Články: 113

Blog: PHP2Shell, bezpečnosť serverov a núdzová pomoc

Zaradenie situácie, návody pre administrátorov a pomôcky pri rozhodovaní pre vedenie. Zoradené podľa témy, každý článok so zdrojmi.

Núdza cez WhatsApp

Situácia a zaradenie Hosting a distribúcie Detekcia a forenzná analýza Hardening a konfigurácia Bezpečný vývoj Manažment a právo Pomôcky pri rozhodovaní

Situácia a zaradenie

Články: 17

001

PHP2Shell: čo je preukázané a čo nie

Kontrola faktov k PHP2Shell: ktoré tvrdenia pochádzajú z primárnych zdrojov, ktoré z mediálnych správ a ktoré tvrdenia sa neudržia.

Čítať ďalej →002

Prečo sa zraniteľnosť PHP stala známou pred záplatou

Podľa správ sa podrobnosti o PHP2Shell dostali na verejnosť pred skončením embarga. Vysvetľujeme priebeh a čo znamená pre plánovanie záplat.

Čítať ďalej →003

Úrady odpájajú weby od siete: čo sa z toho môžu naučiť podniky

Mainz, hesenská vláda a BKA preventívne odpojili weby od siete. Čo sa z toho môžu podniky naučiť pre vlastné rozhodovanie.

Čítať ďalej →004

BSI stupeň varovania oranžový: čo zaradenie znamená

BSI zaraďuje PHP2Shell do stupňa 3 / oranžový. Čo stupnica hovorí, čo nie, a ako podniky premenia zaradenie na rozhodnutia.

Čítať ďalej →005

Čo k PHP2Shell radia CERT-EU a CERT-Bund

Oficiálne miesta sa zhodujú: ihneď záplatovať, inak izolovať. Porovnávame odporúčania a ukazujeme, ako izolácia vyzerá v praxi.

Čítať ďalej →006

Ochranné pravidlá Cloudflare proti PHP2Shell: čo zvládnu a čo nie

Cloudflare včas nasadil ochranné pravidlá proti PHP2Shell. Prečo pomáhajú, prečo aj tak nenahrádzajú aktualizáciu PHP a ktoré nastavenia skontrolovať.

Čítať ďalej →007

22,6 milióna vystavených inštancií: ako čísla správne zaradiť

Unit 42, CybelAngel a ďalší uvádzajú o PHP2Shell veľmi rozdielne čísla. Vysvetľujeme, čo sa počítalo a ktoré číslo je pre vás skutočne dôležité.

Čítať ďalej →008

PHP2Shell za päť minút: brífing pre vedenie firmy

Bezpečnostná zraniteľnosť PHP2Shell na jednej strane pre rozhodovateľov: situácia, riziko, päť otázok pre IT a rozhodnutia na dnes.

Čítať ďalej →009

Bezpečnostná zraniteľnosť PHP jednoducho vysvetlená

PHP2Shell pre netechnikov: s obrazmi z bežného života, malým slovníkom a tromi typickými východiskovými situáciami, čo robiť ako prevádzkovateľ webu.

Čítať ďalej →010

PHP2Shell: 15 otázok zákazníkov hostingu

Váš web leží u poskytovateľa hostingu a chcete vedieť, čo musíte pri PHP2Shell urobiť sami? Tu je 15 najčastejších otázok s krátkymi odpoveďami.

Čítať ďalej →011

Prečo update WordPress proti PHP2Shell nepomáha

Mnohí prevádzkovatelia po titulkoch aktualizovali WordPress a cítia sa bezpečne. Prečo to pri PHP2Shell nestačí a čo namiesto toho rozhoduje.

Čítať ďalej →012

PHP2Shell a Log4Shell: čo majú zraniteľnosti spoločné

Mnohí porovnávajú PHP2Shell s Log4Shell z roku 2021. Čo porovnanie unesie, kde krívá a ktoré poučenia z vtedy dnes pomáhajú.

