# Webshell nájdený? Ako teraz správne konať

> Našli ste webshell alebo podozrivý súbor PHP? Nemazať, najprv zabezpečiť. Objasníme rozsah a vstup. Zavolajte alebo napíšte cez WhatsApp.

Zdroj: https://phpsos.de/sk/soforthilfe/webshell-gefunden/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Webshell je malý súbor, cez ktorý môže cudzia osoba na diaľku ovládať váš server. Kto nejaký našiel, je veľmi pravdepodobne postihnutý a mal by sa ozvať hneď. Nemazať, neotvárať, najprv zabezpečiť. Na diaľku objasníme, ako sa dostal na server, či existujú ďalšie prístupy, a server vyčistíme.

> **Konajte hneď:**
> **Teraz nič nemažte a nič neinštalujte odznova.** Aj samotný webshell zatiaľ zostane ležať, aby sa mohol zabezpečiť. Ste postihnutý? Zavolajte alebo napíšte cez WhatsApp, alebo nález nahláste cez [Nahlásiť núdzový prípad](https://phpsos.de/sk/notfall/).

## Našli ste webshell: čo to znamená?

Webshell je skript PHP (alebo skript v inom serverovom jazyku), ktorý prijíma príkazy zvonka. Útočníci pomocou neho môžu čítať súbory, sťahovať údaje, doťahovať škodlivý kód a dosiahnuť ďalšie systémy. Súbor preto zriedka býva cieľom útoku. Je to zadné vrátko, ktoré páchateľ zanechá, aby sa mohol vrátiť.

Z toho vyplývajú dva dôsledky. Po prvé: Niekto už mal zapisovací prístup na váš server alebo mohol spúšťať kód. Po druhé: Nájdený súbor pravdepodobne nie je jediný. K tomu pristupuje to, čo často nevieme: Odkedy tam leží a čo sa medzitým s ním robilo?

## Podľa čoho webshell spoznáte

- súbor PHP v adresári, v ktorom by žiadny nemal ležať, napríklad v nahrávaniach, cache, obrázkoch alebo dočasných adresároch
- názvy súborov, ktoré vyzerajú ako systémové súbory, ale nepatria k vášmu softvéru, alebo názvy s dvojitou príponou
- nečitateľný kód s dlhými reťazcami znakov, kódovaním a funkciami na spúšťanie príkazov, pozri [Rozpoznanie zamaskovaného kódu PHP](https://phpsos.de/sk/blog/verschleierter-php-code/)
- dátum zmeny, ktorý nezodpovedá vašim aktualizáciám
- prístupy na tento súbor v logoch, často z cudzích adries a s požiadavkami POST
- procesy webového servera, ktoré spúšťajú shell, ako je popísané v časti [Varovný signál: webový server spúšťa shell](https://phpsos.de/sk/blog/webserver-startet-shell/)

Ako nálezy správne vyhodnotiť, popisuje časť [Súbory PHP v adresári pre nahrávanie](https://phpsos.de/sk/blog/php-dateien-im-upload-ordner/) a podrobne [Rozpoznanie a odstránenie webshellov](https://phpsos.de/sk/ratgeber/webshell-erkennen/).

## Čo urobiť hneď

1. **Súbor neotvárať a nespúšťať.** Žiadne testy v prehliadači.
2. **Nemazať a nepresúvať.** Nemeňte ani obsah, ani časové pečiatky.
3. **Zapísať si:** úplnú cestu, názov súboru, čas nálezu, kto ho objavil a čím.
4. **Zabezpečiť súbor a metadáta:** Kópia s vlastníkom, oprávneniami a časovými pečiatkami. Stačia kontrolné príkazy iba na čítanie, napríklad:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Uchovať logy:** Nenechať prepísať prístupové a chybové protokoly webového servera a PHP. Odborná tlač radí uchovať logy servera od 20. 10. 2026.
6. **V prípade potreby server oddeliť:** Ak sa domnievate, že údaje unikajú, odpojte stránku od siete. Ako pritom zachovať dôkazy, popisuje [Zabezpečte dôkazy skôr, než inštalujete odznova](https://phpsos.de/sk/blog/beweise-sichern-vor-neuinstallation/).
7. **Informovať nás,** skôr než sa zmenia heslá alebo vyčistia súbory.

## Ako PHP SOS konkrétne pomáha?

1. **Zmapovať situáciu:** Čo sa našlo, kde, kedy a kto to našiel? Ktoré systémy ležia na tom istom serveri?
2. **Zabezpečiť a uzavrieť:** Zabezpečíme nález, súbory, databázu a logy a zablokujeme prístupy, ktoré pôsobia podozrivo.
3. **Skontrolovať a vyčistiť:** Hľadáme ďalšie webshelly, zmenené základné súbory, [skryté cronjoby](https://phpsos.de/sk/blog/cronjobs-als-hintertuer/), cudzie administrátorské účty a [neznáme kľúče SSH](https://phpsos.de/sk/blog/ssh-schluessel-pruefen/) a odstraňujeme ich. Postup zodpovedá službe [Odstránenie malvéru a webshellov](https://phpsos.de/sk/leistungen/malware-entfernung/).
4. **Spevniť a podať správu:** Pomenujeme pravdepodobný vstup, uzavrieme ho a zabezpečíme server. Dostanete dokumentáciu s nálezmi a časovou osou.

