Stručne: IT inventár webových serverov je zoznam všetkých webov, portálov, obchodov a serverov s údajmi, ktoré pri bezpečnostnom hlásení potrebujete okamžite: kde to beží, s akou verziou PHP a spôsobom prevádzky, aká je to aplikácia, kto je zodpovedný a ktorých údajov by sa to týkalo. Bez tohto zoznamu sa každá reakcia začína hľadaním. S ním trvá porovnanie pri hlásení, ako je PHP2Shell, minúty namiesto dní.
Prvá otázka znela: Kde u nás vôbec beží PHP?
Keď projekt PHP 21. 10. 2026 zverejnil záplaty a BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporučilo okamžité konanie, pokyn bol jednoznačný: aktualizovať PHP, reštartovať všetky procesy. Pre mnohé firmy však prvým krokom nebola aktualizácia, ale inventúra. Hlavný web bol známy. Ale portál pre obchodných partnerov? Stránka s kariérou u iného poskytovateľa? Vstupná stránka z kampane spred troch rokov? Interná wiki?
Odborná tlač a meracie služby ukázali rozsah problému. Palo Alto Networks (Unit 42) napočítalo viac ako 22,6 milióna exponovaných, potenciálne zraniteľných inštancií. Medzi nimi bude zrejme veľa systémov, na ktoré ich prevádzkovatelia jednoducho už nemyslia.
Čo patrí do IT inventára webových serverov
Použiteľný inventár je tabuľka s jedným riadkom na každý web alebo aplikáciu. Tieto stĺpce sa osvedčili:
| Stĺpec | Príklad | Načo slúži |
|---|---|---|
| Adresa | shop.beispiel.de | jednoznačné priradenie |
| Účel a význam | e-shop, kritický pre tržby | stanovenie priorít |
| Poskytovateľ hostingu alebo miesto | managed server u poskytovateľa X | komu zavolať |
| Server a operačný systém | vServer, Debian | cesta aktualizácií, bezpečnostné zdroje |
| Webový server a spôsob prevádzky PHP | Nginx s PHP-FPM | riziko, napr. mod_php |
| Verzia PHP a stav balíka | 8.3, balík s dátumom | porovnanie s hláseniami |
| Aplikácia a verzia | Shopware, pluginy | hlásenia výrobcov |
| Zodpovedná osoba interne / externe | vedúci IT / agentúra Y | kto koná |
| Spracúvané údaje | zákaznícke účty, objednávky | oznamovacie povinnosti, naliehavosť |
| Zálohy | denne, externe, naposledy otestované dňa … | obnova |
| Posledný doklad o záplate | dátum a doklad | doklad voči tretím stranám |
Spôsob prevádzky si zasluhuje osobitnú pozornosť. Pri PHP2Shell tím PHP zaradil najvyššie riziko pri Apache s mod_php. Kto vie, ktoré systémy bežia takto, môže sa nimi zaoberať ako prvými. Stĺpec so stavom balíka je dôležitý, pretože zobrazené číslo verzie po backportoch často zostáva rovnaké; upozornenia nájdete v článku Ako správne skontrolovať verziu PHP a stav záplat.
Ako nájsť zabudnuté systémy
Známe systémy sa zapíšu rýchlo. Skutočná práca sú tie neznáme. Pri ich vyhľadávaní pomáhajú tieto zdroje:
- Domény a DNS: Prejdite všetky domény firmy a ich subdomény. Každý záznam, ktorý smeruje na webový server, je kandidát.
- Faktúry: Účtovníctvo pozná každého poskytovateľa hostingu, registrátora a cloudu, ktorý dostáva peniaze. Často je to najúplnejší zoznam.
- Agentúry a odborné oddelenia: Marketing, predaj a personálne oddelenie si weby radi objednávajú priamo. Opýtajte sa.
- Známe servery: Na každom serveri konfigurácia ukazuje, aké weby skutočne obsluhuje.
- Zariadenia s webovým rozhraním: NAS, routery a appliance niekedy prinášajú vlastné PHP, pozri PHP na zariadeniach NAS, routeroch a appliance.
Pri kroku 4 pomáha na linuxových serveroch niekoľko príkazov na čítanie. Zobrazujú nakonfigurované weby, služby PHP a pooly FPM:
# Konfigurierte Websites (Apache bzw. Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Bežiace služby a procesy PHP
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# Pooly FPM v Debiane a Ubuntu
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Ak na jednom serveri bežia vedľa seba viaceré verzie PHP, každá patrí do zoznamu. Každú treba aktualizovať a reštartovať osobitne.
