Röviden: A webszerverek IT-leltára az összes weboldal, portál, webshop és szerver listája mindazokkal az adatokkal, amelyekre biztonsági közleménynél azonnal szükség van: hol fut, milyen PHP-verzióval és üzemmóddal, melyik alkalmazás, ki a felelős, és mely adatokat érintene. E lista nélkül minden reakció keresgéléssel kezdődik. Vele az összevetés egy olyan közleménynél, mint a PHP2Shell, percekig tart napok helyett.
Az első kérdés az volt: hol fut nálunk egyáltalán PHP?
Amikor a PHP-projekt 2026. 10. 21-én kiadta a javításokat, és a BSI (a német Szövetségi Információbiztonsági Hivatal) azonnali cselekvést javasolt, az utasítás egyértelmű volt: PHP frissítése, minden folyamat újraindítása. Sok vállalkozásnál az első lépés ennek ellenére nem a frissítés volt, hanem egy leltározás. A fő weboldal ismert volt. De a kereskedői portál? A karrieroldal egy másik szolgáltatónál? A három évvel ezelőtti kampány céloldala? A belső wiki?
A szakmai sajtó és a mérőszolgáltatások láthatóvá tették a probléma nagyságrendjét. A Palo Alto Networks (Unit 42) több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt. Ezek között valószínűleg sok olyan rendszer van, amelyről az üzemeltetőik egyszerűen már nem emlékeznek meg.
Mi tartozik egy webszerver-leltárba
Egy használható leltár egy táblázat, weboldalanként vagy alkalmazásonként egy sorral. Ezek az oszlopok váltak be:
| Oszlop | Példa | Mire jó |
|---|---|---|
| Cím | shop.beispiel.de | egyértelmű hozzárendelés |
| Cél és jelentőség | webshop, bevételkritikus | sorrend meghatározása |
| Tárhelyszolgáltató vagy helyszín | menedzselt szerver az X szolgáltatónál | kit kell hívni |
| Szerver és operációs rendszer | vServer, Debian | frissítési út, biztonsági források |
| Webszerver és a PHP üzemmódja | Nginx PHP-FPM-mel | kockázat, pl. mod_php |
| PHP-verzió és csomagállapot | 8.3, dátumozott csomag | összevetés a közleményekkel |
| Alkalmazás és verzió | Shopware, bővítmények | gyártói közlemények |
| Felelős belső / külső | IT-vezető / Y ügynökség | ki cselekszik |
| Feldolgozott adatok | ügyfélfiókok, rendelések | bejelentési kötelezettségek, sürgősség |
| Mentések | naponta, külső, utoljára tesztelve: … | helyreállítás |
| Utolsó javítási igazolás | dátum és bizonylat | igazolás harmadik felek felé |
Az üzemmód külön figyelmet érdemel. A PHP2Shellnél a PHP-csapat az Apache mod_php melletti kockázatot értékelte a legmagasabbra. Aki tudja, mely rendszereket üzemeltetik így, azokkal kezdhet. A csomagállapotról szóló oszlop azért fontos, mert a megjelenített verziószám backportok után gyakran ugyanaz marad; erről a PHP-verzió és javítási állapot helyes ellenőrzése ad útmutatást.
Elfelejtett rendszerek megtalálása: így járjon el
Az ismert rendszerek gyorsan felkerülnek a listára. Az igazi munka az ismeretlenekkel van. Ezek a források segítenek felkutatni őket:
- Domainek és DNS: Az összes cégdomain és aldomain átnézése. Minden bejegyzés, amely egy webszerverre mutat, jelölt.
- Számlák: A könyvelés ismer minden tárhelyszolgáltatót, regisztrátort és felhőszolgáltatót, amely pénzt kap. Ez gyakran a legteljesebb lista.
- Ügynökségek és szakosztályok: A marketing, az értékesítés és a személyügy szívesen rendel közvetlenül weboldalakat. Kérdezzen rá.
- Ismert szerverek: Minden szerveren a konfiguráció megmutatja, mely weboldalakat szolgálja ki ténylegesen.
- Webes felületű eszközök: A NAS-ok, routerek és appliance-ek részben saját PHP-t hoznak magukkal, lásd PHP NAS-okon, routereken és appliance-eken.
A 4. lépéshez Linux-szervereken néhány olvasó parancs segít. Megmutatják a beállított weboldalakat, a PHP-szolgáltatásokat és az FPM-poolokat:
# Beállított weboldalak (Apache, illetve Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Futó PHP-szolgáltatások és folyamatok
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# FPM-poolok Debianon és Ubuntun
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Ha egy szerveren több PHP-verzió fut egymás mellett, mindegyik felkerül a listára. Mindegyiket külön kell frissíteni és újraindítani.
