# Tudni, mi fut: az összes weboldal és szerver leltára

> Az összes weboldal és szerver IT-leltára: mely adatok tartoznak bele, hogyan találja meg az elfelejtett rendszereket, és hogyan marad naprakész a lista.

Forrás: https://phpsos.de/hu/blog/inventar-websites-server/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A webszerverek IT-leltára az összes weboldal, portál, webshop és szerver listája mindazokkal az adatokkal, amelyekre biztonsági közleménynél azonnal szükség van: hol fut, milyen PHP-verzióval és üzemmóddal, melyik alkalmazás, ki a felelős, és mely adatokat érintene. E lista nélkül minden reakció keresgéléssel kezdődik. Vele az összevetés egy olyan közleménynél, mint a PHP2Shell, percekig tart napok helyett.

## Az első kérdés az volt: hol fut nálunk egyáltalán PHP?

Amikor a PHP-projekt 2026. 10. 21-én kiadta a javításokat, és a BSI (a német Szövetségi Információbiztonsági Hivatal) azonnali cselekvést javasolt, az utasítás egyértelmű volt: PHP frissítése, minden folyamat újraindítása. Sok vállalkozásnál az első lépés ennek ellenére nem a frissítés volt, hanem egy leltározás. A fő weboldal ismert volt. De a kereskedői portál? A karrieroldal egy másik szolgáltatónál? A három évvel ezelőtti kampány céloldala? A belső wiki?

A szakmai sajtó és a mérőszolgáltatások láthatóvá tették a probléma nagyságrendjét. A Palo Alto Networks (Unit 42) több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt. Ezek között valószínűleg sok olyan rendszer van, amelyről az üzemeltetőik egyszerűen már nem emlékeznek meg.

## Mi tartozik egy webszerver-leltárba

Egy használható leltár egy táblázat, weboldalanként vagy alkalmazásonként egy sorral. Ezek az oszlopok váltak be:

| Oszlop | Példa | Mire jó |
|---|---|---|
| Cím | shop.beispiel.de | egyértelmű hozzárendelés |
| Cél és jelentőség | webshop, bevételkritikus | sorrend meghatározása |
| Tárhelyszolgáltató vagy helyszín | menedzselt szerver az X szolgáltatónál | kit kell hívni |
| Szerver és operációs rendszer | vServer, Debian | frissítési út, biztonsági források |
| Webszerver és a PHP üzemmódja | Nginx PHP-FPM-mel | kockázat, pl. mod_php |
| PHP-verzió és csomagállapot | 8.3, dátumozott csomag | összevetés a közleményekkel |
| Alkalmazás és verzió | Shopware, bővítmények | gyártói közlemények |
| Felelős belső / külső | IT-vezető / Y ügynökség | ki cselekszik |
| Feldolgozott adatok | ügyfélfiókok, rendelések | bejelentési kötelezettségek, sürgősség |
| Mentések | naponta, külső, utoljára tesztelve: … | helyreállítás |
| Utolsó javítási igazolás | dátum és bizonylat | igazolás harmadik felek felé |

Az üzemmód külön figyelmet érdemel. A PHP2Shellnél a PHP-csapat az Apache mod_php melletti kockázatot értékelte a legmagasabbra. Aki tudja, mely rendszereket üzemeltetik így, azokkal kezdhet. A csomagállapotról szóló oszlop azért fontos, mert a megjelenített verziószám backportok után gyakran ugyanaz marad; erről a [PHP-verzió és javítási állapot helyes ellenőrzése](https://phpsos.de/hu/php2shell/php-version-pruefen/) ad útmutatást.

## Elfelejtett rendszerek megtalálása: így járjon el

Az ismert rendszerek gyorsan felkerülnek a listára. Az igazi munka az ismeretlenekkel van. Ezek a források segítenek felkutatni őket:

1. **Domainek és DNS:** Az összes cégdomain és aldomain átnézése. Minden bejegyzés, amely egy webszerverre mutat, jelölt.
2. **Számlák:** A könyvelés ismer minden tárhelyszolgáltatót, regisztrátort és felhőszolgáltatót, amely pénzt kap. Ez gyakran a legteljesebb lista.
3. **Ügynökségek és szakosztályok:** A marketing, az értékesítés és a személyügy szívesen rendel közvetlenül weboldalakat. Kérdezzen rá.
4. **Ismert szerverek:** Minden szerveren a konfiguráció megmutatja, mely weboldalakat szolgálja ki ténylegesen.
5. **Webes felületű eszközök:** A NAS-ok, routerek és appliance-ek részben saját PHP-t hoznak magukkal, lásd [PHP NAS-okon, routereken és appliance-eken](https://phpsos.de/hu/blog/php-auf-nas-und-appliances/).

A 4. lépéshez Linux-szervereken néhány olvasó parancs segít. Megmutatják a beállított weboldalakat, a PHP-szolgáltatásokat és az FPM-poolokat:

```bash
# Beállított weboldalak (Apache, illetve Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Futó PHP-szolgáltatások és folyamatok
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# FPM-poolok Debianon és Ubuntun
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
```

Ha egy szerveren több PHP-verzió fut egymás mellett, mindegyik felkerül a listára. Mindegyiket külön kell frissíteni és újraindítani.