Čítať ďalej →013

Hromadné skeny nezaplátaného PHP: ako prebiehajú automatizované útoky

Po PHP2Shell útočníci automatizovane prehľadávajú internet kvôli zraniteľným serverom. Ako to prebieha, prečo veľkosť nehrá rolu a čo vás ochráni.

Čítať ďalej →014

Časové okno medzi záplatou a útokom

Pri PHP2Shell boli pokusy o útok už pred záplatou. Vysvetľujeme fázy časového okna, ako zmerať vlastné a ako ho skrátiť.

Čítať ďalej →015

Po PHP2Shell: prečo sú ďalšie hlásenia pravdepodobné

PHP2Shell nie je záplatou z 21. októbra uzavreté. Prečo treba čakať ďalšie hlásenia a ako na ne svoj tím pripraviť.

Čítať ďalej →016

PHP2Shell: obraz situácie prvého týždňa

Týždeň po prvom pozorovanom pokuse o útok: stav záplat, varovaní úradov, útokov a vypnutí, čisto oddelený podľa zdrojov.

Čítať ďalej →017

Nebezpečné falošné tipy k PHP2Shell, ktoré práve kolujú

Blokovať cookies, skrývať chybové hlásenia, aktualizovať len CMS: deväť rád k PHP2Shell, ktoré vytvárajú falošný pocit bezpečia, a čo skutočne rozhoduje.

Čítať ďalej →

Hosting a distribúcie

Články: 18

018

Zmena verzie PHP v zákazníckej zóne hostingu

Ako v zákazníckej zóne poskytovateľa hostingu prepnúť verziu PHP, ktorú verziu zvoliť a čo skontrolovať pred prepnutím a po ňom.

Čítať ďalej →019

Debian a Ubuntu: je môj balík PHP zaplátaný?

Ktoré balíky PHP Debian a Ubuntu proti PHP2Shell opravili, ako presne porovnať nainštalovaný stav a na čom doklad zlyháva.

Čítať ďalej →020

RHEL, AlmaLinux a Rocky Linux: kontrola záplaty PHP

Čo Red Hat k PHP2Shell zverejnil, ako na RHEL a jeho klonoch doložiť stav balíka a prečo reload nestačí.

Čítať ďalej →021

Repozitár sury.org: balíky PHP z externého zdroja

Mnohé servery Debian a Ubuntu získavajú PHP z repozitára sury. Čo to po PHP2Shell znamená pre aktualizácie, doklady a staré verzie PHP.

Čítať ďalej →022

Repozitár Remi: udržiavať PHP na systémoch RHEL aktuálne

Remi dodáva aktuálne verzie PHP pre rodinu RHEL, ako modul alebo paralelne inštalovateľné. Ako skontrolovať stav po PHP2Shell a nezabudnúť na žiadnu vetvu.

Čítať ďalej →023

Prečo php -v po aktualizácii ukazuje rovnaké číslo

Aktualizácia prebehla, no php -v hlási starú verziu. Väčšinou ide o backport, nie o chybu. Takto rozlíšite neškodné prípady od skutočných problémov.

Čítať ďalej →024

Doloženie čísel CVE v changelogu balíka

Kto musí vedeniu, audítorom alebo poisťovateľom doložiť záplatu PHP, potrebuje viac než číslo verzie. Takto sa záznam v changelogu stane dokladom.

Čítať ďalej →025

Zmena poskytovateľa hostingu po bezpečnostnom incidente: na čo dbať?

Po incidente je túžba po novom poskytovateľovi hostingu pochopiteľná. Aby sa pri zmene neprenesol aj útočník, záleží na poradí krokov a na výbere.

Čítať ďalej →026

Viac verzií PHP na jednom serveri: každú zaplátať zvlášť

Na mnohých serveroch beží popri sebe tri, štyri alebo viac inštalácií PHP. Po PHP2Shell treba každú nájsť, aktualizovať a reštartovať.

