# Институции изключват уебсайтове: какво да научат фирмите от това

> Институции изключиха уебсайтове предпазно заради PHP2Shell. Какво стои зад това, кога изключването има смисъл и как фирмите да го подготвят.

Източник: https://phpsos.de/bg/blog/behoerden-webseiten-offline/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** След предупреждението за PHP2Shell в Германия бяха изключени уебсайтове, между които според медиите уебпорталът на град Майнц, както и страници на правителството на Хесен и на BKA (Федералната криминална полиция на Германия). Това беше предпазна мярка по препоръка на BSI (Федералната служба за информационна сигурност на Германия), а не потвърдени атаки. Фирмите могат да научат от това: изключването е легитимна възможност, когато пачът не е възможен веднага, и най-добре се получава, когато е подготвено.

## Изключени уебсайтове заради PHP: какво се случи на 21 октомври

В деня на актуализациите за сигурност на PHP в Германия множество публични уебсайтове не бяха достъпни. Според медийни съобщения град Майнц предпазно изключи централния си уебпортал. Ведомствата останаха достъпни по телефон и по имейл.

В Хесен според hessenschau, между другото, страниците на правителството на провинцията, на Федералната криминална полиция (BKA) и на градовете Касел и Висбаден бяха временно офлайн. Държавната канцелария говори за технически корекции и не съобщи за атака. Страниците на провинцията отново бяха достъпни вечерта. Други общини, висши училища и клиники според съобщенията също изключиха предпазно свои услуги.

Фонът е препоръката на BSI за PHP2Shell: актуализирайте незабавно и, ако това не е възможно веднага, изключете временно засегнатите уеб сървъри от мрежата. Какво точно съветва BSI, обобщава страницата [Какво препоръчва BSI за PHP2Shell](https://phpsos.de/bg/compliance/bsi-empfehlungen/).

## Изключен не означава хакнат

В коментарите и социалните мрежи „офлайн“ бързо се превърна в „хакнат“. Според всичко известно това е невярно. Изключванията бяха защитна мярка в момент, когато много оператори още не знаеха сигурно състоянието на пача на сървърите си.

За фирмите това разграничаване е важно двойно. Първо навън: който сам изключва предпазно, трябва да го назове така, а не да мълчи. Второ навътре: изключването не отговаря на въпроса дали сървърът е бил атакуван преди това. То само спира по-нататъшни опити. Проверката за следи остава необходима.

Една трета точка често се пренебрегва: изключването не бива да унищожава следи. Който за изключване просто преинсталира сървъра или изтрива логове, за да освободи място, си отнема възможността по-късно да изясни какво е станало преди изключването. По-добре е уеб сървърът да се пренасочи към страница за извънредни случаи или достъпът отвън да се блокира, а самият сървър да остане с всички логове непроменен.

## Защо именно публичните органи реагираха така

Институциите често поддържат много уебсайтове едновременно: главен портал, специализирани портали, услуги с формуляри, страници на отделни ведомства и учреждения. Често в това участват няколко доставчици на услуги. В деня на предупреждението за много администрации просто не беше възможно в рамките на часове да получат доказано състояние на пача за всяка система. Предпазното изключване в тази ситуация беше най-бързият начин да се последва препоръката на BSI.

За фирми с разраснала се ИТ среда положението често е подобно. Въпросът „Всичко пачнато ли е?“ не се проваля заради техниката, а заради липсата на общ поглед.

Забележително е и колко бързо страниците на правителството на Хесен според съобщенията се върнаха: още вечерта на същия ден. Това показва, че предпазното изключване не е нужно да трае дни. Който познава системите си и владее пътя за актуализация, може за няколко часа да пачне, провери и отново да излезе онлайн. Изключването тогава само запълва времето до настъпване на яснота.

## Кога предпазното изключване има смисъл за фирмите

Институциите са в особена ситуация: много уебсайтове, често поддържани разпръснато, и голяма обществена видимост. Преценката, пред която бяха изправени, обаче е същата като във всяка фирма. Следният преглед помага при решението:

| Ситуация | По-скоро изключване | По-скоро оставане онлайн |
|---|---|---|
| Състояние на пача | неясно или непотвърдено | поправено и доказано, процесите рестартирани |
| PHP версия | 8.1 или по-стара без потвърден backport | поддържан клон на актуално състояние |
| Режим на работа | Apache с mod_php | пачнат PHP-FPM със зададени временни мерки |
| Данни на сървъра | данни на клиенти, логини, платежни данни | изцяло статично съдържание |
| Достъпност на доставчика на услуги | пач възможен едва след дни | пач насрочен скоро |

Преценката между пачване, изключване и изчакване задълбочава статията [Пачване, изключване или изчакване?](https://phpsos.de/bg/blog/patchen-abschalten-abwarten/). Какво е технически възможно като преход, когато актуализацията още липсва, е описано в [Незабавни мерки без пач](https://phpsos.de/bg/php2shell/sofortmassnahmen-ohne-patch/).

