Stručne: Ak máte podozrenie, že váš server bol hacknutý cez PHP2Shell, ozvite sa hneď. Ste postihnutý? Zavolajte. Pomôžeme vám. Od prvej správy preberáme izoláciu, zabezpečujeme stopy, uzatvárame zraniteľnosť, odstraňujeme škodlivý kód a dokumentujeme incident, kým nie je uzavretý.
Teraz nič nemažte a nič neinštalujte odznova. Zmazané súbory a prepísané logy sú stopy, podľa ktorých sa ukáže, či a ako sa niekto dostal dnu. Ak je to potrebné, odpojte server od siete, ale nechajte ho nezmenený. Nahláste núdzový prípad, povieme vám nasledujúci krok.
Ste postihnutý? Príznaky, že PHP2Shell sa už zneužil
PHP2Shell je názov dvoch kritických zraniteľností v samotnom PHP, pomocou ktorých môžu útočníci bez prihlásenia spustiť na diaľku škodlivý kód. Jednoznačný odtlačok zatiaľ neexistuje. Preto rozhoduje, čo server robí, nie čo nájde skener. Na vniknutie poukazujú:
- Procesy webového servera alebo PHP-FPM, ktoré spúšťajú shell, ako
shalebobash. Je to silný varovný signál. - Nové alebo zmenené súbory PHP v adresároch pre nahrávanie, cache alebo temp, ktoré nikto nevytvoril.
- Cronjoby, služby alebo kľúče SSH, ktoré nepoznáte.
- Odchádzajúce spojenia na neznáme ciele, náhle vysoké zaťaženie alebo nezvyčajná prevádzka.
- Požiadavky v logoch od 17. 10. 2026, najmä nápadné nahrávania a požiadavky na relácie pred nasadením záplaty.
- Hlásenia od poskytovateľa hostingu, prehliadača alebo vyhľadávača o spame, malvéri alebo presmerovaniach.
Viac nájdete v časti Som už kompromitovaný?. Ak nie je vidieť žiadny príznak, nie je to dôkaz čistého servera. Znamená to iba, že zatiaľ nič nebolo nápadné.
Čo urobiť hneď
- Nič nemeňte. Žiadne mazanie súborov, žiadne obnovenie zálohy, žiadna nová inštalácia, kým sa nezabezpečia stopy.
- Zabezpečte logy. Požiadajte svojho poskytovateľa hostingu alebo IT, aby neprepisovali prístupové, chybové a systémové protokoly. Odborná tlač radí uchovať logy od 20. 10. 2026.
- Rozhodnite o dostupnosti. Ak údaje unikajú alebo by mohli byť ohrození návštevníci, odpojte stránku od siete alebo ju prepnite do režimu údržby.
- Zozbierajte prístupy. Poznačte si, kto má prístup k serveru, panelu, CMS a databáze. Heslá meňte až po dohode a z čistého zariadenia.
- Informujte ľudí. Vedenie firmy, zodpovednú osobu pre ochranu údajov a pri existujúcej poistke aj poisťovateľa.
- Zavolajte nám alebo nám napíšte. Čím skôr poznáme situáciu, tým viac zostane preukázateľné.
Ako PHP SOS konkrétne pomáha?
Pracujeme na diaľku, bez výjazdu, v celej Európe.
- Zmapovať situáciu: Objasníme, ktoré systémy bežia, aký režim prevádzky PHP sa používa, čo sa zistilo a ktoré údaje môžu byť dotknuté.
- Zabezpečiť a uzavrieť: Zabezpečíme súbory, databázu a logy a pred každou zmenou zaznamenáme stav. Potom zraniteľnosť uzavrieme záplatou alebo, ak ešte nie je možná, prechodnými opatreniami a reštartujeme všetky procesy PHP.
- Skontrolovať a vyčistiť: Hľadáme webshelly, zadné vrátka, cronjoby a cudzie prístupy a odstraňujeme ich alebo stav znovu zostavíme z dôveryhodných zdrojov. Postup popisuje Odstránenie malvéru a webshellov.
- Spevniť a podať správu: Zmeníme dotknuté tajné údaje, doplníme ochranné opatrenia a dodáme správu, ktorá oddeľuje preukázané, pravdepodobné a neznáme.
Ak incident presiahne jeden server, prejdeme na štruktúrovanú Incident Response. Ak sú potrebné dôkazy, ktoré obstoja pred súdom, prizveme IT forenznú analýzu.
