# Serveris uzlauzts, ko darīt? Pirmie soļi un ārkārtas palīdzība

> Serveris uzlauzts, ko darīt? Neko neizdzēsiet, saglabājiet pēdas, apkopojiet piekļuves. Mēs palīdzam attālināti. Zvaniet vai rakstiet WhatsApp.

Avots: https://phpsos.de/lv/soforthilfe/server-gehackt-was-tun/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi:** vai esat skarti? Zvaniet. Mēs palīdzam. Ja jums ir aizdomas, ka serveris ir uzlauzts, vispirms svarīgi ir viens: saglabāt pēdas. Mēs attālināti no pirmās ziņas uzņemamies situācijas attēlu, saglabāšanu, ierobežošanu, attīrīšanu un dokumentēšanu, līdz incidents ir noslēgts.

> **Rīkoties nekavējoties:**
> **Tagad neko neizdzēsiet un neuzstādiet no jauna.** Neatjaunojiet arī rezerves kopiju, kamēr nav veikta saglabāšana. Kas sakopj, iznīcina tieši tās pēdas, kas parāda, kā uzbrucējs iekļuva. [Pieteikt ārkārtas gadījumu](https://phpsos.de/lv/notfall/), un mēs rīkosimies kopā.

## Vai esat skarti? Pazīmes, ka serveris ir uzlauzts

Aizdomas ir pietiekams iemesls sazināties. Uzbrukums nav jāpierāda. Tipiskas norādes:

- Tīmekļa serveris vai PHP-FPM startē procesus, piemēram, `sh` vai `bash`. Tā ir stipra brīdinājuma zīme, ko skaidrojam lapā [Tīmekļa serveris startē shell](https://phpsos.de/lv/blog/webserver-startet-shell/).
- Augšupielāžu, kešatmiņas vai pagaidu mapēs ir jauni vai nezināmi PHP faili.
- Ir cron uzdevumi, ko neviens nav izveidojis, vai SSH atslēgas, ko neviens nevar piedēvēt.
- Slodze bez redzama iemesla ir augsta, vai serveris veido neparastus izejošos savienojumus.
- Jūsu servera pasts nonāk surogātpasta mapē vai tiek noraidīts.
- Hostinga sniedzējs, klients vai pārlūkprogrammas brīdinājums ziņo par ļaunprātīgu kodu.
- CMS parādās administratora konti, ko neviens nav izveidojis.

Vairāk pazīmju atradīsiet lapā [Vai mani jau ir uzlauzuši?](https://phpsos.de/lv/php2shell/bin-ich-gehackt-anzeichen/). Ja atbilst vairāki punkti, uzskatiet serveri par uzlauztu, kamēr nav pierādīts pretējais.

## Serveris uzlauzts: ko darīt tūlīt

1. **Saglabāt mieru un neko nemainīt.** Neizdzēst failus, neveikt „ātrus labojumus“, neuzstādīt no jauna virs vecā stāvokļa.
2. **Fiksēt laiku.** Pierakstiet, ko un kad esat novērojuši un kas pēdējais ir veicis izmaiņas sistēmā.
3. **Saglabāt žurnālus.** Piekļuves, kļūdu un sistēmas žurnāli nedrīkst rotēt vai tikt pārrakstīti. PHP2Shell gadījumā speciālistu prese iesaka saglabāt servera žurnālus no 2026. gada 20. oktobra.
4. **Samazināt uzbrukuma virsmu.** Atvienojiet serveri no publiskā tīkla vai bloķējiet to ar ugunsmūri, ja dati varētu aizplūst. Neizslēdziet to vienkārši.
5. **Apkopot piekļuves.** Kam ir SSH, paneļa, FTP, CMS un datubāzes piekļuve? Paroles mainiet tikai pēc saskaņošanas un tikai no tīras ierīces.
6. **Noteikt kontaktpersonu.** Jābūt sasniedzamai personai ar tiesībām lemt, arī par izslēgšanu un pārstartēšanu.
7. **Sazinieties ar mums tagad.** Zvaniet vai rakstiet WhatsApp. Visu pārējo noskaidrojam kopā ar jums soli pa solim.