Čítať ďalej →027

Vypnutie starých verzií PHP v hostingovom paneli

PHP2Shell je dobrý dôvod zbaviť sa starých verzií PHP. Postupujte v troch fázach, aby nevypadol bez povšimnutia žiadny web ani cronjob.

Čítať ďalej →028

Plesk: ako rozumieť handlerom PHP (FPM, FastCGI, modul Apache)

Aký handler PHP používa Plesk pre web, rozhoduje o izolácii, konfigurácii a riziku. Porovnanie s ohľadom na PHP2Shell.

Čítať ďalej →029

CloudLinux a alt-php: čo by mali vedieť zákazníci hostingu

Na serveroch s CloudLinuxom bežia weby často na vlastných balíkoch alt-php. Každá z týchto verzií potrebuje vlastnú záplatu a nasadiť ju môže len prevádzkovateľ servera.

Čítať ďalej →030

PHP na NAS, firewalloch a zariadeniach: zabudnuté systémy

PHP nepoužívajú len webové servery. Dotknúť sa môže aj NAS, firewallov a odborných zariadení s webovým rozhraním. Záplatovať tam spravidla môže len výrobca, dostupnosť si regulujete sami.

Čítať ďalej →031

PHP u poskytovateľov cloudu a PaaS: kto záplatuje runtime?

Pri platformových službách závisí záplata PHP od modelu prevádzky. Rozhodujúci je runtime, ktorý skutočne web poskytuje, nie lokálne prostredie ani kód aplikácie.

Čítať ďalej →032

Oficiálne obrazy PHP Docker: tagy, digesty a nové zostavenie

Tag oficiálneho obrazu PHP je ukazovateľ, ktorý sa časom presúva na nové stavy. Kto vie, čo znamená tag, variant a digest, vyberie správny obraz a vie doložiť stav záplat.

Čítať ďalej →033

CI/CD: automatické nové zostavenie obrazov PHP

Obraz zastaráva aj bez zmeny kódu. Časovo riadené buildy, kontrola verzie a nasadenie podľa digestu dostanú záplaty PHP spoľahlivo do produkcie.

Čítať ďalej →034

Dlhodobá podpora starých verzií PHP: možnosti a hranice

Kto nemôže hneď prejsť z PHP 8.1 alebo staršieho, nájde dlhodobú podporu u distribúcií, tretích strán a komerčných služieb. Čo tieto cesty poskytujú, čo potrebujete písomne a kde sú hranice.

Čítať ďalej →035

Aktualizácia PHP vo Windows

Vo Windows neexistuje automatická aktualizácia PHP. Kto vyberie správny variant, skontroluje stiahnutie a reštartuje všetky procesy, dostane záplatu PHP2Shell čisto na každý počítač.

Čítať ďalej →

Detekcia a forenzná analýza

Články: 18

036

Varovný signál: webový server spúšťa shell

Ak proces PHP-FPM alebo webového servera spustí shell, je to jeden z najsilnejších varovných signálov vlámania. Ako preveriť strom procesov, zaradiť výnimky a vzorec trvalo sledovať.

Čítať ďalej →037

Hľadanie podozrivých procesov na serveroch s Linuxom

Škodlivé procesy sa maskujú neškodnými názvami, bežia z dočasných priečinkov alebo zo zmazaných súborov. Niekoľkými čítacími príkazmi nájdete nápadnosti a zaradíte ich.

Čítať ďalej →038

Rozpoznanie skrytých cronjobov ako zadných vrátok

Útočníci využívajú plánované úlohy, aby sa po vyčistení vrátili. Takto úplne skontrolujete crontaby, adresáre cron, časovače systemd a úlohy at a rozpoznáte podozrivé záznamy.

Čítať ďalej →039

Hľadanie nedávno zmenených súborov na webovom serveri

Po možnom vlámaní záleží na tom, čo sa na serveri zmenilo. Ako hľadať podľa časových okien, správne využiť mtime a ctime a porovnať s balíkmi, Gitom a zálohami.

