# Web presmerúva na cudzie stránky

> Váš web presmerúva na cudzie stránky? Skontrolujte DNS, CDN, webový server, kód PHP, databázu a externé skripty vrstvu po vrstve a nájdite príčinu.

Zdroj: https://phpsos.de/sk/blog/website-leitet-um/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Ak web presmerúva na cudzie stránky, príčina sa skrýva v jednej zo šiestich vrstiev: DNS, CDN alebo proxy, konfigurácia webového servera, kód PHP, databáza alebo vložené skripty. Keďže mnohé presmerovania fungujú len za určitých podmienok, testujte cielene s rôznymi identifikátormi a zdrojovými stránkami. Najprv chráňte návštevníkov, zabezpečte stopy a po odstránení uzavrite vstupnú bránu.

## Keď zákazníci pristávajú na súťažných stránkach

Hlásenie zvyčajne prichádza zvonka. Zákazník napíše, že po otvorení vašej stránky skončil na súťaži alebo na pochybnom e-shope. Skontrolujete to na vlastnom počítači a všetko vyzerá normálne. To nie je rozpor, ale zámer: presmerovania po hackerskom útoku sú postavené tak, aby ich prevádzkovatelia spozorovali čo najneskôr.

Pre vašu firmu je to ožehavé. Návštevníci strácajú dôveru, vyhľadávače a prehliadače môžu zobrazovať varovania a na cieľových stránkach niekedy čaká podvod alebo škodlivý softvér. Presmerovanie je navyše takmer nikdy jediné, čo útočník zanechá.

Po PHP2Shell, teda po zraniteľnostiach CVE-2026-109618 a CVE-2026-109619 s vykonaním kódu bez prihlásenia, patria presmerovania medzi viditeľné následky, ktoré by prevádzkovatelia mali brať vážne. Nie sú špecifickým znakom PHP2Shell, keďže potvrdené indikátory kompromitácie (Indicators of Compromise) neexistujú. Ukazujú však, že niekto mohol meniť obsah vášho webu.

Presmerovania často neprichádzajú samy. Kto presmerúva návštevníkov, často navyše vytvára spamové stránky pre vyhľadávače, aby zachytil ešte viac návštevnosti. Ak Google už zobrazuje upozornenie na hacknutý web, postup kontroly opisuje sprievodca [Odstránenie varovania Google](https://phpsos.de/sk/ratgeber/google-warnung-entfernen/). Cudzie stránky vo vyhľadávacom indexe rieši príspevok [SEO spam a cudzie stránky v indexe Google](https://phpsos.de/sk/blog/seo-spam-im-google-index/).

## Prečo web presmerúva len niekedy

Podmienené presmerovania vyhodnocujú znaky požiadavky. Často ide o tieto:

- **Pôvod:** presmerovaný je len ten, kto prichádza z výsledku vyhľadávania. Priame otvorenia zobrazia normálnu stránku.
- **Zariadenie:** postihnuté sú len mobilné zariadenia alebo určité prehliadače.
- **Opakovanie:** presmerovanie sa uplatní raz na návštevníka, potom nastaví cookie a mlčí.
- **Prihlásenie:** kto je prihlásený v CMS, nikdy nič nevidí.
- **Čas alebo náhoda:** presmerovanie sa uplatní len pri časti otvorení.

Netestujte preto len na pracovisku. Čítacím dopytom uvidíte, ako server odpovedá na rôzne požiadavky:

```bash
# Bežné otvorenie: stavový kód a cieľ možného presmerovania
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' https://www.ihre-domain.de/

# Otvorenie ako z mobilného zariadenia, ktoré prichádza z vyhľadávania
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' \
  -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 Mobile/15E148" \
  -e "https://www.google.com/" https://www.ihre-domain.de/
```

Ak sa cudzí cieľ objaví len pri druhom dopyte, presmerovanie sídli na serveri. Ak oba dopyty vyzerajú nenápadne, môže sa diať v prehliadači cez JavaScript. Vtedy pomôže pohľad do zdrojového kódu doručenej stránky alebo sieťové zobrazenie vývojárskych nástrojov v prehliadači, najlepšie v súkromnom okne.

## Web presmerúva: kontrola šiestich vrstiev

Postupujte zvonka dovnútra. Vyhnete sa tak hodinám hľadania v kóde, kým príčina leží v zázname DNS:

| Vrstva | Typická príčina | Kontrola |
|---|---|---|
| Doména a DNS | zmenený záznam A alebo menný server | porovnať záznamy DNS so známym správnym stavom, skontrolovať prístup k registrátorovi |
| CDN alebo proxy | cudzie presmerovacie alebo stránkové pravidlo | prezrieť pravidlá v zákazníckej sekcii poskytovateľa |
| Webový server | pravidlá v `.htaccess` alebo v konfigurácii servera | hľadať pravidlá `Rewrite` a `Redirect` s podmienkami |
| Kód PHP | dodatočný kód vo vstupných súboroch, šablónach alebo rozšíreniach | porovnať jadrové súbory s originálom |
| Databáza | zmenené nastavenia adries, skripty v obsahu alebo v možnostiach | cielene hľadať cudzie adresy a skripty |
| Externé skripty | kompromitované vloženie od tretej strany | vypísať a zhodnotiť zdroje vložených skriptov |

Vonkajšie vrstvy sa radi preskakujú, pretože neležia na vlastnom serveri. Práve preto sú nebezpečné: kto prevzal účet u registrátora alebo u poskytovateľa CDN, nepotrebuje prístup k serveru. Skontrolujte tam popri pravidlách aj to, kto má prístup a či je aktívne dvojfaktorové prihlasovanie.