## Atvienot no tīkla vai ļaut darboties tālāk?

Tas ir biežākais jautājums pirmajās minūtēs, un tam nav vispārēja atbilde. Ja darbojas tiešsaistes veikals ar maksājumiem vai portāls ar klientu datiem, parasti svarīgāka ir datu aizsardzība. Tad pagaidu norobežošana ir pareiza, piemēram, ar apkopes lapu vai ugunsmūra noteikumu, kas ielaiž tikai jūsu administratorus.

Savukārt pilnīga izslēgšana reti ir labākais pirmais solis, jo operatīvajā atmiņā ir pēdas, ko pārstartēšana izdzēš. Labāk ir sistēmas attēls, piemēram, hostinga sniedzēja snapshot, pirms kaut kas tiek mainīts. PHP2Shell situācijā BSI iesaka tīmekļa serverus uz laiku atvienot no tīkla, ja atjauninājums nav uzreiz iespējams. Tas nenozīmē, ka katrs izslēgtais serveris ir bijis uzlauzts.

Vai jūsu gadījumā norobežot, ierobežot vai ļaut darboties tālāk, lemjam kopā ar jums, pamatojoties uz to, kas atrodas sistēmā.

## Uzstādīt no jauna vai attīrīt?

Daudzi vislabāk gribētu serveri nekavējoties pārbūvēt. Tas nav nepareizi, bet tikai pēc saglabāšanas. Citādi paliek neskaidrs, kā uzbrucējs iekļuva, un tas pats ceļš ir atvērts arī jaunajai sistēmai. Apsvērumu apraksta lapa [Servera pārinstalēšana vai attīrīšana?](https://phpsos.de/lv/blog/neu-aufsetzen-oder-bereinigen/), saglabāšanu pirms pārbūves lapa [Pierādījumu saglabāšana pirms pārinstalēšanas](https://phpsos.de/lv/blog/beweise-sichern-vor-neuinstallation/).

Svarīgi: ar PHP atjauninājumu vien problēma netiek atrisināta. Tas aizver ievainojamību, bet nenoņem jau ievadītu ļaunprogrammatūru. Kā pēdas atrast žurnālos, ir aprakstīts lapā [Tīmekļa servera žurnālu izvērtēšana pēc uzbrukuma](https://phpsos.de/lv/ratgeber/logfiles-auswerten/). Un pieņemiet, ka piekļuves dati no konfigurācijas failiem ir nolasīti: datubāzes, pasta un API piekļuves jāiekļauj nomaināmo noslēpumu sarakstā.

## Kā PHP SOS palīdz konkrēti?

1. **Situācijas attēls:** Mēs kopā ar jums noskaidrojam, kas ir novērots, kuras sistēmas varētu būt skartas un kādi dati tur atrodas.
2. **Saglabāt un aizvērt:** Mēs saglabājam failus, datubāzi un žurnālus, pirms kaut kas tiek mainīts. Pēc tam ierobežojam uzbrukumu un aizveram ielaušanās durvis, PHP2Shell gadījumā ar ielāpu un visu PHP procesu pārstartēšanu.
3. **Pārbaudīt un attīrīt:** Mēs meklējam webshell, slēptās piekļuves, cron uzdevumus un svešas piekļuves un noņemam tās. Sīkāk lapā [Ļaunprogrammatūras un webshell noņemšana](https://phpsos.de/lv/leistungen/malware-entfernung/).
4. **Nostiprināt un ziņot:** Jūs saņemat dokumentāciju ar laika joslu, atradumu vietām un ieteikumiem. Ja incidents sniedzas ārpus viena servera, pārejam uz strukturētu [Incident Response](https://phpsos.de/lv/leistungen/incident-response/).

## Ko nevajadzētu darīt

Stresā rodas novēršamas kļūdas. Neizdzēsiet „aizdomīgus“ failus uz aizdomu pamata, tos iepriekš nesaglabājot. Neizpildiet komandas no forumiem, ko nesaprotat. Un neinstalējiet drošības spraudņus serverī, kas, iespējams, jau ir kompromitēts: ļaunprātīgs kods var apmānīt skenerus, un rezultāts jūs ieliek viltus drošībā. Piesardzība arī pret ieteikumiem bloķēt visus pieprasījumus ar noteiktu sesijas ID; speciālisti šādus padomus par PHP2Shell skaidri noraida. Savu versiju droši pārbaudīsiet ar `php -v` un ieskatu sava distributīva pakotnes changelog, jo backport bieži atstāj versijas numuru nemainītu.

