Stručne: Dodávateľský reťazec webu siaha od projektu PHP cez distribúciu a poskytovateľa hostingu až po CMS, pluginy, agentúru a zabudované služby. Pre IT bezpečnosť sa počíta každý článok, pretože záplata sa dostane na váš web až vtedy, keď ju všetci posunuli ďalej. Kto reťazec zapíše, pre každý článok určí zodpovedné miesto a doklad a obmedzí prístupy, urobí ho odolným.
Záplata a jej dlhá cesta
Dňa 21. 10. 2026 o 14:00 UTC projekt PHP zverejnil opravy pre PHP2Shell. Tým nebola zraniteľnosť uzavretá ani na jedinom webe. Najprv museli distribúcie ako Debian, Ubuntu alebo rodina RHEL opravy prevziať do svojich balíkov; podľa správ sa backporty čiastočne dodali ešte v ten istý deň. Potom museli poskytovatelia hostingu a administrátori tieto balíky nainštalovať a reštartovať všetky procesy PHP. Až potom bol príslušný web chránený.
Každý článok tohto reťazca môže spôsobiť oneskorenie. A pri každom stojí iná organizácia s vlastnými prioritami. Kto nevie, ako vyzerá jeho reťazec, nevie povedať, kde záplata práve uviazla.
Niektoré reťazce majú ďalšie články, ktoré takmer nikto nepozná. Mnohé servery s Debianom a Ubuntu získavajú PHP nie z distribúcie, ale z repozitára Ondřeja Surého na sury.org, rozšíreného zdroja tretej strany. Podľa správ tam boli poskytnuté zostavenia pre všetky vetvy od 5.6 po 8.5. To je užitočné, ale nie je to bezpečnostný archív Debianu: Kto tento zdroj používa, závisí od iného článku, s vlastným rytmom a vlastnou zodpovednosťou. Či je server tak nastavený, ukazuje zoznam zdrojov balíkov a práve táto informácia patrí do dokumentácie reťazca.
Články dodávateľského reťazca v prehľade
Nasledujúca tabuľka ukazuje typické články webu v PHP a čo môžete od každého požadovať.
| Článok | Typické riziko | Čo by ste mali určiť |
|---|---|---|
| Projekt PHP | zraniteľnosť v interpreteri, koniec podpory | používaná podporovaná verzia, plán na koniec podpory |
| Distribúcia alebo zdroj tretej strany | backport chýba alebo príde neskoro | známy zdroj balíkov, odoberané bezpečnostné hlásenia |
| Poskytovateľ hostingu alebo platformová služba | aktualizácia bez reštartu, žiadna informácia | povinnosť aktualizovať, reštartovať, dokladovať a upozorniť |
| Výrobca CMS | zraniteľnosť v jadre | kanál aktualizácií, zodpovedná osoba |
| Dodávateľ pluginov a tém | opustené alebo nebezpečné rozšírenia | iba udržiavané pluginy z oficiálnych zdrojov |
| Agentúra alebo vývojár | rozsiahle prístupy, nejasná zodpovednosť | osobné prístupy, písomné úlohy |
| Externé skripty a služby | cudzí kód v prehliadači, únik údajov | zoznam, pevné verzie, preverený účel |
Dva príklady z týždňa PHP2Shell ukazujú, ako ľahko sa jeden článok prehliadne. Vercel upozorňuje, že aktualizácia lokálneho vývojového prostredia, kódu aplikácie alebo pluginov nestačí; rozhodujúce je prostredie PHP, ktoré skutočne obsluhuje. Coolify radí aktualizovať prostredie PHP každej aplikácie osobitne, aj za Cloudflare. A podľa správ WordPress.org nepláni vlastnú aktualizáciu proti PHP2Shell, pretože zraniteľnosť je v interpreteri. Kto čaká na CMS, čaká zbytočne.
Zviditeľniť reťazec: päť krokov
Takto zavediete poriadok do závislostí svojich webov:
- Zapísať reťazec pre každý web: od prostredia PHP po externé skripty, s názvom dodávateľa alebo osoby.
- Určiť zodpovednosť pre každý článok: Kto inštaluje aktualizácie, kto kontroluje, kto koho informuje?
- Dohodnúť doklady: Čo sa považuje za vybavené? Pri prostredí PHP napríklad stav balíka a reštart, ako opisuje článok Ako sa opýtať poskytovateľa hostingu na stav záplat.
- Obmedziť prístupy: Každá agentúra a každý dodávateľ dostane iba práva, ktoré potrebuje, s osobnými účtami.
- Naplánovať náhradné cesty: Čo robiť, ak článok vypadne, napríklad ak dodávateľ pluginu skončí alebo dodávateľ nie je dostupný?