Zapíšte aj systémy, ktoré sa vlastne mali vypnúť. Práve tie často stále bežia, roky sa neaktualizovali a zabúda sa na ne. Záznamom „vypnúť do …“ zostane úloha viditeľná.
Udržiavať inventár aktuálny
Inventár je taký dobrý, ako jeho posledná aktualizácia. Tri pravidlá ho udržia pri živote. Po prvé: zodpovedná je jedna osoba a je informovaná o každom novom webe, každom sťahovaní a každom vypnutí, aj keď prácu vykoná agentúra. Po druhé: raz za štvrťrok sa zoznam porovná s DNS, faktúrami a konfiguráciou serverov. Po tretie: inventár je súčasťou núdzového plánu a je dostupný aj mimo vlastného IT, napríklad vytlačený.
Pre firmy s mnohými rozptýlenými systémami, napríklad portálmi pre partnerov, konfigurátormi a prístupmi pre dodávateľov, opisuje typické miesta nálezov článok IT bezpečnosť pre stredné firmy a priemysel. Ako sa inventár začlení do núdzového plánu, nájdete v článku Vypracovanie IT núdzového plánu pre webový server.
Časté chyby pri inventári webových serverov
Mnohé inventáre existujú, ale v krízovej situácii nepomôžu. Príčiny sú podobné:
- Iba servery, žiadne weby: Zoznam uvádza stroje, ale nie to, aké weby na nich bežia a kto za ne zodpovedá odborne. Pri zraniteľnosti potom nikto nevie, ktoré oddelenie je dotknuté.
- Verzia namiesto stavu balíka: „PHP 8.3“ po PHP2Shell vypovedá málo. Až stav balíka a dátum ukážu, či je oprava obsiahnutá.
- Chýbajú externé systémy: To, čo beží u agentúry alebo u poskytovateľa platformy, sa vynechá, lebo „tam nie sme zodpovední“. Zodpovednosť za údaje však zostáva vo firme.
- Žiadne kontaktné osoby: Záznam bez mena a telefónneho čísla zodpovedného miesta stojí v krízovej situácii čas.
- Jednorazová akcia: Inventár vznikne v krízovom týždni a potom ho už nikto neotvorí. Po roku už veľká časť nesedí.
Kto sa týmto piatim bodom vyhne, má pri ďalšom hlásení zoznam, s ktorým sa dá skutočne pracovať.
Ako konkrétne pomáha PHP SOS?
- Spolu s vami zaznamenáme všetky weby a servery, aj zabudnuté, cez DNS, faktúry, dodávateľov a konfiguráciu serverov.
- Pre každý systém zistíme spôsob prevádzky, verziu PHP a skutočný stav balíka.
- Systémy zoradíme podľa dostupnosti, údajov a spôsobu prevádzky a povieme, kde treba konať ako prvé.
- Tam, kde je PHP2Shell ešte otvorený, zraniteľnosť uzavrieme prostredníctvom okamžitej pomoci pri PHP2Shell a doklad zapíšeme do inventára.
Záver: Inventár je najmenej nápadné a zároveň najúčinnejšie bezpečnostné opatrenie. Kto vie, čo beží, môže pri ďalšom hlásení konať okamžite, namiesto aby najprv hľadal.
Časté otázky
Aké údaje potrebuje inventár webových serverov minimálne?
Adresu webu, server alebo poskytovateľa hostingu, spôsob prevádzky PHP, verziu PHP so stavom balíka, aplikáciu s verziou, zodpovednú osobu vo firme aj externe, druh spracúvaných údajov a miesto záloh. S týmito údajmi sa dá každé nové bezpečnostné hlásenie rýchlo porovnať.
Ako nájdem weby, o ktorých už nikto nevie?
Viacerými cestami naraz: správa domén a zóny DNS, faktúry poskytovateľov hostingu a registrátorov, otázky agentúram a odborným oddeleniam a konfigurácia známych serverov. Staré kampaňové stránky, testovacie systémy a subdomény sa tak spravidla objavia.
Kto by mal inventár udržiavať?
Určená osoba, väčšinou v IT alebo vedúci IT. Dôležité je, aby sa tam hlásila každá zmena webov a serverov, aj keď ju iniciovalo odborné oddelenie alebo agentúra.
Stačí tabuľka, alebo je potrebný softvér?
Pre väčšinu stredných firiem stačí dobre udržiavaná tabuľka. Softvér sa oplatí, ak sa má automaticky zachytávať veľa systémov. Rozhodujúca je aktuálnosť, nie nástroj.