> **Tipp:**
> Vegye fel azokat a rendszereket is, amelyeket tulajdonképpen le kellene állítani. Éppen ezek futnak gyakran még, évek óta nem frissültek, és elfelejtik őket. Egy „leállítani eddig: …” bejegyzéssel a feladat látható marad.

## A leltár naprakészen tartása

A leltár annyit ér, amennyire az utolsó frissítése friss. Három szabály tartja életben. Először: egy személy felelős, és minden új weboldalról, költözésről és leállításról értesítik, akkor is, ha egy ügynökség végzi a munkát. Másodszor: negyedévente egyszer a listát összevetik a DNS-sel, a számlákkal és a szerverkonfigurációval. Harmadszor: a leltár a vészhelyzeti terv része, és a saját IT-n kívül is rendelkezésre áll, például kinyomtatva.

Sok elosztott rendszerrel rendelkező vállalkozásoknak, például kereskedői portálokkal, konfigurátorokkal és beszállítói hozzáférésekkel, az [IT-biztonság a közép- és ipari vállalkozásoknak](https://phpsos.de/hu/branchen/mittelstand-industrie/) tipikus lelőhelyeket ír le. Hogyan illeszthető a leltár a vészhelyzeti tervbe, azt az [IT-vészhelyzeti terv készítése webszerverekhez](https://phpsos.de/hu/compliance/notfallplan-erstellen/) tartalmazza.

## Gyakori hibák a webszerverek leltárában

Sok leltár létezik, de vészhelyzetben nem segít. Az okok hasonlóak:

- **Csak szerverek, weboldalak nélkül:** A lista gépeket nevez meg, de nem azt, hogy mely weboldalak futnak rajtuk, és ki felel értük szakmailag. Rés esetén így senki sem tudja, melyik osztály érintett.
- **Verzió csomagállapot helyett:** A „PHP 8.3” a PHP2Shell után keveset mond. Csak a csomagállapot és a dátum mutatja meg, hogy a javítás benne van-e.
- **Külső rendszerek hiányoznak:** Ami egy ügynökségnél vagy egy platformszolgáltatónál fut, azt kihagyják, mert „ott nem vagyunk illetékesek”. Az adatokért való felelősség ettől még a házé marad.
- **Nincsenek kapcsolattartók:** Egy bejegyzés az illetékes hely neve és telefonszáma nélkül vészhelyzetben időt veszít.
- **Egyszeri akció:** A leltárt egy válsághéten készítik el, és utána soha többé nem nyitják meg. Egy év után egy jó része már nem stimmel.

Aki elkerüli ezt az öt pontot, annak a következő közleménynél lesz egy listája, amellyel ténylegesen lehet dolgozni.

## Hogyan segít konkrétan a PHP SOS?

- Önnel közösen felmérjük az összes weboldalt és szervert, az elfelejtetteket is, a DNS, a számlák, a szolgáltatók és a szerverkonfiguráció alapján.
- Minden rendszerhez megállapítjuk az üzemmódot, a PHP-verziót és a tényleges csomagállapotot.
- A rendszereket elérhetőség, adatok és üzemmód szerint sorba rendezzük, és megmondjuk, hol kell először cselekedni.
- Ahol a PHP2Shell még nyitott, ott a [PHP2Shell azonnali segítségen](https://phpsos.de/hu/leistungen/php2shell-soforthilfe/) keresztül zárjuk le a rést, és az igazolást beírjuk a leltárba.

**Összegzés:** A leltár a legfeltűnésmentesebb és egyben leghatékonyabb biztonsági intézkedés. Aki tudja, mi fut, a következő közleménynél azonnal cselekedhet ahelyett, hogy előbb keresgélne.


## Gyakori kérdések

**Legalább milyen adatok kellenek egy webszerver-leltárba?**  
A weboldal címe, a szerver vagy a tárhelyszolgáltató, a PHP üzemmódja, a PHP-verzió csomagállapottal, az alkalmazás verzióval, a belső és külső felelős személy, a feldolgozott adatok fajtája és a mentések helye. Ezekkel az adatokkal bármely új biztonsági közlemény gyorsan összevethető.

**Hogyan találom meg azokat a weboldalakat, amelyekről már senki sem tud?**  
Egyszerre több úton: a domainkezelés és a DNS-zónák, a tárhelyszolgáltatók és regisztrátorok számlái, az ügynökségek és szakosztályok megkérdezése, valamint az ismert szerverek konfigurációja. A régi kampányoldalak, tesztrendszerek és aldomainek így többnyire előkerülnek.

**Ki gondozza a leltárt?**  
Egy megnevezett személy, többnyire az IT-ben vagy az IT-vezetőnél. Fontos, hogy a weboldalak és szerverek minden változását jelentsék neki, akkor is, ha egy szakosztály vagy ügynökség kezdeményezte.

**Elég egy táblázat, vagy szoftver kell?**  
A legtöbb középvállalkozásnak elég egy jól gondozott táblázat. A szoftver akkor éri meg, ha sok rendszert kell automatikusan felmérni. A naprakészség a döntő, nem az eszköz.

## Források

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: támogatott verziók](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)