Stručne: Či bol server hacknutý cez PHP2Shell, sa nedá vyčítať z jediného znaku. Neexistujú zverejnené, potvrdené Indicators of Compromise; rozpoznanie je založené na analýze správania. Typickými príznakmi sú nové súbory PHP, neznáme cronjoby a nezvyčajné spojenia. Najprv zabezpečte logy od 20. októbra, skôr než niečo zmeníte.
Existujú jednoznačné príznaky útoku PHP2Shell?
Nie, a to je čestná odpoveď. Pri mnohých známych zraniteľnostiach zverejňujú výrobcovia alebo bezpečnostné firmy konkrétne stopy: názvy súborov, kontrolné súčty, adresy IP. Pre PHP2Shell také potvrdené Indicators of Compromise zatiaľ neexistujú.
Čo je známe: podľa správ médií bol prvý pokus o útok pozorovaný 17. októbra, štyri dni pred záplatami z 21. októbra. Cloudflare hlásil ďalšie pokusy. Potvrdené úspešné útoky vo väčšom rozsahu neboli podľa BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) spočiatku známe. Kto bol medzi 17. októbrom a vlastnou záplatou nechránene dostupný, mal by preto preveriť, namiesto aby dúfal.
Pre posúdenie rozhoduje predovšetkým obdobie. Medzi prvým pozorovaným pokusom o útok 17. októbra a záplatami 21. októbra neexistovala žiadna oficiálna aktualizácia. Každý verejne dostupný server s PHP bol v tomto čase potenciálne napadnuteľný. Ako dlho bol váš server otvorený navyše, závisí od toho, kedy sa nasadila aktualizácia a reštartovalo PHP. Čím dlhšie je toto obdobie a čím citlivejšie údaje, napríklad zákaznícke účty, objednávky alebo žiadosti uchádzačov, tým dôkladnejšia by mala byť kontrola.
Typické príznaky, že server bol hacknutý
Po úspešnom spustení kódu sa útočníci spravidla snažia zakotviť sa a server využiť. Z toho vyplývajú príznaky, ktoré nie sú špecifické pre PHP2Shell, ale pri každej kontrole vlámania platia:
- Nové alebo zmenené súbory PHP, najmä v priečinkoch na nahrávanie, cache alebo obrázky, kde inak žiadne súbory PHP neležia.
- Neznáme cronjoby alebo plánované úlohy, napríklad pre používateľa webového servera.
- Nezvyčajné odchádzajúce spojenia na neznáme adresy, vysoké zaťaženie siete alebo odosielanie pošty, ktoré nikto nespustil.
- Nové administrátorské účty v CMS alebo obchode, zmenené heslá, neznáme kľúče SSH.
- Nápadné zaťaženie: trvalo vysoké vyťaženie CPU neznámymi procesmi, často náznak ťažby kryptomien.
- Viditeľné následky: presmerovania na cudzie stránky, spamové stránky v indexe Google, upozornenia v prehliadači alebo v Search Console.
Žiaden z týchto príznakov sám osebe nedokazuje vlámanie a ich absencia nedokazuje opak. Rozhodujúci je celkový obraz.
Prvé kontroly bez zničenia stôp
Skôr než niečo zmažete alebo reštartujete: zabezpečte logy. Odborná tlač radí uchovať logy serverov od 20. októbra. Skopírujte logy webového servera, PHP a systému na bezpečné miesto mimo servera.
Potom pomôžu čisto čítacie kontroly. Cesty a používateľské mená sa líšia podľa systému:
# Súbory PHP zmenené od 17. 10.
find /var/www -type f -name "*.php" -newermt "2026-10-17" -ls
# Súbory PHP v adresároch na nahrávanie (príklad WordPress)
find /var/www -path "*/uploads/*" -name "*.php" -ls
# Cronjoby používateľa webového servera a systémové
crontab -l -u www-data
ls -la /etc/cron.d /etc/cron.daily /var/spool/cron 2>/dev/null
# aktívne sieťové spojenia s procesom
ss -tunp
# posledné prihlásenia
last -n 30
Dbajte na to: útočníci môžu falšovať časové pečiatky súborov. Nenápadný výsledok find preto nie je oslobodenie. Ako cielene vyhodnocovať logy, popisuje stránka Vyhodnotenie logov webového servera po útoku; ako nájsť zadné vrátka, stránka Rozpoznanie a odstránenie webshellov.