Čítať ďalej →040

Súbory PHP v priečinku na nahrávanie: správny výklad nálezov

Súbor PHP v priečinku na nahrávanie je takmer vždy výstražný znak, no nie každý je škodlivý kód. Ako nález vyhodnotiť bez zničenia stôp a objasniť, či ho niekto zavolal.

Čítať ďalej →041

Rozpoznanie zahmleného kódu PHP

Nečitateľný kód PHP s eval a base64_decode je klasickým znakom votrelého škodlivého kódu. Aké vzorce hľadať, ako ich nájsť bezpečne a kedy je zahmlenie legitímne.

Čítať ďalej →042

Kontrola odchádzajúcich spojení servera

Webový server odpovedá predovšetkým na požiadavky. Ak sám nadväzuje spojenia na neznáme ciele, môže to znamenať riadenie útočníkmi alebo únik dát. Ako odchádzajúcu prevádzku skontrolovať a obmedziť.

Čítať ďalej →043

Hľadanie cudzích účtov administrátora v CMS a na serveri

Neznámy administrátor je často najjednoduchšie zadné vrátko. Ako hľadať cudzie účty úroveň po úrovni, aj tie, ktoré rozhranie skrýva.

Čítať ďalej →044

Hľadanie a odstránenie neznámych kľúčov SSH

Votrelecký kľúč SSH otvára útočníkom dvere aj vtedy, keď sú všetky heslá zmenené. Ako nájsť každý súbor authorized_keys a skontrolovať každý záznam.

Čítať ďalej →045

Kryptominer na webovom serveri: príznaky a postup

Trvalo plný procesor bez toho, aby pribudlo návštevníkov: môže to byť kryptominer. Ako skontrolovať záťaž, nájsť proces a jeho mechanizmy opätovného spúšťania a postupovať usporiadane.

Čítať ďalej →046

Server rozosiela spam: ako nájsť príčiny

Nedoručiteľné e-maily, zoznamy blokovaných adries, sťažnosti: keď váš server rozosiela spam, stojí za tým zvyčajne skript alebo zneužitá schránka. Ako nájsť zdroj.

Čítať ďalej →047

SEO spam a cudzie stránky v indexe Google

Pod vašou doménou sa zrazu umiestňujú stránky o liekoch alebo značkovom tovare. Takto zistíte, odkiaľ SEO spam pochádza, a dostanete ho z indexu.

Čítať ďalej →048

Web presmerúva na cudzie stránky

Návštevníci pristávajú na súťažiach alebo pochybných e-shopoch, vy však nič nevidíte? Takto nájdete vrstvu, v ktorej presmerovanie sídli, a odstránite ho.

Čítať ďalej →049

Zabezpečte dôkazy skôr, než server nainštalujete odznova

Nová inštalácia odstráni útočníka, ale aj všetky stopy. Kto predtým investuje hodinu do zabezpečenia dôkazov, vie neskôr povedať, čo sa stalo.

Čítať ďalej →050

Vytvorenie časovej osi incidentu

Kedy útočník prišiel, čo robil, kedy sa to zistilo? Prehľadná časová os odpovedá na tieto otázky a je základom pre oznámenia, poistenie a správu.

Čítať ďalej →051

Porovnanie jadrových súborov CMS s originálom

Porovnanie s čistým originálom ukáže každý zmenený súbor, bez ohľadu na to, či ho skener pozná. Takto zostavíte porovnanie pre WordPress, projekty Composer a systémové balíky.

Čítať ďalej →052

Kontrola databázy na votknutý kód

Kto kontroluje len súbory, prehliadne polovicu. Takto prehľadáte obsah, nastavenia, triggery a účty databázy na votknutý kód, čítacím spôsobom a na kópii.

Čítať ďalej →053

Skenery malvéru pre weby: čo nájdu a čo nie

Skener nehlási nič, takže je všetko v poriadku? Nie nevyhnutne. Aké druhy skenerov webov existujú, čo vidí každý z nich a čo zásadne vidieť nemôže.

