# Som už kompromitovaný? Príznaky po PHP2Shell

> Server hacknutý? Typické príznaky po PHP2Shell, prvé kontroly bez straty stôp a čo urobiť pri podozrení, krok za krokom.

Zdroj: https://phpsos.de/sk/php2shell/bin-ich-gehackt-anzeichen/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Či bol server hacknutý cez PHP2Shell, sa nedá vyčítať z jediného znaku. Neexistujú zverejnené, potvrdené Indicators of Compromise; rozpoznanie je založené na analýze správania. Typickými príznakmi sú nové súbory PHP, neznáme cronjoby a nezvyčajné spojenia. Najprv zabezpečte logy od 20. októbra, skôr než niečo zmeníte.

## Existujú jednoznačné príznaky útoku PHP2Shell?

Nie, a to je čestná odpoveď. Pri mnohých známych zraniteľnostiach zverejňujú výrobcovia alebo bezpečnostné firmy konkrétne stopy: názvy súborov, kontrolné súčty, adresy IP. Pre PHP2Shell také potvrdené Indicators of Compromise zatiaľ neexistujú.

Čo je známe: podľa správ médií bol prvý pokus o útok pozorovaný 17. októbra, štyri dni pred záplatami z 21. októbra. Cloudflare hlásil ďalšie pokusy. Potvrdené úspešné útoky vo väčšom rozsahu neboli podľa BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) spočiatku známe. Kto bol medzi 17. októbrom a vlastnou záplatou nechránene dostupný, mal by preto preveriť, namiesto aby dúfal.

Pre posúdenie rozhoduje predovšetkým obdobie. Medzi prvým pozorovaným pokusom o útok 17. októbra a záplatami 21. októbra neexistovala žiadna oficiálna aktualizácia. Každý verejne dostupný server s PHP bol v tomto čase potenciálne napadnuteľný. Ako dlho bol váš server otvorený navyše, závisí od toho, kedy sa nasadila aktualizácia a reštartovalo PHP. Čím dlhšie je toto obdobie a čím citlivejšie údaje, napríklad zákaznícke účty, objednávky alebo žiadosti uchádzačov, tým dôkladnejšia by mala byť kontrola.

## Typické príznaky, že server bol hacknutý

Po úspešnom spustení kódu sa útočníci spravidla snažia zakotviť sa a server využiť. Z toho vyplývajú príznaky, ktoré nie sú špecifické pre PHP2Shell, ale pri každej kontrole vlámania platia:

- **Nové alebo zmenené súbory PHP,** najmä v priečinkoch na nahrávanie, cache alebo obrázky, kde inak žiadne súbory PHP neležia.
- **Neznáme cronjoby** alebo plánované úlohy, napríklad pre používateľa webového servera.
- **Nezvyčajné odchádzajúce spojenia** na neznáme adresy, vysoké zaťaženie siete alebo odosielanie pošty, ktoré nikto nespustil.
- **Nové administrátorské účty** v CMS alebo obchode, zmenené heslá, neznáme kľúče SSH.
- **Nápadné zaťaženie:** trvalo vysoké vyťaženie CPU neznámymi procesmi, často náznak ťažby kryptomien.
- **Viditeľné následky:** presmerovania na cudzie stránky, spamové stránky v indexe Google, upozornenia v prehliadači alebo v Search Console.

Žiaden z týchto príznakov sám osebe nedokazuje vlámanie a ich absencia nedokazuje opak. Rozhodujúci je celkový obraz.

## Prvé kontroly bez zničenia stôp

Skôr než niečo zmažete alebo reštartujete: zabezpečte logy. Odborná tlač radí uchovať logy serverov od 20. októbra. Skopírujte logy webového servera, PHP a systému na bezpečné miesto mimo servera.

Potom pomôžu čisto čítacie kontroly. Cesty a používateľské mená sa líšia podľa systému:

```bash
# Súbory PHP zmenené od 17. 10.
find /var/www -type f -name "*.php" -newermt "2026-10-17" -ls

# Súbory PHP v adresároch na nahrávanie (príklad WordPress)
find /var/www -path "*/uploads/*" -name "*.php" -ls

# Cronjoby používateľa webového servera a systémové
crontab -l -u www-data
ls -la /etc/cron.d /etc/cron.daily /var/spool/cron 2>/dev/null

# aktívne sieťové spojenia s procesom
ss -tunp

# posledné prihlásenia
last -n 30
```

Dbajte na to: útočníci môžu falšovať časové pečiatky súborov. Nenápadný výsledok `find` preto nie je oslobodenie. Ako cielene vyhodnocovať logy, popisuje stránka [Vyhodnotenie logov webového servera po útoku](https://phpsos.de/sk/ratgeber/logfiles-auswerten/); ako nájsť zadné vrátka, stránka [Rozpoznanie a odstránenie webshellov](https://phpsos.de/sk/ratgeber/webshell-erkennen/).

