Krótko: Zlecenie usługodawcy bezpieczeństwa IT opłaca się, gdy istnieją oznaki włamania, działają stare wersje PHP bez oficjalnej aktualizacji, wewnątrz brakuje czasu lub wiedzy fachowej albo dotyczy to kwestii prawnych. Jeśli Państwa strona leży u firmy hostingowej, która pisemnie potwierdza poprawkę i restart, lub Państwa własne IT może samo zaktualizować i skontrolować obsługiwaną wersję PHP, w przypadku PHP2Shell często nie potrzebują Państwo zewnętrznej pomocy.
Pytanie, które wielu sobie teraz zadaje
W tygodniu po 21.10.2026 wiele firm po raz pierwszy przyjrzało się dokładniej, kto właściwie opiekuje się ich serwerami WWW. Wynik był często otrzeźwiający: agencja odpowiada za treści, firma hostingowa za sprzęt, a wersji PHP na starym vServerze nikt dokładnie nie zna.
Jednocześnie obowiązuje: nie każda firma potrzebuje w tej sytuacji usługodawcy w zakresie bezpieczeństwa. Kto uczciwie sprawdzi, co można zrobić wewnętrznie, oszczędza pieniądze i zachowuje kontrolę. Kto się przecenia, ryzykuje, że włamanie pozostanie niewykryte. Ten wpis pomaga w ocenie, nie chcąc sprzedać Państwu niczego, czego nie potrzebują.
Naprawić samemu czy zlecić usługodawcy bezpieczeństwa IT: kryteria
| Kryterium | Naprawić samemu | Zlecić usługodawcy |
|---|---|---|
| Model hostingu | Hosting współdzielony lub zarządzany z potwierdzoną poprawką | Własny serwer bez opieki, niejasna odpowiedzialność |
| Wersja PHP | 8.2 do 8.5, dostępna oficjalna aktualizacja lub backport dystrybucji | 8.1 lub starsza, tylko backporty ze źródeł lub źródła zewnętrzne |
| Liczba systemów | Jedna lub kilka stron, dobrze udokumentowanych | Wiele serwerów, środowiska mieszane, kontenery |
| Kompetencje wewnętrzne | Administrator z uprawnieniami do serwera, doświadczeniem w zarządzaniu pakietami i restartach | Nikt z dostępem lub doświadczeniem nie jest dostępny |
| Oznaki włamania | Brak nieprawidłowości po kontroli | Nieznane pliki, procesy, konta lub połączenia |
| Dane osobowe | Brak wrażliwych danych w systemie | Dane klientów, dane zdrowotne lub płatnicze |
| Ubezpieczenie i obowiązki zgłoszeniowe | Brak powiązania | Trzeba włączyć ubezpieczyciela lub ochronę danych |
| Potrzeba dowodów | Wystarczy notatka wewnętrzna | Potrzebny raport dla zarządu, audytu lub ubezpieczyciela |
Jeśli w Państwa sytuacji pasuje kilka wierszy z prawej kolumny, wiele przemawia za zewnętrzną pomocą. Jeśli prawa kolumna pasuje tylko przy „potrzebie dowodów”, często wystarcza celowane wsparcie przy dokumentacji.
Autotest w siedmiu pytaniach
Proszę odpowiedzieć na pytania tak lub nie. Każde nie jest wskazówką, gdzie mogą Państwo potrzebować pomocy.
- Czy wiedzą Państwo dla każdej strony, na jakim serwerze i z jaką wersją PHP działa?
- Czy potrafią Państwo udokumentować, że ten stan jest poprawiony względem CVE-2026-109618 i CVE-2026-109619, na przykład przez dziennik zmian pakietu? Instrukcja znajduje się w artykule Jak prawidłowo sprawdzić wersję PHP i stan poprawek.
- Czy ktoś w firmie ma uprawnienia i wiedzę, aby zaktualizować PHP i zrestartować wszystkie procesy worker?
- Czy mają Państwo dla stron u firmy hostingowej pisemne potwierdzenie poprawki i restartu? Wzór oferuje artykuł Jak zapytać firmę hostingową o stan poprawek.
- Czy ktoś szukał nieprawidłowości od 17.10.2026, na przykład nowych plików PHP w folderach uploadu lub nieznanych zadań cron?
- Czy logi serwera od 20.10.2026 są zabezpieczone?
- Czy jest osoba, która może zdecydować o tymczasowym wyłączeniu i jest osiągalna?
Siedem razy tak oznacza: są Państwo dobrze przygotowani. Jedno lub dwa nie często można nadrobić wewnętrznie. Przy trzech lub więcej nie, zwłaszcza w pytaniach 2 i 5, zewnętrzne wsparcie jest poważną opcją do rozważenia.
