen/incident-response/).

## Čeho se vyvarovat

Ve stresu vznikají chyby, kterým se lze vyhnout. Nemažte „podezřelé“ soubory jen na podezření, aniž byste je předtím zajistili. Nespouštějte příkazy z fór, kterým nerozumíte. A neinstalujte bezpečnostní pluginy na server, který už mohl být kompromitován: škodlivý kód dokáže oklamat skenery a výsledek vás uchlácholí falešným pocitem bezpečí. Pozor také na rady blokovat všechny požadavky s určitým ID relace; odborní autoři takové rady k PHP2Shell výslovně odmítají. Vlastní verzi lze bezpečně ověřit příkazem `php -v` a pohledem do changelogu balíčku vaší distribuce, protože backporty často nechávají číslo verze beze změny.

## Co nám poslat

- stručný popis: co se objevilo, od kdy, co se naposledy měnilo
- typ systému: vlastní server, vServer, spravovaný server nebo hostingový balíček
- přístup přes SSH nebo panel, nebo svolení jednat s vaším hostingem
- informace o existujících zálohách a jejich stáří
- varování od hostingu, prohlížeče nebo zákazníků v původním znění

Pokud něco z toho chybí, ozvěte se přesto. Mezery doplníme v rozhovoru.

## Proč PHP SOS

Pracujeme v duchu „Made in Germany“ a spolu s naší partnerskou sítí odborníků na kybernetickou bezpečnost se již více než 25 let specializujeme na IT bezpečnost. Máte jeden kontaktní bod, pracujeme na dálku, bez cestování, v celém Německu i v Evropě. Každý krok se dokumentuje a otevřeně oddělujeme, co je doloženo, co pravděpodobné a co neznámé. Sliby, které nikdo nemůže splnit, nedáváme. Přehled o následných krocích najdete v [kontrolním seznamu po napadení](https://phpsos.de/cs/ratgeber/checkliste-nach-dem-hack/), celou nouzovou pomoc na stránce [Web napaden? Nouzová pomoc na dálku](https://phpsos.de/cs/leistungen/website-gehackt-notfallhilfe/). K oznamovací povinnosti při únicích dat si přečtěte [pravidlo 72 hodin](https://phpsos.de/cs/compliance/dsgvo-meldepflicht-72-stunden/); právní posouzení zůstává na pověřencích pro ochranu osobních údajů a právnících.

## Týká se to vás? Zavolejte nám. Pomůžeme.

Nečekejte, až se z podezření stane větší škoda. Přebíráme situaci od první zprávy a zůstáváme u ní, dokud není incident uzavřen a zdokumentován. [Nahlásit nouzi hned](https://phpsos.de/cs/notfall/).


## Časté dotazy

**Server napaden: mám ho okamžitě vypnout?**  
Ne ukvapeně. Vypnutí může zničit pomíjivé stopy v operační paměti. Lepší je server odpojit od sítě nebo ho odstínit firewallem a nejdřív zajistit data. Pokud si nejste jisti, ozvěte se nám předem.

**Jak zjistím, zda byl můj server skutečně napaden?**  
Vodítkem jsou procesy, které spouští webový server, nové soubory PHP ve složkách pro nahrávání nebo cache, neznámé cron úlohy a klíče SSH i neobvyklá odchozí spojení. Jistotu přinese teprve analýza logů a souborů. Neexistují potvrzené indikátory PHP2Shell, detekce se opírá o analýzu chování.

**Stačí aktualizace PHP, když byl server už napaden?**  
Ne. Záplata uzavře vstupní bránu, ale neodstraní již vložený škodlivý software a neprokazuje, že se předtím nic nestalo. Po aktualizaci je navíc nutné restartovat všechny procesy PHP.

**Musím napadený server nahlásit?**  
Pokud mohly být dotčeny osobní údaje, může být nutné hlášení dozorovému úřadu do 72 hodin. Posouzení provede váš pověřenec pro ochranu osobních údajů nebo právník, technická fakta k tomu dodáme my.

**Mohu napadený server vyčistit sám?**  
U malých systémů je to možné, ale riskantní: kdo odstraní jen viditelné soubory, často přehlédne zadní vrátka, cron úlohy nebo přístupy. Posoudíme, zda stačí vyčištění, nebo je rozumnější nové sestavení z čistých zdrojů.

## Zdroje

- [BSI: Spolkový úřad pro informační bezpečnost (Německo)](https://www.bsi.bund.de/)
- [GDPR čl. 33: hlášení dozorovému úřadu](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)