Ukratko: Sigurnosna ranjivost na web-stranici općine incident je s javnošću. Razjasnite tko vodi poslužitelj, dajte potvrditi PHP zakrpu i ponovno pokretanje te pripremite hitnu stranicu za slučaj da stranica mora privremeno s mreže. Komunikacija prema građanima i tisku trebala bi biti usklađena prije nego što stignu pitanja.
Koje PHP sustave općine tipično vode
Mnoge komunalne internetske stranice rade na TYPO3-u, uz to na drugim PHP sustavima. Oko glavne stranice nastaju dodatne aplikacije: online obrasci za zahtjeve i prijave, prijava kvarova i nedostataka, kalendar događanja, sudjelovanje građana, portali za posao, upis u vrtić, turističke stranice, katalozi knjižnica i web-stranice pojedinih ustanova poput glazbene škole ili komunalnih poduzeća.
Neke od tih aplikacija općina vodi sama, druge komunalni računalni centar, udruga općina ili proizvođač specijaliziranog postupka. Tko želi zatvoriti ranjivost u PHP-u, mora prvo znati na čijim poslužiteljima koja aplikacija radi.
Manje općine često nemaju vlastiti IT odjel. Tamo stranicu usput vodi djelatnik glavnog ureda, tehnika je kod agencije, a ugovori potječu iz vremena kada nitko nije mislio na kritične ranjivosti u programskom jeziku. Veći gradovi imaju obrnut problem: toliko stranica ureda, projekata i ustanova da jedva tko poznaje cjelovit popis.
Što je na kocki na komunalnim web-stranicama
U obrascima i portalima nalaze se podaci građana: adrese, datumi rođenja, podaci o djeci pri upisu u vrtić i školu, fotografije i lokacije pri prijavama kvarova, prijave za posao. Za javna tijela vrijede GDPR i zakon o zaštiti podataka savezne zemlje, a nadležan je u pravilu nadzor zaštite podataka dotične zemlje.
Barem jednako teško vrijedi integritet: stranica općine službeni je izvor. Manipulirani sadržaji, krivotvorene javne objave ili preusmjeravanja na prijevarne stranice pod imenom grada narušavaju povjerenje daleko izvan tehničke štete.
Komunalne domene uživaju povjerenje građana i tražilica. Upravo to ih čini privlačnima napadačima: kao pošiljatelje spama, kao odlagalište prijevarnih stranica ili kao platformu za lažne vijesti, primjerice o izborima, nevremenu ili naknadama.
Općina i sigurnosna ranjivost web-stranice: tko o čemu odlučuje?
| Uloga | Tipičan zadatak u incidentu |
|---|---|
| Komunalni računalni centar ili IT pružatelj usluga | Poslužitelj, PHP paketi, ponovno pokretanje, odvajanje mreže |
| Glavni ured ili IT koordinacija | Cjelokupno upravljanje, narudžbe, plan za hitne slučajeve |
| Ured za odnose s javnošću | Informiranje građana i medija |
| Službenik za zaštitu podataka u tijelu | Procjena obveze prijave |
| Web-agencija | CMS, proširenja, sadržaji |
Praznina često nastaje između računalnog centra i agencije: računalni centar vodi poslužitelj, agencija održava TYPO3, a svaka strana pretpostavlja da se druga brine o PHP-u. Ažuriranje TYPO3-a ne zatvara PHP2Shell.
BSI je stanje ocijenio razinom upozorenja 3 / narančasta i preporučuje hitno ažuriranje. Ako se komunalni web-poslužitelj ne može odmah zakrpati, privremeno ga odspojite s mreže i postavite statičnu hitnu stranicu.
Prvi sati u upravi
- Popisati sve stranice i specijalizirane aplikacije s web-pristupom, uključujući ustanove i turizam.
- Kod dotičnog operatera dati pisano potvrditi: PHP na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili instaliran backport, svi procesi ponovno pokrenuti.
- Nepotvrđene sustave odspojiti s mreže ili ih do zakrpe osigurati virtualnim zakrpanjem. Cloudflare upozorava da pravila samo na temelju podataka zahtjeva nisu dovoljna; to je most, a ne zamjena.
- Osigurati zapisnike od 20. 10. 2026.
- Obavijestiti ured za odnose s javnošću i službenika za zaštitu podataka te uskladiti stvaran način izražavanja. Pomoć nudi stranica o kriznoj komunikaciji.
Što BSI preporučuje u pojedinostima, sažima stranica BSI preporuke o PHP2Shellu. Pitanja o javnoj nabavi i hitnom angažiranju razjasnite prema svojim internim pravilima.
Prevencija: hitna stranica, inventar i zamjena
Sljedeća kritična ranjivost sigurno stiže. Tri pripreme tada štede sate: gotova statična hitna stranica s brojevima telefona, radnim vremenom i napomenama o hitnim zahtjevima, koja se može isporučiti bez PHP-a. Održavan inventar svih web-aplikacija s operaterom, kontakt osobom i ugovornom osnovom. I uređenje zamjene kako bi se odluke poput isključivanja stranice mogle donijeti i navečer i vikendom.
Te točke pripadaju u IT plan za hitne slučajeve uprave. Komunalna poduzeća, javne ustanove i ustanove s vlastitim web-stranicama trebali bi u njemu izričito biti navedeni jer inače nedostaju pri popisivanju.
Kako PHP SOS konkretno pomaže?
- Podržavamo Vašu IT koordinaciju pri inventaru i s računalnim centrom, proizvođačima i agencijom razjašnjavamo tko koji sustav zakrpa.
- Gdje sami vodite sustave, preko usluge PHP zakrpa preuzimamo ažuriranje, ponovno pokretanje i pisani dokaz.
- Pri sumnji na kompromitaciju osiguravamo tragove i provjeravamo sadržaje na manipulaciju prije nego što se stranica vrati online.
- Tijek dokumentiramo tako da ga službenik za zaštitu podataka, uprava i revizija mogu pratiti.
Česta pitanja
Smijemo li web-stranicu općine jednostavno isključiti?
BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelji privremeno odspoje s mreže ako ažuriranje nije odmah moguće. Za općine je prikladna statična hitna stranica s najvažnijim putovima kontakta. Tko to smije odlučiti interno, trebalo bi pisati u planu za hitne slučajeve.
Pogađa li to sustav informacija vijeća?
To ovisi o tehnici i radu sustava. Sustave informacija vijeća i online usluge često vode proizvođači specijaliziranih postupaka ili komunalni računalni centri. Pitajte ih konkretno o upotrebi PHP-a, stanju zakrpe i ponovnom pokretanju.
Koje je tijelo za zaštitu podataka nadležno za općine?
Za javna tijela saveznih zemalja i općina u pravilu je nadležan nadzor zaštite podataka dotične savezne zemlje (Njemačka). Uz to vrijede zakoni o zaštiti podataka saveznih zemalja. Vaš službenik za zaštitu podataka u tijelu poznaje putove prijave.