Ukratko: Kibernetička sigurnost u srednjim poduzećima kod PHP2Shella rijetko pada na zakrpanju, a češće na nedostatku pregleda. Uz web-stranicu rade portali za trgovce, konfiguratori, stranice o karijerama i interni wikiji kod različitih pružatelja usluga. Tek potpun popis čini rizik savladivim te dokazivim klijentima i nadzoru.
Tipični PHP sustavi u srednjim poduzećima
Tijekom godina u proizvodnim se poduzećima nakuplja mnogo web-aplikacija: B2B shopovi za rezervne dijelove, portali za trgovce i partnere s cjenicima, konfiguratori proizvoda, područja za preuzimanje tehničke dokumentacije i CAD podataka, portali za reklamacije i servis, stranice o karijerama s upravljanjem kandidatima. Interno se pridodaju wikiji poput MediaWikija, alati za tikete i web-analitika.
Velik dio toga radi na PHP-u. Sustave su često naručili stručni odjeli, izgradile agencije, a vode ih pružatelji hostinga koje središnji IT ne poznaje. Upravo je tu kod ranjivosti poput PHP2Shella pravi problem.
Koji podaci i veze mogu biti pogođeni
U portalima se nalaze uvjeti klijenata, kontakt osobe kod trgovaca, podaci o ponudama i narudžbama te crteži koji podliježu ugovorima o povjerljivosti. Portali za kandidate sadrže životopise i svjedodžbe. Konkurenciji i ucjenjivačima konstrukcijski podaci i strukture cijena često su vrjedniji od osobnih podataka.
Kritične su veze: mnogi portali razmjenjuju podatke s ERP-om, sustavom za upravljanje robom ili PIM-om. Tko izvršava kod na takvom web-poslužitelju, tamo nalazi pristupne podatke za sučelja, baze podataka ili VPN. Kompromitirani portal tako može postati ulaz u mrežu tvrtke.
Srednja poduzeća i kibernetička sigurnost: lanac opskrbe i NIS2
Uz NIS2 za mnoge tvrtke vrijede proširene obveze upravljanja rizicima i prijave značajnih sigurnosnih incidenata. Je li Vaša tvrtka izravno pogođena, ovisi o sektoru i veličini. Posredno je pogođeno mnogo više njih jer klijenti sigurnosne zahtjeve ugovorima prenose na svoje dobavljače.
Za poslovodstvo se pridodaje pitanje vlastite odgovornosti. Što u tom pogledu općenito vrijedi, objašnjava stranica o odgovornosti uprave. Procjena u pojedinačnom slučaju pripada Vašem pravnom savjetniku.
Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. Zaboravljeni testni sustav agencije automatiziranim je skeniranjima jednako vidljiv kao i Vaša glavna web-stranica.
Tipična praznina u odgovornosti u srednjim poduzećima
| Područje | Tko često odlučuje | Što nedostaje |
|---|---|---|
| Web-stranica tvrtke | Marketing s agencijom | Dokaz o zakrpi PHP-a |
| Portal za trgovce, B2B shop | Prodaja s pružateljem usluga | Uključenost u sigurnosni koncept IT-a |
| Stranica o karijerama | Kadrovska služba s pružateljem | Jasnoća o hostingu i podacima |
| Interni alati | pojedini odjeli | Inventar i odgovorne osobe |
Središnji IT odgovoran je za mrežu, radna mjesta i ERP, ali često nema pristup izvana hostiranim sustavima. Taj obrazac pri svakoj kritičnoj ranjivosti postaje usko grlo. Pomaže jednostavno pravilo: svaka web-aplikacija koja obrađuje podatke tvrtke prijavljuje se IT-u s operaterom i kontakt osobom prije nego što ode online.
Web-poslužitelj i proizvodnu mrežu uredno razdvojiti
U industriji se pridodaju web-aplikacije koje komuniciraju sa strojevima i postrojenjima: portali za servis i daljinsko održavanje, nadzorne ploče s podacima strojeva, portali za klijente koji dohvaćaju stanje isporučenih postrojenja. Neki su od njih izgrađeni na PHP-u i nalaze se u mrežnom segmentu s više veza nego što je za zadatak potrebno.
Kompromitirani web-poslužitelj ne smije biti odskočna daska u proizvodnju. Provjerite koje veze iz mrežnih segmenata web-poslužitelja postoje prema uredskim i proizvodnim mrežama i ograničite ih na nužno. Pohranjeni pristupni podaci na web-poslužiteljima trebali bi imati samo prava koja aplikacija stvarno treba. Kod pristupa za daljinsko održavanje to osobito vrijedi.
Prvi sati za IT vodstvo i upravu
- Izraditi inventar svih izvana dostupnih PHP sustava: domena, operater, verzija PHP-a, način rada, kontakt osoba.
- Prvo obraditi sustave s mod_php i one na PHP-u 8.1 ili starijem. Kod mod_php-a PHP tim rizik ocjenjuje najvišim.
- Za svaki sustav dati pisano potvrditi zakrpu na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 odnosno backport i ponovno pokretanje. Što se ne može potvrditi, privremeno odspojiti s mreže.
- Osigurati zapisnike od 20. 10. 2026. i provjeriti veze web-poslužitelja s internom mrežom.
- Stanje sažeto dokumentirati kako biste klijentima, osiguratelju i, prema potrebi, tijelima mogli dokazivo odgovoriti.
Kako PHP SOS konkretno pomaže?
- Zajedno s IT-om i stručnim odjelima izrađujemo inventar PHP sustava i određujemo prioritete prema riziku.
- Koordiniramo zakrpe i ponovna pokretanja s agencijama i pružateljima hostinga te dokaze skupljamo na jednom mjestu.
- Pri sumnji preuzimamo strukturirani odgovor na incidente s osiguranjem tragova i provjerom veza s mrežom tvrtke.
- Zatim nudimo sigurnosnu reviziju ili penetracijsko testiranje putem specijaliziranih partnera, čiji rezultat možete predočiti klijentima.
- Na želju stalno nadziremo sustave kako bi inventar ostao aktualan.
Česta pitanja
Spada li naša tvrtka pod NIS2?
To ovisi o sektoru, veličini tvrtke i prometu i treba se provjeriti u pojedinačnom slučaju. Čak i tko ne spada izravno pod NIS2, zahtjeve često osjeća preko klijenata u lancu opskrbe. Obvezujuće razvrstavanje razjasnite sa svojim pravnim savjetnikom.
Može li hakirani web-poslužitelj voditi u mrežu tvrtke?
To je moguće ako web-poslužitelj ima veze s internom mrežom, primjerice sučelja prema ERP-u, zajedničke pristupne podatke ili VPN tunel. Je li to kod Vas slučaj, pokazuje provjera mrežnih veza i pohranjenih pristupnih podataka.
Kako pronalazimo sve PHP aplikacije u tvrtki?
Polazište su DNS zapisi, certifikati, računi za hosting i ugovori s agencijama. Dopunjuju ih razgovori u marketingu, prodaji, servisu i kadrovskoj službi. Pritom se najčešće pojavljuju sustavi za koje IT odjel uopće nije znao.
Što klijenti nakon PHP2Shella očekuju od nas kao dobavljača?
Neki klijenti aktivno pitaju jesu li njihovi dobavljači bili pogođeni i kako su reagirali. Pomaže sažet, dokaziv prikaz: koji sustavi, koje stanje zakrpe, kada ponovno pokrenuti, koje provjere kompromitacije. Obećati više nego što je dokazano šteti.