Накратко: Уязвимостта на уебсайта на една община е инцидент с публичност. Изяснете кой управлява сървъра, поискайте потвърждение за пача на PHP и рестартирането и дръжте готова аварийна страница, в случай че присъствието трябва временно да излезе от мрежата. Комуникацията към гражданите и пресата трябва да е съгласувана, преди да дойдат въпросите.
Какви PHP системи обикновено управляват общините
Много общински интернет присъствия работят на TYPO3, наред с това и на други PHP системи. Около основното присъствие възникват още приложения: онлайн форми за заявления и записвания, система за сигнали за проблеми, календар на събитията, гражданско участие, портали за работа, записване в детски градини, туристически страници, каталози на библиотеки и уебсайтове на отделни институции като музикалното училище или комуналните дружества.
Някои от тези приложения общината управлява сама, други – общински център за данни, сдружение на общини (Zweckverband) или производител на специализиран софтуер за администрацията. Който иска да затвори уязвимост в PHP, трябва първо да знае на чии сървъри кое приложение работи.
Малките общини често нямат собствен ИТ отдел. Там служител от главната администрация (Hauptamt) поддържа присъствието между другото, технологията е при агенция, а договорите са от времето, когато никой не е мислел за критични уязвимости в програмния език. По-големите градове имат обратния проблем: толкова много присъствия на отдели, проекти и институции, че едва ли някой познава пълния списък.
Какво е заложено на общинските уебсайтове
Във формите и порталите се съхраняват данни на граждани: адреси, дати на раждане, сведения за деца при записвания в детски градини и училища, снимки и местоположения при сигнали за проблеми, кандидатури. За публичните органи важат ОРЗД и законът за защита на данните на провинцията, като по правило отговаря надзорният орган по защита на данните на провинцията.
Поне толкова тежи целостта: присъствието на една община е официален източник. Манипулирано съдържание, фалшиви обявления или пренасочвания към измамнически страници от името на града увреждат доверието далеч отвъд техническата щета.
Общинските домейни се ползват с доверие сред гражданите и търсачките. Именно това ги прави привлекателни за атакуващите: като изпращач на спам, като хранилище за измамнически страници или като платформа за фалшиви съобщения, например за избори, бури или такси.
Общината и уязвимостта на уебсайта: кой какво решава?
| Роля | Типична задача при инцидент |
|---|---|
| Общински център за данни или ИТ изпълнител | Сървър, PHP пакети, рестартиране, изолиране на мрежата |
| Главна администрация или ИТ координация | Общо управление, възлагане, план за спешни случаи |
| Пресслужба | Информиране на граждани и медии |
| Длъжностно лице по защита на данните в администрацията | Оценка на задължението за уведомяване |
| Уеб агенция | CMS, разширения, съдържание |
Празнината често възниква между центъра за данни и агенцията: центърът за данни управлява сървъра, агенцията поддържа TYPO3 и всяка страна приема, че другата се грижи за PHP. Актуализацията на TYPO3 не затваря PHP2Shell.
BSI (Федералната служба за информационна сигурност на Германия) оцени ситуацията с ниво на предупреждение 3 / оранжево и препоръча незабавна актуализация. Ако общински уеб сървър не може да бъде пачнат веднага, изключете го временно от мрежата и включете статична аварийна страница.
Първите часове в администрацията
- Съставете списък на всички присъствия и специализирани приложения с уеб достъп, включително институциите и туризма.
- Поискайте писмено потвърждение от съответния оператор: PHP на 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или внесен backport, всички процеси рестартирани.
- Непотвърдените системи изключете от мрежата или ги защитете до пача с виртуално пачване. Cloudflare сочи, че правила само по данните от заявката не са достатъчни; това е мост, а не заместител.
- Запазете логовете от 20.10.2026 г.
- Информирайте пресслужбата и длъжностното лице по защита на данните и съгласувайте делови език на комуникация. Помощ за това предлага страницата за кризисната комуникация.
Какво точно препоръчва BSI, обобщава страницата Препоръки на BSI за PHP2Shell. Въпросите за обществените поръчки и аварийното възлагане уреждате според вътрешните си правила.
Превенция: аварийна страница, опис и заместване
Следващата критична уязвимост със сигурност ще дойде. Три подготовки тогава спестяват часове: готова статична аварийна страница с телефонни номера, работно време и указания за спешни въпроси, която може да се обслужва без PHP. Поддържан опис на всички уеб приложения с оператор, контактно лице и договорна основа. И правила за заместване, за да могат решения като изключването на присъствието да се вземат и вечер, и през почивните дни.
Тези точки принадлежат в ИТ плана за спешни случаи на администрацията. Общинските предприятия, комуналните дружества и институциите със собствени уебсайтове трябва изрично да присъстват в него, защото иначе липсват при инвентаризацията.
Как помага PHP SOS конкретно?
- Подкрепяме Вашата ИТ координация при описа и уточняваме с центъра за данни, производителите и агенцията кой коя система пачва.
- Където управлявате сами, поемаме чрез услугата за PHP пачове актуализацията, рестартирането и писменото доказателство.
- При съмнение за компрометиране запазваме следите и проверяваме съдържанието за манипулации, преди присъствието да се върне онлайн.
- Документираме хода така, че длъжностното лице по защита на данните, ръководството на администрацията и одиторите да могат да го проследят.
Често задавани въпроси
Можем ли просто да изключим уебсайта на общината?
BSI препоръчва уеб сървърите да се изключват временно от мрежата, когато актуализацията не е възможна веднага. За общините е подходяща статична аварийна страница с най-важните начини за контакт. Кой може да взема това решение вътрешно, трябва да е записано в плана за спешни случаи.
Засегната ли е информационната система на общинския съвет?
Това зависи от технологията и от експлоатацията. Информационните системи на съветите и онлайн услугите често се управляват от производители на специализиран софтуер за администрацията или от общински центрове за данни. Попитайте там конкретно за използването на PHP, състоянието на пача и рестартирането.
Кой надзорен орган по защита на данните отговаря за общините?
За публичните органи на провинциите и общините по правило отговаря надзорният орган по защита на данните на съответната германска провинция. Наред с това важат законите за защита на данните на провинциите. Вашето длъжностно лице по защита на данните в администрацията познава пътищата за уведомяване.