# Sigurnosna ranjivost na web-stranici općine: vodič za upravu > PHP2Shell i općine: kako uprave osiguravaju TYPO3 stranicu, obrasce za građane i informacije vijeća, razjašnjavaju odgovornosti i stvarno informiraju građane. Izvor: https://phpsos.de/hr/branchen/kommunen-verwaltung/ Stanje: 25.10.2026 Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6 **Ukratko:** Sigurnosna ranjivost na web-stranici općine incident je s javnošću. Razjasnite tko vodi poslužitelj, dajte potvrditi PHP zakrpu i ponovno pokretanje te pripremite hitnu stranicu za slučaj da stranica mora privremeno s mreže. Komunikacija prema građanima i tisku trebala bi biti usklađena prije nego što stignu pitanja. ## Koje PHP sustave općine tipično vode Mnoge komunalne internetske stranice rade na [TYPO3-u](https://phpsos.de/hr/plattformen/typo3/), uz to na drugim PHP sustavima. Oko glavne stranice nastaju dodatne aplikacije: online obrasci za zahtjeve i prijave, prijava kvarova i nedostataka, kalendar događanja, sudjelovanje građana, portali za posao, upis u vrtić, turističke stranice, katalozi knjižnica i web-stranice pojedinih ustanova poput glazbene škole ili komunalnih poduzeća. Neke od tih aplikacija općina vodi sama, druge komunalni računalni centar, udruga općina ili proizvođač specijaliziranog postupka. Tko želi zatvoriti ranjivost u PHP-u, mora prvo znati na čijim poslužiteljima koja aplikacija radi. Manje općine često nemaju vlastiti IT odjel. Tamo stranicu usput vodi djelatnik glavnog ureda, tehnika je kod agencije, a ugovori potječu iz vremena kada nitko nije mislio na kritične ranjivosti u programskom jeziku. Veći gradovi imaju obrnut problem: toliko stranica ureda, projekata i ustanova da jedva tko poznaje cjelovit popis. ## Što je na kocki na komunalnim web-stranicama U obrascima i portalima nalaze se podaci građana: adrese, datumi rođenja, podaci o djeci pri upisu u vrtić i školu, fotografije i lokacije pri prijavama kvarova, prijave za posao. Za javna tijela vrijede GDPR i zakon o zaštiti podataka savezne zemlje, a nadležan je u pravilu nadzor zaštite podataka dotične zemlje. Barem jednako teško vrijedi integritet: stranica općine službeni je izvor. Manipulirani sadržaji, krivotvorene javne objave ili preusmjeravanja na prijevarne stranice pod imenom grada narušavaju povjerenje daleko izvan tehničke štete. Komunalne domene uživaju povjerenje građana i tražilica. Upravo to ih čini privlačnima napadačima: kao pošiljatelje spama, kao odlagalište prijevarnih stranica ili kao platformu za lažne vijesti, primjerice o izborima, nevremenu ili naknadama. ## Općina i sigurnosna ranjivost web-stranice: tko o čemu odlučuje? | Uloga | Tipičan zadatak u incidentu | |---|---| | Komunalni računalni centar ili IT pružatelj usluga | Poslužitelj, PHP paketi, ponovno pokretanje, odvajanje mreže | | Glavni ured ili IT koordinacija | Cjelokupno upravljanje, narudžbe, plan za hitne slučajeve | | Ured za odnose s javnošću | Informiranje građana i medija | | Službenik za zaštitu podataka u tijelu | Procjena obveze prijave | | Web-agencija | CMS, proširenja, sadržaji | Praznina često nastaje između računalnog centra i agencije: računalni centar vodi poslužitelj, agencija održava TYPO3, a svaka strana pretpostavlja da se druga brine o PHP-u. Ažuriranje TYPO3-a ne zatvara PHP2Shell. > **Djelujte odmah:** > BSI je stanje ocijenio razinom upozorenja 3 / narančasta i preporučuje hitno ažuriranje. Ako se komunalni web-poslužitelj ne može odmah zakrpati, privremeno ga odspojite s mreže i postavite statičnu hitnu stranicu. ## Prvi sati u upravi 1. Popisati sve stranice i specijalizirane aplikacije s web-pristupom, uključujući ustanove i turizam. 