Kiedy wyraźnie nie potrzebują Państwo usługodawcy
Są sytuacje, w których sami odradzalibyśmy wydawanie pieniędzy na zewnętrzną pomoc. Należy do nich prosta strona firmowa u dużej firmy hostingowej, która potwierdziła poprawkę, bez formularzy z wrażliwymi danymi i bez nieprawidłowości. Podobnie własny serwer z PHP 8.3 lub 8.4, którego administrator zainstalował backport dystrybucji, zrestartował wszystkie procesy i krótko przejrzał logi.
W tych przypadkach najważniejsza jest krótka pisemna notatka: co zostało sprawdzone, kiedy i z jakim wynikiem? Pomaga przy dopytywaniu i przy następnej sytuacji.
Szczerze mówiąc, należy do tego także nieprzeceniane własnych ograniczeń. Zainstalowanie aktualizacji jest dla wielu administratorów rutyną. Prawidłowa ocena podejrzanego pliku bez zacierania śladów zwykle nią nie jest. Kto przy łataniu znajdzie coś podejrzanego, powinien w tym miejscu się zatrzymać, niczego nie usuwać i na nowo zdecydować, czy kontynuuje sam.
Nawet jeśli wszystko załatwiają Państwo sami: proszę dziś ustalić, do kogo zadzwonią Państwo, jeśli jednak coś wzbudzi podejrzenia. W razie awarii szukanie usługodawcy to stracony czas.
Droga pośrednia: podzielić zamiast oddać
Między „wszystko samemu” a „wszystko oddać” leży wariant, który w wielu firmach działa najlepiej. Własny zespół przejmuje to, co zna: aktualizacje, restarty, kontakt z firmą hostingową. Usługodawca przejmuje to, co wymaga wiedzy specjalistycznej lub niezależnego spojrzenia, na przykład sprawdzanie śladów, ocenę podejrzenia lub raport dla ubezpieczyciela.
Aby się to udało, muszą być uregulowane dostępy, odpowiedzialności i ochrona danych. Jeśli usługodawca uzyskuje dostęp do serwerów z danymi osobowymi, zwykle potrzebna jest umowa powierzenia przetwarzania; wskazówki znajdują się w artykule Powierzenie przetwarzania, gdy usługodawcy mają dostęp do serwerów. Jak znaleźć odpowiedniego dostawcę, opisuje artykuł Wybór usługodawcy w zakresie bezpieczeństwa IT.
Jak konkretnie pomaga PHP SOS?
- Zaczynamy od krótkiej inwentaryzacji i mówimy otwarcie, gdy Państwo nas nie potrzebują.
- Przejmujemy celowo te części, których brakuje wewnętrznie, na przykład sprawdzanie śladów, stare systemy lub dowód, a resztę zostawiamy Państwa zespołowi.
- Pracujemy zdalnie z dostępami, które Państwo udostępnią, i dokumentujemy każdy krok.
- W przypadku pilnej potrzeby przejmujemy w ramach natychmiastowej pomocy przy PHP2Shell inwentaryzację, poprawkę, restart i poszukiwanie śladów w całości.
Podsumowanie
Właściwa odpowiedź na „samemu czy usługodawca?” rzadko bywa czarno-biała. Kto zna swoje systemy, prowadzi obsługiwane wersje PHP i potrafi udokumentować, że załatano i zrestartowano, często poradzi sobie z PHP2Shell sam. Kto ma stare systemy, niejasne stany lub oznaki włamania, nie powinien się wahać z uzyskaniem pomocy.
Częste pytania
Kiedy powinienem zlecić pracę usługodawcy bezpieczeństwa IT?
Przede wszystkim gdy istnieją oznaki włamania, gdy działają stare wersje PHP bez oficjalnej aktualizacji, gdy wewnątrz nie ma nikogo z uprawnieniami do serwera i doświadczeniem lub gdy dotyczy to danych osobowych i kwestii ubezpieczeniowych.
Czy moja firma hostingowa nie może po prostu tego załatwić?
W hostingu współdzielonym i wielu planach zarządzanych firma hostingowa sama łata PHP. Proszę kazać sobie pisemnie potwierdzić stan poprawek i restart. Za Państwa aplikację, wtyczki i sprawdzenie pod kątem śladów firma hostingowa zwykle nie odpowiada.
Co powinienem przygotować, zanim zadzwonię do usługodawcy?
Listę dotkniętych stron i serwerów, drogi dostępu, osoby kontaktowe z uprawnieniami decyzyjnymi i krótki opis tego, co zwróciło Państwa uwagę. Do tego czasu proszę niczego nie usuwać ani nie zmieniać, co mogłoby zawierać ślady.
Czy istnieje droga pośrednia między robieniem samemu a oddaniem wszystkiego?
Tak. Często własny zespół przejmuje rutynę, na przykład aktualizacje i restarty, a usługodawca sprawdzanie śladów, ocenę lub dokumentację. Ważny jest jasny podział, kto co robi.