Prečo po útoku samotná záplata nestačí
Zraniteľnosti sú v interpreteri PHP, nie v CMS. Projekt PHP vydal 21. 10. 2026 verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Kto potom aktualizoval a reštartoval všetkých workerov, je pred novými útokmi touto cestou chránený. To, čo útočník uložil predtým, však zostáva ležať: webshell, ďalší účet, plánovaná úloha. Práve preto sú dni medzi 17. a 21. 10. mimoriadne dôležité.
K tomu pristupuje druhý bod: Webshell je často iba prvý krok. Kto mohol na webovom serveri spúšťať kód, mohol čítať aj konfiguračné súbory a prevziať z nich prístupy k databáze, pošte a API. Tieto tajné údaje sa musia vymeniť, inak zostanú dvere otvorené, hoci je PHP záplatované. Ako zmysluplne kontrolovať súbory a časové údaje, popisuje príručka o rozpoznávaní webshellov.
Oznamovacia povinnosť a dokumentácia
Ak mohli byť dotknuté osobné údaje, môže vzniknúť povinnosť oznámiť to dozornému orgánu do 72 hodín. Lehota plynie od okamihu, keď sa o tom dozviete, nie od ukončenia vyšetrovania. Či je váš prípad oznamovaný, rozhodne zodpovedná osoba pre ochranu údajov alebo právnik; právne poradenstvo neposkytujeme. Naša dokumentácia na to poskytuje podklad. Viac o lehote nájdete v časti Oznamovacia povinnosť podľa GDPR do 72 hodín, kroky po nej v kontrolnom zozname po hacknutí.
Čo by ste nám mali poslať
- Popis toho, čo je nápadné, odkedy a kto si to všimol
- Typ servera: vlastný server, managed server alebo hostingový balík, a poskytovateľ hostingu
- Výsledok
php -va, ak je známy, režim prevádzky (PHP-FPM, mod_php, LiteSpeed) - Čas aktualizácie PHP, ak už bola nasadená
- Prístup k serveru alebo súhlas, aby sme mohli komunikovať s vaším poskytovateľom hostingu
- Kontaktná osoba s rozhodovacou právomocou pre vypnutie a reštarty
Prečo PHP SOS
Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Máte jedného kontaktného partnera, ktorý vás sprevádza od prvej správy až po ukončenie. Všetko, čo robíme, sa dokumentuje, aby ste to mohli preukázať voči vedeniu firmy, poisťovateľovi a úradom. Sľubujeme len to, čo možno dodržať: ak logy chýbajú, povieme to otvorene a uvedieme, čo je preukázané a čo zostáva domnienkou.
Ste postihnutý? Zavolajte. Pomôžeme vám.
Nečakajte, kým sa podozrenie zmení na istotu. Zavolajte alebo napíšte cez WhatsApp. Preberáme prípad od prvej správy a zostávame pri ňom, kým nie je incident uzavretý a zdokumentovaný. Nahlásiť núdzový prípad teraz.
Časté otázky
Stačí aktualizovať PHP, ak je môj server možno už hacknutý?
Nie. Aktualizácia uzavrie zraniteľnosť, ale neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo. Po záplate sa musí server skontrolovať na stopy vniknutia.
Ako spoznám úspešný útok PHP2Shell?
Neexistujú žiadne zverejnené, potvrdené Indicators of Compromise. Rozpoznávanie sa opiera o správanie: procesy webového servera, ktoré spúšťajú shell, nové súbory PHP v adresároch pre nahrávanie alebo v cache, neznáme cronjoby alebo kľúče SSH a nápadné odchádzajúce spojenia.
Mám server odpojiť od siete, ak mám podozrenie na vniknutie?
Často je to správne, pretože BSI radí dočasne odpojiť webový server od siete aj vtedy, ak aktualizáciu nemožno nasadiť hneď. Pritom je dôležité nič nemazať a zachovať logy aj súbory, aby bolo možné incident objasniť.
Musím po útoku PHP2Shell informovať úrad na ochranu osobných údajov?
Ak mohli byť dotknuté osobné údaje, môže byť potrebné oznámenie do 72 hodín. Rozhodnutie urobíte so svojou zodpovednou osobou pre ochranu údajov alebo s právnikom; technické fakty na to dodáme my.
Boli cez PHP2Shell už naozaj hacknuté nejaké servery?
Podľa správ médií sa od 17. 10. 2026 pozorovali prvé pokusy o útok a Cloudflare hlásil pozorované pokusy o útok. BSI spočiatku neoznámilo žiadne potvrdené úspešné útoky vo väčšom rozsahu. V jednotlivom prípade sa to dá objasniť iba na samotnom serveri.