# Feltört egyesületi weboldal? IT-biztonság egyesületeknek és szövetségeknek > Feltört vagy a PHP2Shell által veszélyeztetett egyesületi weboldal? Így védik az elnökségek a tagi adatokat és bankszámlaszámokat, informatikus nélkül is. Forrás: https://phpsos.de/hu/branchen/vereine-verbaende/ Állapot: 2026. 10. 25. Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6 **Röviden:** Ha az egyesülete weboldalát feltörték, vagy javítatlan PHP-n áll, nincs szükség nagy költségvetésre, de egyértelmű felelősségre igen. Egy elnökségi tag rákérdez a tárhelyszolgáltatónál a javítási állapotra, biztosítja a hozzáféréseket, és szükség esetén dönt az oldal átmeneti kikapcsolásáról. A tagi adatok itt elsőbbséget élveznek a programnaptárral szemben. ## Hogyan épülnek fel tipikusan az egyesületi weboldalak A legtöbb egyesületi és szövetségi oldal [WordPressen](https://phpsos.de/hu/plattformen/wordpress/) vagy [Joomlán](https://phpsos.de/hu/plattformen/joomla/) fut, egy elkötelezett tag állította be, gyakran sok évvel ezelőtt. Tipikus funkciók: időpontok és mérkőzésnaptárak, fotógalériák, tagi terület jegyzőkönyvekkel, online tagfelvételi kérelmek SEPA-beszedési meghatalmazással, adományozási űrlapok, valamint jelentkezések tanfolyamokra, versenyekre vagy kirándulásokra. A szövetségek emellett portálokat üzemeltetnek tagvállalatoknak vagy helyi csoportoknak, bizalmas iratokat tartalmazó testületi területeket és szemináriumfoglalásokat. Szinte mindez PHP-ra épül, és olcsó [webtárhelyen](https://phpsos.de/hu/server/shared-hosting/) áll. ## Milyen tagi adatok vannak a szerveren Az online tagfelvételi kérelmek neveket, születési adatokat, címeket és bankszámlaszámokat tartalmaznak. A sportegyesületekben sok tag kiskorú, a kérelmek ilyenkor a törvényes képviselőket is megnevezik. Egyes adatok a GDPR 9. cikke szerinti különleges kategóriákba tartoznak, például az egészségügyi adatok a rehabilitációs és fogyatékossági sportban, vagy a szakszervezeti és vallási közösségi tagság. Gyakran elfelejtett fájlok is vannak a szerveren: táblázatként tárolt taglisták a pénztárosnak, exportok az egyesületi lap postázásához, régi mentések. Éppen ezeket lehet egy támadásnál gyorsan lemásolni. A szövetségeknél más adatok is jönnek: tagvállalatok kapcsolattartói és mutatói, tervezet állapotú állásfoglalások, elnökségi és szakbizottsági ülések jegyzőkönyvei. Ami ott bizalmasan elhangzott, az szivárgás esetén gyengítheti a tárgyalási pozíciókat, vagy egymás ellen hangolhatja a tagokat. A szövetségeknél ezért a tagi terület gyakran kényesebb, mint a nyilvános weboldal. ## Egyesület és feltört weboldal: mit jelent ez konkrétan - **Bankadatokkal való visszaélés:** nevekkel és IBAN-nal hamis beszedések vagy az egyesület nevében küldött csalólevelek készíthetők elő. - **Hírnév a közösségben:** az egyesületi oldal, amely kétes ajánlatokra irányít át, feltűnik a tagoknak, a szponzoroknak és a helyi sajtónak. - **Bejelentési kötelezettség:** az egyesületek is a GDPR szerinti adatkezelők. Adatszivárgás esetén 72 órán belüli bejelentés lehet szükséges a felügyeleti hatóságnak. A nagyobb egyesületeknek erre adatvédelmi felelősük van, a kisebbek az ernyőszervezethez vagy jogi tanácsadáshoz fordulnak. ## A tipikus rés: önkéntesség és elnökségváltás Az egyesületben gyakran csak egyetlen ember ismeri a technikai részleteket. Ha kilép, vagy az elnökség cserélődik, hiányoznak a hozzáférési adatok, és senki sem tudja, melyik PHP-verzió fut. A CMS frissítése nem zárja le a PHP2Shell-t. A PHP-ért rendes webtárhelynél a tárhelyszolgáltató felel, a megkeresésnek azonban az egyesülettől kell érkeznie. > **Tipp:** > Rögzítse az elnökségben, ki felel a weboldalért, és a domain, a tárhely és az adminisztrációs terület hozzáféréseit úgy tárolja, hogy legalább két személy hozzáférjen. Védje a rendszergazdai fiókokat [kétfaktoros bejelentkezéssel](https://phpsos.de/hu/ratgeber/zwei-faktor-admin/). ## Első lépések az elnökségnek 1. Kérdezze meg írásban a tárhelyszolgáltatót: a mi csomagunkhoz a PHP a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra frissítve van, vagy backporttal javítva és újraindítva? 