Čítať ďalej →

Hardening a konfigurácia

Články: 20

054

Izolácia poolov PHP-FPM pre každý web

Vlastný pool pre každý web je začiatok, nie koniec. Takto skontrolujete existujúce pooly a sprísnite sockety, prípony, stavové stránky, zdroje a protokoly.

Čítať ďalej →055

Správne nastavenie memory_limit

memory_limit obmedzuje pamäť na jednu požiadavku PHP. Po PHP2Shell php.net dočasne radí opak. Čo platí v bežnej prevádzke, v prechodnom období a po aktualizácii.

Čítať ďalej →056

Zmysluplné obmedzenie post_max_size a upload_max_filesize

Limity uploadu pôsobia na troch miestach: vo webovom serveri, v PHP a v aplikácii. Takto hodnoty nastavíte zosúladene, aj s prechodnými hodnotami php.net k PHP2Shell.

Čítať ďalej →057

Vypnutie session.upload_progress: správne a trvalo

Náprava proti CVE-2026-115560 a jedno z prechodných opatrení k PHP2Shell sa nastaví rýchlo. Aby vydržala, musí byť na správnom mieste, zablokovaná a po každej aktualizácii znova overená.

Čítať ďalej →058

expose_php a hlavičky Server: skrytie údajov o verzii

PHP, Nginx a Apache štandardne uvádzajú číslo verzie v každej odpovedi. Pred útokmi to nechráni, skenerom to však dáva pohodlný zoznam cieľov. Takto to vypnete a prehľad si aj tak zachováte.

Čítať ďalej →059

display_errors off: vypnutie chybových výstupov v produkcii

Viditeľné chybové hlásenia PHP prezrádzajú cesty, názvy databáz a verzie. Takto ich vypnete v PHP, vo frameworku a vo webovom serveri bez straty prehľadu o chybách.

Čítať ďalej →060

php_admin_value: zablokovanie nastavení proti prepísaniu

Bezpečnostné nastavenie je na málo, ak ho aplikácia jedným riadkom kódu znova zmení. Pomocou php_admin_value a php_admin_flag určíte hodnoty pre PHP-FPM a Apache záväzne.

Čítať ďalej →061

Nastavenie pamäťových hraníc pomocou systemd a cgroups

php.net odporúča ako prechodné opatrenie k PHP2Shell memory_limit=-1 a pamäťovú hranicu mimo PHP. Takto túto hranicu nastavíte pomocou systemd a cgroups, aby jeden worker nestiahol celú službu.

Čítať ďalej →062

Bezpečná konfigurácia Nginx pre PHP

Väčšina slabín v nastaveniach Nginx pre PHP nie je v Nginx, ale v niekoľkých riadkoch lokácie PHP. Takto odovzdanie do PHP-FPM nastavíte tak, aby sa vykonávali len zamýšľané skripty.

Čítať ďalej →063

Bezpečná konfigurácia Apache pre PHP

Apache je flexibilný a práve to ho robí náchylným na chybnú konfiguráciu. Takto napojíte PHP cez PHP-FPM, uzavriete .htaccess ako zadné vrátko a bezpečne nastavíte najdôležitejšie jadrové voľby.

Čítať ďalej →064

Zákaz vykonávania PHP v priečinkoch s uploadmi

Webshell potrebuje dve veci: priečinok, do ktorého sa dá zapisovať, a server, ktorý ju vykoná. Takto jej vezmete to druhé, a to v každom zapisovateľnom priečinku, nielen v uploads.

Čítať ďalej →065

Filtrovanie požiadaviek uploadu na okraji: príležitosti a riziká

Odborní autori navrhujú blokovať požiadavky uploadu mimo skutočných ciest uploadu na proxy, kým nie je PHP zaplátané. Môže to pomôcť, ale aj ochromiť formuláre a objednávky. Takto postupujte kontrolovane.

Čítať ďalej →066

Nasadenie ModSecurity a OWASP Core Rule Set

Vlastná Web Application Firewall s ModSecurity a OWASP Core Rule Set je bezplatná a výkonná, nie je však samoobslužná. Takto vyberiete engine, začnete bez výpadkov a pravidlá doladíte.