> **Важно:**
> Временното изключване на магазин или клиентски портал струва приходи. Компрометиран сървър с данни на клиенти може да струва значително повече, включително задължения за уведомяване. Вземете решението съзнателно и го запишете писмено.

## Как да подготвите изключване

Майнц показа какво е важно: администрацията остана достъпна по други канали. Това се получава само ако е подготвено. Тези стъпки си струват, преди да настъпи следващият сериозен случай:

1. **Дръжте готова страница за извънредни случаи:** статична HTML страница без PHP, с кратко обяснение, телефон и имейл за контакт и, при нужда, указания за текущи поръчки или срещи.
2. **Определете пътя за превключване:** Кой може да пренасочи уебсайта към страницата за извънредни случаи, чрез уеб сървъра, DNS или предварително включена услуга? Колко време отнема това?
3. **Изяснете правомощията за решение:** Кой има право да нареди изключване, дори извън работното време?
4. **Познавайте зависимите услуги:** Зависят ли интерфейси, приложения или партньори от уебсайта? Кой трябва да бъде информиран предварително?
5. **Определете критерии за връщане:** пачът е доказан, рестартът е извършен, първата проверка за следи е без находка.
6. **Формулирайте съобщението предварително:** две до три изречения за клиенти, партньори и пресата.

Как да комуникирате навън в такава ситуация, описва ръководството за [кризисна комуникация](https://phpsos.de/bg/compliance/krisenkommunikation/).

## Как помага PHP SOS конкретно?

- **Основа за решение:** Установяваме състоянието на пача, режима на работа и данните на Вашите сървъри и Ви даваме ясна оценка дали е необходимо изключване.
- **Подредено изключване:** Превключваме към статична страница за извънредни случаи, без да губим логове или следи.
- **Пач и проверка:** Актуализираме PHP, рестартираме всички процеси и проверяваме за необичайни находки.
- **Контролирано връщане:** Връщаме уебсайта онлайн едва когато уговорените критерии са изпълнени и документирани.

Процесът описва [Спешната помощ при PHP2Shell](https://phpsos.de/bg/leistungen/php2shell-soforthilfe/).

## Заключение

Изключванията от страна на институциите не бяха признак за загуба на контрол, а съзнателна предпазна мярка. За фирмите това е същинската поука: да се излезе офлайн е легитимно решение, когато състоянието на пача е неясно. Който е подготвил страница за извънредни случаи, отговорност и критерии за връщане, го взема за минути вместо за часове.


## Често задавани въпроси

**Защо уебсайтовете на институции бяха изключени заради PHP?**  
При PHP2Shell BSI препоръчва незабавна актуализация, а ако тя не е възможна веднага, временно изключване на уеб сървърите от мрежата. Няколко институции последваха предпазно тази препоръка, докато системите им бъдат проверени и актуализирани.

**Означава ли изключен уебсайт, че е бил хакнат?**  
Не. Предпазното изключване е защитна мярка. Държавната канцелария на Хесен например според hessenschau изрично не съобщи за атака. Дали един сървър е бил засегнат преди изключването, изяснява едва проверка.

**Колко дълго трябва да остане уебсайтът офлайн?**  
Докато PHP не е на поправена версия, всички PHP процеси не са рестартирани и първата проверка за следи не е показала нищо необичайно. Няма фиксирана продължителност; страниците на правителството на Хесен според съобщенията отново бяха достъпни същата вечер.

**Какво да покажа на посетителите, докато уебсайтът е офлайн?**  
Най-добре проста статична страница за извънредни случаи, без PHP, с кратко обяснение и пътищата за контакт, по които оставате достъпни. Тя трябва да е подготвена, преди да е нужна.

## Източници

- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [ZDFheute: Sicherheitslücke bei PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)
- [BSI: Федерална служба за информационна сигурност](https://www.bsi.bund.de/)