2. Egyértelmű válasz nélkül vagy rendellenességeknél kapcsolja ki átmenetileg az oldalt. A programokat ez idő alatt körlevélben lehet terjeszteni. 3. Kérje meg a tárhelyszolgáltatót, hogy őrizze meg a naplókat 2026. 10. 20-tól. 4. Távolítsa el a szerverről a régi taglistákat, exportokat és a nem használt bővítményeket, és törölje a felesleges rendszergazdai fiókokat. 5. Adatszivárgásra utaló jelek esetén vonja be az adatvédelmi felelőst vagy az ernyőszervezetet. ## Kis költségvetéssel értelmesen priorizálni Egyetlen egyesületnek sem kell minden biztonsági intézkedést egyszerre megvalósítania. Értelmes a kár szerinti sorrend: először védjen meg vagy távolítson el mindent, ami bankszámlaszámokat és gyermekek adatait tartalmazza. Aztán a bejelentkezéses oldalakat, vagyis a tagi területet és a rendszergazdai hozzáférést. Végül a programokat, beszámolókat és galériákat, amelyek úgyis nyilvánosak. Gyakran a legolcsóbb megoldás a funkciók átadása, ahelyett hogy saját maga üzemeltetné őket. A tagfelvételi kérelmek és a beszedési meghatalmazások egy szolgáltató által üzemeltetett egyesületkezelőn keresztül is lebonyolíthatók, saját építésű űrlap helyett. A tagvállalati portálokat működtető szövetségeknek meg kell vizsgálniuk, hogy ott vannak-e bizalmas testületi iratok, amelyek jobban meg lennének őrizve egy külön védett rendszerben. Minél kevesebb adat van az egyesületi weboldalon, annál kisebb a következő rés okozta teher. ## Hogyan segít konkrétan a PHP SOS? - Segítünk az elnökségnek visszaszerezni a hozzáféréseket, és a tárhelyszolgáltatóval tisztázzuk a javítási állapotot. - Gyanú esetén megvizsgáljuk az oldalt kártékony kód és ismeretlen fiókok szempontjából, és megtisztítjuk a [vészhelyzeti segítségnyújtásunk](https://phpsos.de/hu/leistungen/website-gehackt-notfallhilfe/) keretében. - Célzottan rendet teszünk: amire az egyesületnek nincs szüksége, azt eltávolítjuk, ahelyett hogy tovább védenénk. - Rövid, érthető átadást adunk, hogy a következő elnökség is tudja, mi hol van. ## Gyakori kérdések **Felelős az elnökség, ha az egyesületi weboldalt feltörik?** Az egyesület felelős a tagjai adataiért, az elnökség pedig képviseli az egyesületet. Hogy felmerülhet-e személyes felelősség, és milyen mértékben, az az egyedi esettől és az alapszabálytól függ. Ez jogi tanácsadásra vagy az ernyőszervezetre tartozó kérdés. **A webmesterünk kilépett. Hogyan jutunk hozzá a hozzáférésekhez?** A tárhelyszolgáltató szerződő partnere általában az egyesület. A képviseleti jogosultság igazolásával, például nyilvántartási kivonattal, az elnökség a tárhelyszolgáltatónál visszaállíttathatja a hozzáféréseket. Ezután a hozzáférési adatoknak olyan helyen kell lenniük, amelyhez legalább két elnökségi tag hozzáfér. **Mi nem kerül semmibe, és azonnal segít?** Írásban rákérdezni a tárhelyszolgáltatónál a PHP-javítási állapotra, törölni a nem használt rendszergazdai fiókokat, eltávolítani a már nem szükséges bővítményeket, és törölni a szerverről a régi taglistaexportokat. Ez jelentősen csökkenti a kockázatot, de nem pótolja a vizsgálatot, ha már vannak a feltörésre utaló jelek. ## Források - [php.net: biztonsági közlemények](https://www.php.net/) - [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/) - [GDPR 33. cikk: bejelentés a felügyeleti hatóságnak](https://dsgvo-gesetz.de/art-33-dsgvo/)