## Ako sa webshell dostal na server?

Typickými cestami sú zastarané pluginy alebo rozšírenia, nezabezpečené nahrávanie súborov, ukradnuté prístupové údaje a zraniteľnosti v softvéri servera. Od zverejnenia PHP2Shell pribúda ďalšia možnosť: PHP bez opráv z verzií 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35 sa dá na diaľku zneužiť na spustenie kódu. Potvrdené Indicators of Compromise k tomu neexistujú, rozpoznanie sa opiera o správanie. Či vstup u vás prebehol cez PHP2Shell, alebo inou cestou, sa dá odvodiť iba zo stôp a my označujeme, čo je preukázané a čo domnienka. Ako pomáhajú logy, ukazuje [Vyhodnotenie logov webového servera](https://phpsos.de/sk/ratgeber/logfiles-auswerten/).

Záplata pritom existujúci webshell neodstráni. K tomu patrí aj ochrana proti budúcim nálezom: [Zákaz spúšťania PHP v adresároch pre nahrávanie](https://phpsos.de/sk/blog/php-in-uploads-verbieten/) zabráni mnohým prípadom. Zvážte aj [hranice skenerov malvéru](https://phpsos.de/sk/blog/grenzen-von-malware-scannern/): Sken bez nálezu nie je signál na odvolanie poplachu.

Ak potrebujete vedieť, čo presne sa stalo, napríklad pre poisťovateľa alebo úrady, môže byť užitočná [IT forenzná analýza](https://phpsos.de/sk/leistungen/it-forensik/).

## A ak sa webshell po zmazaní vráti?

Stáva sa to často a majú to väčšinou dva dôvody. Buď existuje aspoň jedno ďalšie zadné vrátko, ktoré nález znova vytvorí, alebo je vstupná brána stále otvorená a útočník jednoducho príde znova. Ani jedno sa nevyrieši opakovaným mazaním. Preto hľadáme súhrn zmien: nové a zmenené súbory, záznamy v databáze a konfigurácii, plánované úlohy, účty. [Zoznam nedávno zmenených súborov](https://phpsos.de/sk/blog/geaenderte-dateien-finden/) je zmysluplným začiatkom, ale nenahrádza kontrolu odborníkmi.

## Čo by ste nám mali poslať

- cestu a názov súboru, pokiaľ možno ako kópiu s časovými pečiatkami (spôsob odovzdania dohodneme)
- úryvky z prístupových logov okolo tohto súboru, ak máte prístup
- typ servera, poskytovateľa hostingu, verziu PHP a režim prevádzky, ak sú známe
- ktoré weby a aplikácie na serveri bežia
- kedy naposledy prebehli aktualizácie, nahrávania alebo zmeny

## Prečo PHP SOS

Pracujeme Made in Germany a vďaka partnerskej sieti kybernetických profesionálov sa už vyše 25 rokov špecializujeme na IT bezpečnosť. Jeden kontaktný partner vás incidentom prevedie. Pracujeme na diaľku bez výjazdu v celej Európe, dokumentujeme každý krok a nedávame sľuby, ktoré nikto nemôže dodržať. Zostávame pri tom, kým nie je incident uzavretý a zdokumentovaný.

## Ste postihnutý? Zavolajte. Pomôžeme vám.

Nájdený webshell je varovný signál, ktorý by ste mali brať vážne. Ozvite sa hneď, telefonicky alebo cez WhatsApp, a preberáme prípad od prvej správy. [Nahlásiť núdzový prípad teraz](https://phpsos.de/sk/notfall/)


## Časté otázky

**Našiel som webshell. Môžem súbor jednoducho zmazať?**  
Prosím nie ako prvé. Súbor ukazuje, kedy a čím útočník prišiel. Najprv ho zabezpečte vrátane časových pečiatok a vlastníka, potom sa cielene odstráni. Kto len maže, zvyčajne zanechá ďalšie prístupy.

**Mám podozrivý súbor otvoriť v prehliadači, aby som videl, čo robí?**  
Nie. Otvorenie môže spustiť škodlivý kód a zahladiť ďalšie stopy. Súbor kontrolujte iba na čítanie a najlepšie na kópii.

**Stačí skener malvéru na nájdenie všetkých webshellov?**  
Nie spoľahlivo. Skenery rozpoznajú známe vzory, ale zamaskované alebo nové webshelly im unikajú. Čistý sken nedokazuje, že tam nič nezostalo.

**Ako zistím, ako dlho webshell na serveri leží?**  
Náznaky poskytujú dátum zmeny, prístupové a chybové logy aj porovnania s inými novými súbormi. Časové pečiatky sa však dajú sfalšovať. Preto posudzujeme viac zdrojov a označujeme, čo je preukázané a čo domnienka.

**Musím nález nahlásiť?**  
Hneď ako by mohli byť dotknuté osobné údaje, môže byť potrebné oznámenie dozornému orgánu. Poradia vám zodpovedné osoby pre ochranu údajov alebo právnici; technické fakty dodáme my.

## Zdroje

- [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR čl. 33: oznámenie dozornému orgánu](https://dsgvo-gesetz.de/art-33-dsgvo/)