Vegye fel azokat a rendszereket is, amelyeket tulajdonképpen le kellene állítani. Éppen ezek futnak gyakran még, évek óta nem frissültek, és elfelejtik őket. Egy „leállítani eddig: …” bejegyzéssel a feladat látható marad.
A leltár naprakészen tartása
A leltár annyit ér, amennyire az utolsó frissítése friss. Három szabály tartja életben. Először: egy személy felelős, és minden új weboldalról, költözésről és leállításról értesítik, akkor is, ha egy ügynökség végzi a munkát. Másodszor: negyedévente egyszer a listát összevetik a DNS-sel, a számlákkal és a szerverkonfigurációval. Harmadszor: a leltár a vészhelyzeti terv része, és a saját IT-n kívül is rendelkezésre áll, például kinyomtatva.
Sok elosztott rendszerrel rendelkező vállalkozásoknak, például kereskedői portálokkal, konfigurátorokkal és beszállítói hozzáférésekkel, az IT-biztonság a közép- és ipari vállalkozásoknak tipikus lelőhelyeket ír le. Hogyan illeszthető a leltár a vészhelyzeti tervbe, azt az IT-vészhelyzeti terv készítése webszerverekhez tartalmazza.
Gyakori hibák a webszerverek leltárában
Sok leltár létezik, de vészhelyzetben nem segít. Az okok hasonlóak:
- Csak szerverek, weboldalak nélkül: A lista gépeket nevez meg, de nem azt, hogy mely weboldalak futnak rajtuk, és ki felel értük szakmailag. Rés esetén így senki sem tudja, melyik osztály érintett.
- Verzió csomagállapot helyett: A „PHP 8.3” a PHP2Shell után keveset mond. Csak a csomagállapot és a dátum mutatja meg, hogy a javítás benne van-e.
- Külső rendszerek hiányoznak: Ami egy ügynökségnél vagy egy platformszolgáltatónál fut, azt kihagyják, mert „ott nem vagyunk illetékesek”. Az adatokért való felelősség ettől még a házé marad.
- Nincsenek kapcsolattartók: Egy bejegyzés az illetékes hely neve és telefonszáma nélkül vészhelyzetben időt veszít.
- Egyszeri akció: A leltárt egy válsághéten készítik el, és utána soha többé nem nyitják meg. Egy év után egy jó része már nem stimmel.
Aki elkerüli ezt az öt pontot, annak a következő közleménynél lesz egy listája, amellyel ténylegesen lehet dolgozni.
Hogyan segít konkrétan a PHP SOS?
- Önnel közösen felmérjük az összes weboldalt és szervert, az elfelejtetteket is, a DNS, a számlák, a szolgáltatók és a szerverkonfiguráció alapján.
- Minden rendszerhez megállapítjuk az üzemmódot, a PHP-verziót és a tényleges csomagállapotot.
- A rendszereket elérhetőség, adatok és üzemmód szerint sorba rendezzük, és megmondjuk, hol kell először cselekedni.
- Ahol a PHP2Shell még nyitott, ott a PHP2Shell azonnali segítségen keresztül zárjuk le a rést, és az igazolást beírjuk a leltárba.
Összegzés: A leltár a legfeltűnésmentesebb és egyben leghatékonyabb biztonsági intézkedés. Aki tudja, mi fut, a következő közleménynél azonnal cselekedhet ahelyett, hogy előbb keresgélne.
Gyakori kérdések
Legalább milyen adatok kellenek egy webszerver-leltárba?
A weboldal címe, a szerver vagy a tárhelyszolgáltató, a PHP üzemmódja, a PHP-verzió csomagállapottal, az alkalmazás verzióval, a belső és külső felelős személy, a feldolgozott adatok fajtája és a mentések helye. Ezekkel az adatokkal bármely új biztonsági közlemény gyorsan összevethető.
Hogyan találom meg azokat a weboldalakat, amelyekről már senki sem tud?
Egyszerre több úton: a domainkezelés és a DNS-zónák, a tárhelyszolgáltatók és regisztrátorok számlái, az ügynökségek és szakosztályok megkérdezése, valamint az ismert szerverek konfigurációja. A régi kampányoldalak, tesztrendszerek és aldomainek így többnyire előkerülnek.
Ki gondozza a leltárt?
Egy megnevezett személy, többnyire az IT-ben vagy az IT-vezetőnél. Fontos, hogy a weboldalak és szerverek minden változását jelentsék neki, akkor is, ha egy szakosztály vagy ügynökség kezdeményezte.
Elég egy táblázat, vagy szoftver kell?
A legtöbb középvállalkozásnak elég egy jól gondozott táblázat. A szoftver akkor éri meg, ha sok rendszert kell automatikusan felmérni. A naprakészség a döntő, nem az eszköz.