Čítať ďalej →067

Nastavenie Fail2ban pre webové servery

Fail2ban blokuje adresy, ktoré sa v protokoloch opakovane objavujú. Pre webové servery prináša hotové filtre a niekoľkými riadkami pribudnú vlastné. Takto ho nastavíte bez vylúčenia seba alebo svojich zákazníkov.

Čítať ďalej →068

Firewall pre webové servery: otvárať len potrebné porty

Webový server potrebuje smerom von spravidla len dva porty. Napriek tomu na mnohých serveroch v internete počúvajú databázy, PHP-FPM alebo správcovské rozhrania. Takto nájdete otvorené služby a zatvoríte, čo sa nepoužíva.

Čítať ďalej →069

Automatické bezpečnostné aktualizácie na serveroch Linux

Podľa správ distribúcie dodávali backporty PHP sčasti už 21. októbra 2026, v deň záplat. Kto používa automatické bezpečnostné aktualizácie, mal ich na serveri rýchlo. Aby zabrali, treba reštarty, zdroje tretích strán a kontrolu.

Čítať ďalej →070

Least Privilege: práva používateľa webservera

Votrelecký kód beží s právami používateľa webservera. To, čo tento účet smie, rozhoduje o tom, ako ďaleko sa útočník dostane. Takto obmedzíte shell, sudo, cron, databázu a súborový systém na nevyhnutné.

Čítať ďalej →071

Odtienenie admin sekcií cez IP, VPN alebo dodatočnú ochranu

Prečo backend webu nemusí byť dostupný pre celý svet a ako ho odtienite cez povolenie IP, VPN alebo predradené prihlásenie bez toho, aby ste vyradili samých seba.

Čítať ďalej →072

Správna konfigurácia TLS a HTTPS

Aké verzie TLS a cipher suites by mal dnes webserver ponúkať, na čom sa odporúčania zakladajú a ako skontrolujete Nginx, Apache a odchádzajúce spojenia z PHP.

Čítať ďalej →073

Benchmarky CIS a moduly BSI pre webservery

Aké štandardy spevnenia existujú pre webservery s Linuxom, v čom sa líšia benchmarky CIS a moduly IT-Grundschutz a ako z nich vytvoríte preveriteľnú smernicu pre svoje servery PHP.

Čítať ďalej →

Bezpečný vývoj

Články: 16

074

Bezpečné ukladanie hesiel v PHP: správne použitie password_hash

Ako vývojári ukladajú v PHP heslá pomocou password_hash a password_verify, vyberajú vhodný postup a nahrádzajú staré hashe MD5 alebo SHA-1 bez resetu hesla pre všetkých používateľov.

Čítať ďalej →075

Ochrana pred CSRF v aplikáciách PHP

Ako vývojári zabraňujú Cross-Site Request Forgery v aplikáciách PHP: tokeny pre každú požiadavku, ktorá niečo mení, kontrola pôvodu v hlavičke a cookies SameSite ako dodatočná vrstva.

Čítať ďalej →076

Validácia a filtrovanie vstupov v PHP pomocou filter_var

Ako vývojári kontrolujú vstupy v PHP pomocou filter_var, filter_input_array a zoznamov povolených hodnôt, ktoré filtre sú zastarané a prečo validácia nenahrádza Prepared Statements ani kódovanie výstupu.

Čítať ďalej →077

Ako zabrániť Command Injection v PHP

Ako vývojári zabraňujú Command Injection v PHP: nahradiť systémové príkazy funkciami PHP, používať proc_open bez shellu, kontrolovať argumenty a nájsť nebezpečné miesta v existujúcom kóde.

Čítať ďalej →078

Ako zabrániť Server-Side Request Forgery (SSRF) v PHP

Ako vývojári zabraňujú tomu, aby aplikácia PHP z cudzieho podnetu dotazovala interné systémy: zoznamy povolených cieľov, obmedzenie protokolov, kontrola preloženej adresy a hranice v sieti.

