Röviden: A white-label IT-biztonság az Ön ügynöksége számára azt jelenti: Ön megtartja az ügyfélkapcsolatot, mi a háttérben elvégezzük a biztonsági munkát. A PHP2Shell esetében ez az összes ügyfél-weboldal leltárát, kockázat szerinti priorizálást, szerverenkénti javítást és újraindítást, valamint ügyfelenkénti igazolást jelent, amelyet továbbadhat.
Miért különösen nagy a nyomás az ügynökségeken a PHP2Shell miatt
Egy sok ügyféllel dolgozó ügynökség ritkán gondoz egységes környezetet. Az oldalak egy része saját, Pleskkel üzemelő szervereken van, egy része az ügyfelek tárhelyszolgáltatóinál, néhány régi projekt pedig olyan PHP-verziókon, amelyek már rég nem kapnak hivatalos frissítést. Ehhez jönnek a különböző rendszerek: WordPress, TYPO3, Shopware, Craft CMS, Laravel-es egyedi fejlesztések.
Egy magában a PHP-ban lévő résnél minden projekt egyszerre érintett. Az ügyfelek választ várnak arra, hogy biztonságban van-e az oldaluk, a projektcsapatot pedig lekötik a folyamatban lévő megbízások. Sok karbantartási szerződés a CMS-t szabályozza, de nem az alatta lévő szervert.
Ide jönnek azok a rendszerek, amelyek már egyetlen projektlistában sem szerepelnek: staging-környezetek aldomainokon, lezárt projektek kampányoldalai, fejlesztők tesztinstallációi saját vServereken. Gyakran régebbi PHP-verziókon futnak, nincsenek felügyelve, és mégis az Ön ügynökségének vagy ügyfelének nevét viselik. Az automatizált szkenneléseknek ugyanúgy láthatók, mint a fő oldal.
Milyen kérdéseket tesznek fel most az ügyfelei
- Érinti a weboldalamat, és azóta javították?
- Bejuttattak már valamit a javítás előtt?
- Védelemnek számít a CMS frissítése? Nem, a CMS frissítése nem zárja le a PHP-rést.
- Le kell kapcsolnom a weboldalamat a hálózatról? A BSI (a német szövetségi információbiztonsági hivatal) ezt azoknak a szervereknek ajánlja, amelyeket nem lehet azonnal frissíteni.
Ezek mindegyikére az ügynökségének ügyfelenként igazolható válaszra van szüksége, nem általános kijelentésekkel teli körlevélre.
Hogyan zajlik az ügynökségek white-label IT-biztonsága
A csapata részeként dolgozunk, de saját ügyfélkapcsolat nélkül. A felosztás egyértelmű:
| Feladat | Az Ön ügynöksége | PHP SOS |
|---|---|---|
| Ügyfélkommunikáció és számlázás | igen | nem |
| Az összes ügyfél-weboldal leltára PHP-állapottal | hozzáféréseket ad | elkészíti és gondozza |
| Javítás, újraindítás, ellenőrzés szerverenként | karbantartási ablakot enged | elvégzi, vagy koordinálja a tárhelyszolgáltatókkal |
| Feltörés vizsgálata | megkapja a leletet | webshelleket és rendellenességeket keres |
| Igazolás ügyfelenként | továbbadja | semlegesen vagy az Ön formátumában elkészíti |
Idegen tárhelyszolgáltatókon lévő oldalaknál a csomagállapot igazolását kérjük be. A kijelzett verziószám önmagában nem elég, mert a backportok változatlanul hagyhatják.
Priorizálja először az Apache és mod_php szervereket, ahol a PHP-csapat a legmagasabbra értékeli a kockázatot, majd a webshopokat és a bejelentkezéses oldalakat, végül a PHP 8.1-es és régebbi verzión futó projekteket. A statikus régi projekteket, amelyekre senkinek sincs szüksége, jobb kikapcsolni, mint javítani.
Több ügyfél-weboldal egy szerveren: az elkülönítés ellenőrzése
Az ügynökségi szervereken gyakran sok ügyfél-weboldal osztozik egy gépen. Ha egyet feltörnek, az elkülönítés dönti el, hogy a támadó hozzáfér-e a többihez is. Fontosak a weboldalankénti saját rendszerfelhasználók és PHP-FPM-poolok, a rendezett fájljogosultságok és az olyan korlátok, mint az open_basedir. A Plesk-szervereken ezek a beállítások előfizetésenként ellenőrizhetők.
