# Középvállalkozások és az ipar kiberbiztonsága: a PHP-rendszerek kézben tartása

> Kereskedői portál, B2B-shop, konfigurátor: így találják meg a cégek a szétszórt PHP-rendszereket, javítják a PHP2Shell ellen és dokumentálják NIS2-re.

Forrás: https://phpsos.de/hu/branchen/mittelstand-industrie/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A középvállalkozások kiberbiztonsága a PHP2Shell esetében ritkán a javításon bukik, hanem az áttekintésen. A weboldal mellett kereskedői portálok, konfigurátorok, karrieroldalak és belső wikik futnak különböző szolgáltatóknál. Csak egy teljes lista teszi kezelhetővé a kockázatot, és igazolhatóvá az ügyfelek és a felügyelet felé.

## Tipikus PHP-rendszerek a középvállalkozásoknál

Az évek során a gyártó cégeknél sok webalapú alkalmazás gyűlik össze: B2B-shopok pótalkatrészekhez, árlistás kereskedői és partnerportálok, termékkonfigurátorok, letöltési területek műszaki dokumentációhoz és CAD-adatokhoz, reklamációs és szervizportálok, jelentkezéskezelős karrieroldalak. Belsőleg ide jönnek a wikik, például a [MediaWiki](https://phpsos.de/hu/plattformen/mediawiki/), a hibajegy-eszközök és a webanalitika.

Ennek nagy része PHP-n fut. A rendszereket gyakran a szakterületek rendelték meg, ügynökségek építették, és olyan tárhelyszolgáltatóknál üzemelnek, amelyeket a központi IT nem ismer. Éppen itt van egy PHP2Shell-szerű rés esetén az igazi probléma.

## Mely adatok és kapcsolatok lehetnek érintettek

A portálokban vevői feltételek, kereskedői kapcsolattartók, ajánlati és megrendelési adatok, valamint titoktartási megállapodások alá eső rajzok vannak. A jelentkezési portálok önéletrajzokat és bizonyítványokat tartalmaznak. A versenytársak és a zsarolók számára a konstrukciós adatok és az árszerkezetek gyakran értékesebbek a személyes adatoknál.

Kritikusak a kapcsolatok: sok portál adatot cserél az ERP-vel, az árukészlet-kezelővel vagy a PIM-mel. Aki kódot futtat egy ilyen webszerveren, ott interfészekhez, adatbázisokhoz vagy VPN-hez tartozó hozzáférési adatokat talál. Egy feltört portál így a vállalati hálózatba való belépő lehet.

## Középvállalkozások és kiberbiztonság: ellátási lánc és NIS2

A [NIS2](https://phpsos.de/hu/compliance/nis2/) révén sok vállalkozásra kibővített kötelezettségek vonatkoznak a kockázatkezelésre és a jelentős biztonsági incidensek bejelentésére. Hogy az Ön cége közvetlenül érintett-e, az ágazattól és a mérettől függ. Közvetve sokkal többen érintettek, mert az ügyfelek szerződéseken keresztül továbbadják a biztonsági követelményeket a beszállítóiknak.

A vezetőség számára ehhez jön a saját felelősségének kérdése. Hogy ezzel kapcsolatban általában mi érvényes, azt a [vezetők felelősségéről](https://phpsos.de/hu/compliance/geschaeftsfuehrer-haftung/) szóló oldal magyarázza. Az egyedi esetben történő értékelés a jogi tanácsadójára tartozik.

> **Fontos:**
> A Palo Alto Networks (Unit 42) több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt össze. Egy ügynökség elfelejtett tesztrendszere ugyanúgy látható az automatizált szkennelések számára, mint az Ön fő weboldala.

## A tipikus felelősségi rés a középvállalkozásoknál

| Terület | Ki dönt gyakran | Mi hiányzik |
|---|---|---|
| Céges weboldal | marketing, ügynökséggel | PHP-javítás igazolása |
| Kereskedői portál, B2B-shop | értékesítés, szolgáltatóval | beépítés az IT-biztonsági koncepcióba |
| Karrieroldal | személyzeti osztály, szolgáltatóval | tisztánlátás a tárhelyről és az adatokról |
| Belső eszközök | egyes osztályok | leltár és felelősök |

A központi IT a hálózatért, a munkaállomásokért és az ERP-ért felel, de gyakran nincs hozzáférése a külsőleg üzemeltetett rendszerekhez. Ez a minta minden kritikus résnél szűk keresztmetszetté válik. Segít egy egyszerű szabály: minden olyan webalkalmazást, amely céges adatokat dolgoz fel, az üzemeltetővel és a kapcsolattartóval együtt be kell jelenteni az IT-nek, mielőtt élesbe lép.