2. Kod dotičnog operatera dati pisano potvrditi: PHP na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili instaliran backport, svi procesi ponovno pokrenuti. 3. Nepotvrđene sustave odspojiti s mreže ili ih do zakrpe osigurati [virtualnim zakrpanjem](https://phpsos.de/hr/leistungen/waf-virtuelles-patching/). Cloudflare upozorava da pravila samo na temelju podataka zahtjeva nisu dovoljna; to je most, a ne zamjena. 4. Osigurati zapisnike od 20. 10. 2026. 5. Obavijestiti ured za odnose s javnošću i službenika za zaštitu podataka te uskladiti stvaran način izražavanja. Pomoć nudi stranica o [kriznoj komunikaciji](https://phpsos.de/hr/compliance/krisenkommunikation/). Što BSI preporučuje u pojedinostima, sažima stranica [BSI preporuke o PHP2Shellu](https://phpsos.de/hr/compliance/bsi-empfehlungen/). Pitanja o javnoj nabavi i hitnom angažiranju razjasnite prema svojim internim pravilima. ## Prevencija: hitna stranica, inventar i zamjena Sljedeća kritična ranjivost sigurno stiže. Tri pripreme tada štede sate: gotova statična hitna stranica s brojevima telefona, radnim vremenom i napomenama o hitnim zahtjevima, koja se može isporučiti bez PHP-a. Održavan inventar svih web-aplikacija s operaterom, kontakt osobom i ugovornom osnovom. I uređenje zamjene kako bi se odluke poput isključivanja stranice mogle donijeti i navečer i vikendom. Te točke pripadaju u [IT plan za hitne slučajeve](https://phpsos.de/hr/compliance/notfallplan-erstellen/) uprave. Komunalna poduzeća, javne ustanove i ustanove s vlastitim web-stranicama trebali bi u njemu izričito biti navedeni jer inače nedostaju pri popisivanju. ## Kako PHP SOS konkretno pomaže? - Podržavamo Vašu IT koordinaciju pri inventaru i s računalnim centrom, proizvođačima i agencijom razjašnjavamo tko koji sustav zakrpa. - Gdje sami vodite sustave, preko [usluge PHP zakrpa](https://phpsos.de/hr/leistungen/php-patch-service/) preuzimamo ažuriranje, ponovno pokretanje i pisani dokaz. - Pri sumnji na kompromitaciju osiguravamo tragove i provjeravamo sadržaje na manipulaciju prije nego što se stranica vrati online. - Tijek dokumentiramo tako da ga službenik za zaštitu podataka, uprava i revizija mogu pratiti. ## Česta pitanja **Smijemo li web-stranicu općine jednostavno isključiti?** BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelji privremeno odspoje s mreže ako ažuriranje nije odmah moguće. Za općine je prikladna statična hitna stranica s najvažnijim putovima kontakta. Tko to smije odlučiti interno, trebalo bi pisati u planu za hitne slučajeve. **Pogađa li to sustav informacija vijeća?** To ovisi o tehnici i radu sustava. Sustave informacija vijeća i online usluge često vode proizvođači specijaliziranih postupaka ili komunalni računalni centri. Pitajte ih konkretno o upotrebi PHP-a, stanju zakrpe i ponovnom pokretanju. **Koje je tijelo za zaštitu podataka nadležno za općine?** Za javna tijela saveznih zemalja i općina u pravilu je nadležan nadzor zaštite podataka dotične savezne zemlje (Njemačka). Uz to vrijede zakoni o zaštiti podataka saveznih zemalja. Vaš službenik za zaštitu podataka u tijelu poznaje putove prijave. ## Izvori - [BSI: upozorenja i preporuke](https://www.bsi.bund.de/) - [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) - [php.net: sigurnosne objave](https://www.php.net/) - [TYPO3](https://typo3.org/)