A javítás után érvényes: indítsa újra az összes poolt és workert. Csak ezután nem fut régi PHP-folyamat a memóriában. A naplókat 2026. 10. 20-tól minden ügyfél-weboldalhoz meg kell őrizni.
Ügyféltájékoztatás: mi igazolt, és mi nem
A legnagyobb kísértés ebben a helyzetben egy megnyugtató körlevél. Biztonságosabb az ügyfelenkénti kijelentés, amely csak azt tartalmazza, ami igazolt: melyik szerver, milyen PHP-csomagállapot, mikor indították újra, történt-e feltörés vizsgálata, és milyen eredménnyel. Az is benne áll, ami még nyitott.
Az olyan megfogalmazásokat, mint „az Ön oldala biztonságos”, jobb elkerülni. A javítás lezárja a rést, de nem bizonyítja, hogy korábban nem történt semmi. Aki ezt őszintén szétválasztja, annak később nem kell magyarázkodnia, ha mégis előkerül egy lelet.
A karbantartási szerződések újrafogalmazása a PHP2Shell után
Sok ügynökségi szerződés a CMS és a bővítmények frissítését szabályozza, a szerverről viszont hallgat. Használja ki a helyzetet, hogy minden ügyfélnél rögzítse, ki frissíti a PHP-t, ki felel az újraindításokért, ki dönt egy incidensnél, és mely szolgáltatásokat rendelik meg külön. Idetartozik az adatfeldolgozási megállapodás is az összes érintett szolgáltatóval. A szerződéses kialakítást jogi tanácsadójával tisztázza.
Hogyan segít konkrétan a PHP SOS?
- Átvesszük az összes ügyfél-weboldal felmérését PHP-verzióval, üzemmóddal, tárhelyszolgáltatóval és felelőssel.
- A PHP javítási szolgáltatásunkkal javítjuk az Ön saját szervereit, újraindítjuk az összes workert, és ezt ügyfelenként igazoljuk.
- A priorizált oldalakat feltörés szempontjából ellenőrizzük, és lelet esetén megtisztítjuk őket, amíg az incidens le nem zárul és dokumentálva nem lesz.
- Szövegblokkokat adunk az ügyféltájékoztatásához, amelyeket Ön testre szabhat és maga küldhet el.
- Ezután kívánságra egy biztonsági karbantartási szerződéssel átvesszük a folyamatos biztonsági gondozást a háttérben.
Gyakori kérdések
Fellépnek az ügyfeleink felé?
Csak ha Ön azt kívánja. A white-label modellben kizárólag a háttérben dolgozunk, és minden kommunikáció az Ön ügynöksége útján zajlik. A dokumentációnkat semleges formában vagy az Ön formátumában szállítjuk.
Szükségünk van ehhez adatfeldolgozási szerződésre?
Ha az ügyfelei személyes adatait tartalmazó rendszerekhez férünk hozzá, általában adatfeldolgozási megállapodásra van szükség, gyakran alfeldolgozói megállapodás formájában. Hogy ez hogyan illeszkedik a meglévő szerződéseihez, azt jogi tanácsadójával tisztázza. A tevékenységeinkre vonatkozó szükséges adatokat rendelkezésre bocsátjuk.
Mi a helyzet azokkal az ügyfél-weboldalakkal, amelyeknek a szerverét egyáltalán nem mi kezeljük?
Ha az ügyfél-weboldalak idegen tárhelyszolgáltatóknál vannak, az Ön nevében vagy az Ön mintái alapján kérünk igazolást a javítási állapotról és az újraindításról. Ahol csak FTP- vagy CMS-hozzáférés áll rendelkezésre, megvizsgáljuk, mi lehetséges onnan, és nyíltan jelöljük, mit tud igazolni csak a tárhelyszolgáltató.
A PHP2Shell után tartósan kiszervezhetjük ezt?
Igen. Sok feladat minden résnél ismétlődik: a leltár gondozása, a javítások telepítése, az újraindítások igazolása, a rendellenességek jelentése. Ez a munka folyamatos háttérgondozásként megszervezhető.