> **Konajte hneď:**
> Ak nájdete konkrétne náznaky, napríklad neznámy súbor PHP v priečinku na nahrávanie: nemažte, neinštalujte odznova, aplikáciu „rýchlo neopravujte“. Server odpojte od siete alebo izolujte, zabezpečte logy a obraz systému a začnite štruktúrované spracovanie incidentu.

## Čo by ste nemali robiť

- **Iba záplatovať a pokračovať.** Záplata neodstráni už zavlečený škodlivý softvér.
- **Podozrivé súbory okamžite mazať.** Tým zmiznú doklady o tom, čo sa stalo a ktoré údaje môžu byť dotknuté.
- **Server inštalovať odznova, skôr než je zabezpečený stav.** Príčina zostane nejasná a zadné vrátka v databáze alebo prístupové údaje prežijú novú inštaláciu.
- **Staré zálohy obnovovať bez kontroly.** Aj záloha môže už zadné vrátka obsahovať.
- **Zabudnúť na prístupové údaje.** Po spustení kódu mohli z konfiguračných súborov uniknúť heslá k databáze, kľúče API a iné prístupové údaje. Obnovte ich po vyčistení, nie predtým, aby ich ešte aktívny útočník hneď nečítal.

## Ak sa podozrenie potvrdí

Potom ide o viac než techniku. Spolu so zodpovednou osobou pre ochranu údajov preverte, či je potrebné oznámenie podľa GDPR; lehota je 72 hodín od okamihu, keď sa o tom dozviete, podrobnosti na stránke [Oznamovacia povinnosť podľa GDPR](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/). Včas informujte svojho poisťovateľa kybernetických rizík, ak existuje, a s právnikom objasnite, či sa má podať trestné oznámenie. K tomu poskytujeme všeobecné upozornenia, nie právne poradenstvo.

## Ako konkrétne pomáha PHP SOS?

S naším [Incident Response](https://phpsos.de/sk/leistungen/incident-response/) spracujeme podozrenie štruktúrovane:

- **Zabezpečiť:** logy od 20. októbra a, kde je to potrebné, obraz systému, skôr než sa niečo zmení.
- **Vyšetriť:** analýza správania súborov, procesov, spojení a účtov; v prípade potreby s použiteľnosťou na súde pomocou [IT forenziky](https://phpsos.de/sk/leistungen/it-forensik/).
- **Vyčistiť a uzavrieť:** odstrániť zadné vrátka, aktualizovať PHP, obnoviť prístupové údaje, spevniť server.
- **Zdokumentovať,** kým nie je incident uzavretý a zdokumentovaný, ako základ pre ochranu údajov, poistenie a vedenie.


## Časté otázky

**Dokazuje aktualizácia PHP, že môj server je čistý?**  
Nie. Záplata uzatvára zraniteľnosť do budúcnosti, ale neodstraňuje už zavlečený škodlivý softvér. Nehovorí ani nič o tom, či sa pred záplatou niekto dostal dnu.

**Existuje skener, ktorý spoľahlivo rozpozná útoky PHP2Shell?**  
Zatiaľ nie. Neexistujú zverejnené, potvrdené Indicators of Compromise, ktoré by skener mohol cielene hľadať. Skenery malvéru nájdu známe webshelly, posúdenie servera sa však opiera o analýzu správania.

**Musím podozrenie oznámiť úradu na ochranu údajov?**  
Závisí to od toho, či môžu byť dotknuté osobné údaje. GDPR stanovuje pri oznamovaných porušeniach ochrany údajov lehotu 72 hodín od okamihu, keď sa o nich dozviete. Vyjasnite si to včas so svojou zodpovednou osobou pre ochranu údajov alebo s právnikom; právne poradenstvo neposkytujeme.

**Mám hacknutý server jednoducho nainštalovať odznova?**  
Nie ako prvý krok. Najprv zabezpečte logy a, ak je to možné, obraz systému. Kto okamžite inštaluje odznova, stratí stopy, ktoré ukazujú, čo sa stalo a ktoré údaje môžu byť dotknuté.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/)
- [GDPR čl. 33: oznámenie dozornému orgánu](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)