## A webszerver és a termelési hálózat tiszta szétválasztása

Az iparban olyan webalkalmazások is vannak, amelyek gépekkel és berendezésekkel kommunikálnak: szerviz- és távkarbantartási portálok, gépadatokat mutató dashboardok, portálok olyan ügyfeleknek, akik a szállított berendezéseik állapotát kérdezik le. Ezek egy része PHP-ra épül, és olyan hálózati szegmensben áll, amelynek több kapcsolata van, mint amennyi a feladathoz szükséges.

A feltört webszerver nem lehet ugródeszka a termelésbe. Ellenőrizze, milyen kapcsolatok állnak fenn a webszerverek hálózati szegmenseiből az irodai és termelési hálózatokba, és korlátozza őket a szükségesre. A webszervereken tárolt hozzáférési adatoknak csak azokat a jogokat szabad tartalmazniuk, amelyekre az alkalmazásnak valóban szüksége van. Távkarbantartási hozzáféréseknél ez különösen érvényes.

## Az első órák az IT-vezetésnek és a vezetőségnek

1. Készítsen leltárt az összes kívülről elérhető PHP-rendszerről: domain, üzemeltető, PHP-verzió, üzemmód, kapcsolattartó.
2. Először a mod_php-t használó és a PHP 8.1-es vagy régebbi verzión futó rendszereket kezelje. A mod_php esetében a PHP-csapat a kockázatot a legmagasabbra értékeli.
3. Minden rendszerhez igazoltassa írásban a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra való javítást, illetve a backportot és az újraindítást. Amit nem lehet igazolni, azt kapcsolja le átmenetileg a hálózatról.
4. Mentse a naplókat 2026. 10. 20-tól, és ellenőrizze a webszerverek belső hálózatba vezető kapcsolatait.
5. Dokumentálja tömören az állapotot, hogy igazolhatóan válaszolhasson az ügyfeleknek, a biztosítónak és adott esetben a hatóságoknak.

## Hogyan segít konkrétan a PHP SOS?

- Az IT-vel és a szakterületekkel közösen elkészítjük a PHP-rendszerek leltárát, és kockázat szerint priorizáljuk.
- Koordináljuk a javításokat és újraindításokat az ügynökségekkel és tárhelyszolgáltatókkal, és egy helyen gyűjtjük az igazolásokat.
- Gyanú esetén átvesszük a strukturált [incidenskezelést](https://phpsos.de/hu/leistungen/incident-response/) nyomrögzítéssel és a céges hálózatba vezető kapcsolatok vizsgálatával.
- Ezután [biztonsági auditot vagy penetrációs tesztet](https://phpsos.de/hu/leistungen/sicherheitsaudit-penetrationstest/) ajánlunk szakosodott partnerek által, amelynek eredményét bemutathatja az ügyfeleknek.
- Kívánságra folyamatosan felügyeljük a rendszereket, hogy a leltár naprakész maradjon.


## Gyakori kérdések

**Vonatkozik ránk a NIS2?**  
Ez az ágazattól, a vállalkozás méretétől és a forgalomtól függ, és esetenként kell megvizsgálni. Aki nem tartozik közvetlenül a NIS2 hatálya alá, az is gyakran az ellátási láncban lévő ügyfelein keresztül érzi a követelményeket. A kötelező besorolást jogi tanácsadójával tisztázza.

**Vezethet egy feltört webszerver a céges hálózatba?**  
Lehetséges, ha a webszervernek van kapcsolata a belső hálózattal, például ERP-interfészek, közös hozzáférési adatok vagy VPN-alagút révén. Hogy ez Önnél fennáll-e, a hálózati kapcsolatok és a tárolt hozzáférési adatok vizsgálata mutatja meg.

**Hogyan találjuk meg a cég összes PHP-alkalmazását?**  
A kiindulópont a DNS-bejegyzések, a tanúsítványok, a tárhelyszámlák és az ügynökségekkel kötött szerződések. Kiegészítésként a marketingben, az értékesítésben, a szervizben és a személyzeti területen végzett kikérdezések segítenek. Ilyenkor többnyire olyan rendszerek bukkannak fel, amelyekről az IT-osztály nem is tudott.

**Mit várnak tőlünk az ügyfelek a PHP2Shell után beszállítóként?**  
Egyes ügyfelek aktívan rákérdeznek, érintettek voltak-e a beszállítóik, és hogyan reagáltak. Hasznos egy tömör, igazolható bemutatás: mely rendszerek, milyen javítási állapot, mikor indították újra, milyen vizsgálatok történtek feltörés kimutatására. Többet ígérni, mint ami igazolt, árt.

## Források

- [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: biztonsági közlemények](https://www.php.net/)
- [TechTarget: PHP2Shell, 22 millió kitett szerver](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)