## Ko jums vajadzētu mums nosūtīt

- īss apraksts: kas ir pamanīts, kopš kura laika, kas pēdējais mainīts
- sistēmas veids: pašu serveris, vServer, pārvaldīts serveris vai hostinga pakotne
- piekļuve ar SSH vai paneli vai atļauja runāt ar jūsu hostinga sniedzēju
- norādes par esošajām rezerves kopijām un to vecumu
- hostinga sniedzēja, pārlūkprogrammas vai klientu brīdinājumi burtiski

Ja kaut kā trūkst, tomēr sazinieties ar mums. Trūkumus novēršam sarunā.

## Kāpēc PHP SOS

Mēs strādājam pēc principa Made in Germany un jau vairāk nekā 25 gadus kopā ar savu kiberspeciālistu partneru tīklu esam specializējušies IT drošībā. Jums ir viena kontaktpersona, mēs strādājam attālināti, bez ierašanās, visā Vācijā un Eiropā. Katrs solis tiek dokumentēts, un mēs atklāti nošķiram, kas ir apliecināts, kas iespējams un kas nav zināms. Solījumus, ko neviens nevar izpildīt, mēs nesniedzam. Pārskats par pēcapstrādi ir [kontrolsarakstā pēc uzlaušanas](https://phpsos.de/lv/ratgeber/checkliste-nach-dem-hack/), visu ārkārtas palīdzību skatiet lapā [Vietne uzlauzta? Attālināta ārkārtas palīdzība](https://phpsos.de/lv/leistungen/website-gehackt-notfallhilfe/). Par ziņošanas pienākumu datu noplūdes gadījumā lasiet [72 stundu noteikumu](https://phpsos.de/lv/compliance/dsgvo-meldepflicht-72-stunden/); juridisko vērtējumu sniedz datu aizsardzības speciālisti un advokāti.

## Vai esat skarti? Zvaniet. Mēs palīdzam.

Negaidiet, kamēr no aizdomām izaug lielāks kaitējums. Mēs uzņemamies darbu no pirmās ziņas un paliekam klāt, līdz incidents ir noslēgts un dokumentēts. [Pieteikt ārkārtas gadījumu tagad](https://phpsos.de/lv/notfall/).


## Biežāk uzdotie jautājumi

**Serveris uzlauzts: vai man to uzreiz izslēgt?**  
Ne pārsteidzīgi. Izslēgšana var iznīcināt īslaicīgas pēdas operatīvajā atmiņā. Labāk serveri atvienot no tīkla vai norobežot ar ugunsmūri un vispirms izveidot kopiju. Ja neesat pārliecināti, sazinieties ar mums jau iepriekš.

**Kā noskaidrot, vai mans serveris patiešām ir uzlauzts?**  
Uz to norāda procesi, ko startē tīmekļa serveris, jauni PHP faili augšupielāžu vai kešatmiņas mapēs, nezināmi cron uzdevumi un SSH atslēgas, kā arī neparasti izejošie savienojumi. Drošību sniedz tikai žurnālu un failu analīze. Apstiprinātu PHP2Shell indikatoru nav, atpazīšana balstās uz uzvedības analīzi.

**Vai PHP atjauninājums der, ja serveris jau ir uzlauzts?**  
Nē. Ielāps aizver ielaušanās durvis, bet nenoņem jau ievadītu ļaunprogrammatūru un nepierāda, ka iepriekš nekas nav noticis. Pēc atjaunināšanas jāpārstartē arī visi PHP procesi.

**Vai man par uzlauztu serveri jāziņo?**  
Ja var būt skarti personas dati, ziņojums uzraudzības iestādei var būt nepieciešams 72 stundu laikā. Vērtējumu sniedz jūsu datu aizsardzības speciālists vai advokāts; mēs nodrošinām tehniskos faktus.

**Vai uzlauzto serveri varu attīrīt pats?**  
Nelielām sistēmām tas ir iespējams, bet riskanti: kas noņem tikai redzamos failus, bieži pārredz slēptās piekļuves, cron uzdevumus vai piekļuves. Mēs pārbaudām, vai pietiek ar attīrīšanu, vai saprātīgāka ir pārbūve no tīriem avotiem.

## Avoti

- [BSI: Vācijas Federālais informācijas drošības birojs](https://www.bsi.bund.de/)
- [VDAR 33. pants: ziņošana uzraudzības iestādei](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)