Čítať ďalej →079

Ako zabrániť XML External Entities (XXE) v PHP

Ako vývojári bezpečne spracúvajú XML v PHP: štandardné správanie libxml, riskantné možnosti ako LIBXML_NOENT, ochrana pomocou Entity Loader a LIBXML_NO_XXE a typické skryté vstupy XML.

Čítať ďalej →080

Type Juggling v PHP: voľné porovnania ako bezpečnostné riziko

Prečo môžu voľné porovnania pomocou == v PHP viesť k bezpečnostným zraniteľnostiam, čo sa zmenilo s PHP 8.0 a ako napíšete porovnania v prihlásení, tokenoch a oprávneniach spoľahlivo.

Čítať ďalej →081

Bezpečné náhodné čísla a tokeny v PHP pomocou random_bytes

Ako vývojári vytvárajú v PHP tokeny pre odkazy na heslo, kľúče API a jednorazové kódy: kryptograficky bezpečné zdroje, dostatočná dĺžka, ukladanie ako hash a obmedzená platnosť.

Čítať ďalej →082

Správna ochrana prístupových údajov a súborov .env

Ako chránite databázové heslá, kľúče API a ďalšie tajomstvá v projektoch PHP: súbory .env mimo webového koreňa, blokovanie vo webservery, úzke práva a usporiadaná výmena po incidente.

Čítať ďalej →083

Verejný priečinok .git: podceňovaný únik údajov

Prečo môže webový koreň nasadený cez Git prezradiť celý zdrojový kód aj s históriou, ako to skontrolujete, okamžite zablokujete a nasadzovanie natrvalo postavíte bez priečinka .git.

Čítať ďalej →084

Záložné súbory vo webovom koreni: .zip, .sql a .bak

Prečo patria výpisy databáz, archívy a záložné kópie vo verejnom priečinku k najčastejším únikom údajov, ako ich nájdete, zablokujete a zistíte, či sa sťahovali.

Čítať ďalej →085

Súbory phpinfo(): prečo musia zmiznúť

Po PHP2Shell si mnohí administrátori rýchlo vytvoria info.php. Prečo sú takéto súbory únikom údajov, ako ich nájdete a ktoré spôsoby kontroly sú lepšie.

Čítať ďalej →086

Udržiavanie závislostí aktuálnych: Composer, npm a pluginy

Projekt pozostáva z troch svetov balíkov: Composer, npm a pluginy CMS. Ako ich všetky tri udržíte aktuálne s pevným rytmom, jasnou zodpovednosťou a testami.

Čítať ďalej →087

Bezpečnostný code review pre projekty PHP

Ako tímy cielene prechádzajú vlastný kód PHP na bezpečnostné zraniteľnosti: druhy reviewov, kritické funkcie, zmysluplné nástroje a kontrolný zoznam.

Čítať ďalej →088

Bezpečné logovanie: protokolovať chyby bez úniku údajov

Logy pomáhajú pri hľadaní chýb a forenznej analýze, rýchlo sa však samy stanú únikom údajov. Čo majú aplikácie PHP protokolovať, čo nikdy a ako logy chrániť.

Čítať ďalej →089

Zabezpečenie API REST v PHP

Rozhrania bývajú horšie chránené než web pred nimi. Najdôležitejšie pravidlá pre API REST v PHP, od oprávnení na úrovni objektu až po obmedzenie rýchlosti.

Čítať ďalej →

Manažment a právo

Články: 14

090

Zmluvy s IT dodávateľmi: jasne upraviť bezpečnostné povinnosti

PHP2Shell ukázal, ako často je nejasné, kto má záplatovať. Ktoré bezpečnostné povinnosti patria do zmlúv s agentúrou, hosterom a IT dodávateľom.

Čítať ďalej →091

Spracúvanie osobných údajov, keď dodávatelia pristupujú na servery

Kto púšťa externých pracovníkov na servery s údajmi zákazníkov, potrebuje spravidla AVV. Čo vyžaduje čl. 28 GDPR a ako v núdzi zorganizujete prístupy v súlade s ochranou údajov.