Ak nájdete konkrétne náznaky, napríklad neznámy súbor PHP v priečinku na nahrávanie: nemažte, neinštalujte odznova, aplikáciu „rýchlo neopravujte“. Server odpojte od siete alebo izolujte, zabezpečte logy a obraz systému a začnite štruktúrované spracovanie incidentu.
Čo by ste nemali robiť
- Iba záplatovať a pokračovať. Záplata neodstráni už zavlečený škodlivý softvér.
- Podozrivé súbory okamžite mazať. Tým zmiznú doklady o tom, čo sa stalo a ktoré údaje môžu byť dotknuté.
- Server inštalovať odznova, skôr než je zabezpečený stav. Príčina zostane nejasná a zadné vrátka v databáze alebo prístupové údaje prežijú novú inštaláciu.
- Staré zálohy obnovovať bez kontroly. Aj záloha môže už zadné vrátka obsahovať.
- Zabudnúť na prístupové údaje. Po spustení kódu mohli z konfiguračných súborov uniknúť heslá k databáze, kľúče API a iné prístupové údaje. Obnovte ich po vyčistení, nie predtým, aby ich ešte aktívny útočník hneď nečítal.
Ak sa podozrenie potvrdí
Potom ide o viac než techniku. Spolu so zodpovednou osobou pre ochranu údajov preverte, či je potrebné oznámenie podľa GDPR; lehota je 72 hodín od okamihu, keď sa o tom dozviete, podrobnosti na stránke Oznamovacia povinnosť podľa GDPR. Včas informujte svojho poisťovateľa kybernetických rizík, ak existuje, a s právnikom objasnite, či sa má podať trestné oznámenie. K tomu poskytujeme všeobecné upozornenia, nie právne poradenstvo.
Ako konkrétne pomáha PHP SOS?
S naším Incident Response spracujeme podozrenie štruktúrovane:
- Zabezpečiť: logy od 20. októbra a, kde je to potrebné, obraz systému, skôr než sa niečo zmení.
- Vyšetriť: analýza správania súborov, procesov, spojení a účtov; v prípade potreby s použiteľnosťou na súde pomocou IT forenziky.
- Vyčistiť a uzavrieť: odstrániť zadné vrátka, aktualizovať PHP, obnoviť prístupové údaje, spevniť server.
- Zdokumentovať, kým nie je incident uzavretý a zdokumentovaný, ako základ pre ochranu údajov, poistenie a vedenie.
Časté otázky
Dokazuje aktualizácia PHP, že môj server je čistý?
Nie. Záplata uzatvára zraniteľnosť do budúcnosti, ale neodstraňuje už zavlečený škodlivý softvér. Nehovorí ani nič o tom, či sa pred záplatou niekto dostal dnu.
Existuje skener, ktorý spoľahlivo rozpozná útoky PHP2Shell?
Zatiaľ nie. Neexistujú zverejnené, potvrdené Indicators of Compromise, ktoré by skener mohol cielene hľadať. Skenery malvéru nájdu známe webshelly, posúdenie servera sa však opiera o analýzu správania.
Musím podozrenie oznámiť úradu na ochranu údajov?
Závisí to od toho, či môžu byť dotknuté osobné údaje. GDPR stanovuje pri oznamovaných porušeniach ochrany údajov lehotu 72 hodín od okamihu, keď sa o nich dozviete. Vyjasnite si to včas so svojou zodpovednou osobou pre ochranu údajov alebo s právnikom; právne poradenstvo neposkytujeme.
Mám hacknutý server jednoducho nainštalovať odznova?
Nie ako prvý krok. Najprv zabezpečte logy a, ak je to možné, obraz systému. Kto okamžite inštaluje odznova, stratí stopy, ktoré ukazujú, čo sa stalo a ktoré údaje môžu byť dotknuté.