Pre vrstvu webového servera sa hodia čítacie vyhľadávania pravidiel, ktoré reagujú na pôvod alebo zariadenie:

```bash
# Presmerovacie pravidlá s podmienkami vo všetkých súboroch .htaccess
grep -rn --include='.htaccess' -iE 'Rewrite(Cond|Rule)|Redirect' /var/www/ihre-website

# Presmerovania v konfigurácii servera (Apache a Nginx)
grep -rn -iE 'Rewrite|Redirect|return 30[12]' /etc/apache2/ /etc/nginx/ 2>/dev/null
```

Pre vrstvu PHP opisuje postup príspevok [Porovnanie jadrových súborov CMS s originálom](https://phpsos.de/sk/blog/cms-kerndateien-vergleichen/). Pre databázu sa oplatí príspevok [Kontrola databázy na votknutý kód](https://phpsos.de/sk/blog/datenbank-auf-schadcode-pruefen/).

## Keď príčina leží mimo servera

Nie každé presmerovanie znamená kompromitovaný server. Vložené skripty tretích strán, napríklad pre chat, štatistiky alebo reklamu, sa vykonávajú priamo v prehliadači návštevníkov. Ak je taký poskytovateľ kompromitovaný alebo expiruje doména, z ktorej vaša stránka ešte načítava skript, môže cez to vzniknúť presmerovanie bez toho, aby sa na vašom serveri zmenil akýkoľvek súbor.

Content Security Policy obmedzuje, z ktorých zdrojov smie prehliadač načítavať skripty, a takéto prípady zviditeľní. Pokyny k tomu nájdete v sprievodcovi [Bezpečnostné hlavičky pre webové stránky](https://phpsos.de/sk/ratgeber/sicherheits-header/). Veľmi zriedka je príčina u samotného návštevníka: reklamný alebo škodlivý softvér v jeho počítači potom presmerúva aj na iných webových stránkach.

## Správne poradie po náleze

1. **Chrániť návštevníkov:** web prepnúť do režimu údržby alebo zablokovať postihnuté oblasti.
2. **Zabezpečiť stopy:** podozrivé pravidlá, súbory a obsah databázy skopírovať s časovou pečiatkou skôr, než ich odstránite.
3. **Odstrániť:** presmerovanie odstrániť a jadrové súbory nahradiť z čistého zdroja.
4. **Uzavrieť vstupnú bránu:** PHP uviesť na opravený stav, aktualizovať CMS a rozšírenia, reštartovať všetkých workerov, obnoviť prístupy.
5. **Otestovať znova:** znova skontrolovať všetkými variantmi z druhého oddielu a sledovať Search Console.

> **Dôležité:**
> Odstránené presmerovacie pravidlo nie je dôkazom čistého webu. Ak sa pravidlo po niekoľkých dňoch vráti, niekde ešte sedí zadné vrátko, ktoré ho zapisuje znova.

## Ako konkrétne pomáha PHP SOS?

- Presmerovanie reprodukujeme s rôznymi identifikátormi a zdrojovými stránkami a zúžime vrstvu, v ktorej sídli.
- Zabezpečíme stopy a odstránime presmerovania, škodlivý kód a zadné vrátka v súboroch, konfigurácii a databáze.
- Pri akútnom napadnutí preberá obmedzenie škôd naša [núdzová pomoc pri hacknutých webových stránkach](https://phpsos.de/sk/leistungen/website-gehackt-notfallhilfe/), kým nie je incident uzavretý a zdokumentovaný.
- Skontrolujeme vložené skripty tretích strán a odporučíme vhodnú Content Security Policy.


## Časté otázky

**Prečo presmerovanie sám nevidím?**  
Mnohé presmerovania sa uplatnia len za určitých podmienok: pre návštevníkov z vyhľadávania Google, len na mobilných zariadeniach, len pri prvej návšteve alebo nie pre prihlásených administrátorov. Testujte preto s rôznymi zariadeniami, bez prihlásenia a cez odkaz z výsledkov vyhľadávania.

**Môže presmerovanie vzniknúť aj bez hackerského útoku?**  
Áno. Podobné účinky môže mať expirovaný plugin, kompromitovaný externý skript, nesprávne záznamy DNS alebo škodlivý softvér v počítači návštevníka. Ak je príčina vo vlastnom počítači, presmerovanie sa spravidla objavuje aj na iných webových stránkach.

**Kde útočníci presmerovania najčastejšie ukrývajú?**  
Typické sú pravidlá v .htaccess alebo v konfigurácii servera, dodatočný kód vo vstupných súboroch aplikácie, zmenené nastavenia adries v databáze a votknuté úryvky JavaScriptu v obsahu alebo šablónach.

**Čo mám urobiť okamžite, ak môj web presmerúva?**  
Chrániť návštevníkov, napríklad cez režim údržby, a zabezpečiť stopy skôr, než niečo zmažete. Potom hľadať príčinu vrstvu po vrstve a uzavrieť vstupnú bránu. Odstránené pravidlo bez uzavretej zraniteľnosti sa spravidla vráti.

## Zdroje

- [Nápoveda Google Search Console](https://support.google.com/webmasters/)
- [Dokumentácia Apache HTTP Server](https://httpd.apache.org/docs/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)