Čítať ďalej →092

Riadenie zraniteľností pre stredné firmy

Žiadna stredná firma nedokáže spracovať každé hlásenie okamžite. Štíhly cyklus zisťovania, hodnotenia, rozhodovania a dokladovania zabezpečí, že sa najdôležitejšie rieši ako prvé.

Čítať ďalej →093

Vedieť, čo beží: inventár všetkých webov a serverov

Pri PHP2Shell mnohí nezlyhali na záplate, ale na otázke, kde vôbec beží PHP. Takto zostavíte inventár všetkých webov a serverov.

Čítať ďalej →094

Správa záplat ako proces namiesto hasenia požiarov

Kto záplatuje, iba keď horí, stráca v krízovej situácii čas. Ako proces správy záplat s pevnými triedami, oknami a dokladmi spája rutinu a núdzový režim.

Čítať ďalej →095

Núdzové kontakty: koho treba kedy informovať?

V krízovej situácii záleží na tom, koho zastihnete a kedy. Ako zostavíte zoznam IT núdzových kontaktov so spúšťačmi, zástupcami a údajmi, ktoré každý telefonát potrebuje.

Čítať ďalej →096

Koľko stojí napadnutý server: nákladové položky

Napadnutý webový server spôsobí viac nákladov než samotná oprava. Aké nákladové položky vznikajú a ako vlastnými číslami odôvodníte rozpočet na prevenciu.

Čítať ďalej →097

Informovanie zákazníkov po incidente

Povinnosť či dobrovoľnosť: ako sa po incidente rozhodnete, koho informovať, ktoré kanály sú bezpečné a ako pripravíte zákaznícky servis.

Čítať ďalej →098

Dodávateľský reťazec webu: agentúra, hosting, dodávateľ pluginov

PHP2Shell ukázalo, koľko článkov leží medzi záplatou a vaším webom. Ako svoj dodávateľský reťazec poznáte, zabezpečíte a zachytíte výpadky jednotlivých článkov.

Čítať ďalej →099

Bezpečnostné povedomie administrátorov a redaktorov: security awareness vo webovom tíme

Kto spravuje weby, rozhoduje o bezpečnosti denne, často bez toho, aby si to uvedomil. Ako administrátorov a redaktorov zaškoliť podľa rolí a bez záplavy prezentácií.

Čítať ďalej →100

Núdzové cvičenie pri stole: prejsť incident webservera

Cvičenie pri stole stojí jedno popoludnie a ukáže, či váš núdzový plán obstojí. Tu nájdete hotový scenár pre incident na webserveri s PHP.

Čítať ďalej →101

ISO 27001 a TISAX: čo sa týka webserverov

Kto prevádzkuje ISMS podľa ISO 27001 alebo má label TISAX, musí myslieť aj na webservery. Tu sú požiadavky, ktoré sa ich týkajú, a doklady, ktoré sa po PHP2Shell počítajú.

Čítať ďalej →102

VdS 10000: informačná bezpečnosť pre malé a stredné podniky

VdS 10000 je štíhly rámec pre informačnú bezpečnosť v stredných firmách. Čo vyžaduje, čo prišlo nové v roku 2025 a čo to znamená pre weby a webservery.

Čítať ďalej →103

Lessons Learned: po incidente sa zlepšiť

Po incidente je pred ďalším. Štruktúrovaný rozbor bez hľadania vinníkov premení zlý týždeň na merateľný pokrok.

Čítať ďalej →

Pomôcky pri rozhodovaní

Články: 10

104

Okamžitý kontakt

Každá hodina sa počíta. Napíšte nám hneď.

Stručne opíšte systém, verziu PHP a svoje pozorovanie. Ozveme sa, vyjasníme situáciu a budeme pracovať na diaľku, kým nebude incident uzavretý a zdokumentovaný.

Núdza cez WhatsApp Zavolať