Opýtajte sa každého dodávateľa, ako vás informuje o kritických zraniteľnostiach. Kto odpovedá iba na požiadanie, je pri situácii ako PHP2Shell rizikom pre váš časový plán. Odpoveď si zapíšte.
Pluginy a rozšírenia: najneprehľadnejšie miesto
Pri mnohých weboch je najväčšia časť dodávateľského reťazca neviditeľná: pluginy a témy, ktoré pribudli v priebehu rokov. Každý pochádza od iného dodávateľa, s vlastným tempom bezpečnostných aktualizácií. Niektorí dodávatelia svoj produkt opustia bez oznámenia. Iné rozšírenia sa získavajú z neoficiálnych zdrojov a nikdy nedostanú aktualizácie.
Tu pomáha jednoduché pravidlo: Každý plugin potrebuje účel, udržiavaného dodávateľa a oficiálny zdroj. Ak niečo z toho chýba, dostane sa na zoznam na výmenu. Podobne to platí pre zabudované služby, ako sú poskytovatelia platieb, rezervačné systémy, chatovacie okná alebo analytické nástroje. Prinášajú na vašu stránku vlastný kód alebo dostávajú údaje vašich návštevníkov. Zaznamenajte, ktoré služby sú zabudované, kto ich objednal a či sa ešte potrebujú. Zabudnutý skript dodávateľa, s ktorým už dávno neexistuje zmluva, je článok bez zodpovednej osoby.
Ako pluginy a balíky udržiavate trvalo aktuálne, opisuje článok Udržiavanie závislostí aktuálnych: Composer, npm a pluginy.
Dodávateľský reťazec, zmluvy a NIS2
Pre firmy, na ktoré sa vzťahuje NIS2, patrí bezpečnosť dodávateľského reťazca výslovne k riadeniu rizík, teda aj vzťahy s dodávateľmi a poskytovateľmi. Podrobnosti nájdete v článku NIS2 a bezpečnosť webservera. Ale aj bez zákonnej povinnosti platí: Outsourcované úlohy zostávajú vaším rizikom. Preto výsledky piatich krokov patria do zmlúv s agentúrou, poskytovateľom hostingu a dodávateľmi; ktoré body by sa tam mali upraviť, opisuje článok Zmluvy s IT dodávateľmi: jasne upraviť bezpečnostné povinnosti. Táto stránka je všeobecná informácia a nie právne poradenstvo.
Ako konkrétne pomáha PHP SOS?
- Spolu s vami zakreslíme dodávateľský reťazec každého webu, od prostredia PHP po externé skripty.
- Pluginy, témy a balíky kontrolujeme z hľadiska stavu údržby a pôvodu a kde je to potrebné, odporúčame náhradu.
- S poskytovateľom hostingu a agentúrou dohodneme, kto zodpovedá za ktoré články a aké doklady sa dodávajú.
- Tam, kde je článok neobsadený, ho trvalo preberáme prostredníctvom bezpečnostnej servisnej zmluvy.
Záver: Bezpečnosť webu je taká silná ako najpomalší článok jeho dodávateľského reťazca. Kto reťazec pozná a každý článok spojí so zodpovedným miestom a dokladom, vie v krízovej situácii, kde záplata uviazla.
Časté otázky
Čo znamená dodávateľský reťazec pri webe?
Všetci zúčastnení, od ktorých práce závisí bezpečnosť vášho webu: projekt PHP, linuxová distribúcia, poskytovateľ hostingu alebo platformová služba, výrobca CMS, dodávatelia pluginov a tém, agentúra a zabudované služby, ako sú poskytovatelia platieb alebo externé skripty.
Zodpovedám za to, ak dodávateľ nezáplatuje?
Zodpovednosť za vlastný web a údaje na ňom spravidla zostáva na vás, aj keď sú úlohy outsourcované. Preto by mali byť zodpovednosti zmluvne jasné a kontrolované. Na právne posúdenie sú príslušní právnik a zodpovedný pracovník pre ochranu údajov.
Stačí, ak poskytovateľ hostingu aktualizuje PHP?
Pre prostredie PHP u poskytovateľa hostingu áno, pokiaľ reštartuje aj všetky procesy a doloží to. Ak časti vašej aplikácie bežia inde, napríklad v kontajneroch, na platformových službách alebo na druhom serveri, musí sa tam aktualizovať každé prostredie osobitne.
Ako spoznám rizikové pluginy?
Varovnými znakmi sú dlho chýbajúce aktualizácie, dodávateľ bez rozpoznateľného bezpečnostného kontaktu, získanie z neoficiálnych zdrojov a funkcie, ktoré už nikto nepoužíva. Takéto pluginy treba nahradiť alebo odstrániť.