Röviden: Menedzselt szervernél a szolgáltató a biztonság egy részét átveszi, jellemzően az operációs rendszert, a PHP-csomagokat és a szabványos szolgáltatásokat. Az alkalmazás, a bővítmények, a hozzáférések és az adatvédelmi jogi felelősség többnyire Önnél marad. A PHP2Shell után mindkettőt érdemes írásban tisztázni: mit tett a szolgáltató, és mi van még Önnél?
Mit jelent a „menedzselt”, és mit nem
A kifejezés nem védett. Az egyik szolgáltató alatta talán csak az operációs rendszer frissítéseinek telepítését érti, egy másik a webszervert, a PHP-t, az adatbázist és a mentéseket is gondozza. Egyes díjcsomagok a nap 24 órájában felügyeletet tartalmaznak, mások csak egy kapcsolattartót munkaidőben.
Éppen egy olyan helyzetben, mint a PHP2Shell, derül ki, mennyire pontos a szolgáltatásleírás. A CVE-2026-109618 és a CVE-2026-109619 rés magában a PHP-ban van. Hogy a szolgáltatója a PHP-t a platformja részeként gondozza-e, vagy a PHP „az Ön szoftverének” számít, azt a szerződés tartalmazza. Ne támaszkodjon arra a feltevésre, hogy valaki már úgyis foglalkozik vele.
Menedzselt szerver biztonsága: tipikus feladatmegosztás
A következő táblázat egy gyakori megoszlást mutat. Nem helyettesíti a szerződés áttekintését, de segít a megfelelő kérdések feltevésében.
| Terület | Többnyire a szolgáltatónál | Többnyire Önnél |
|---|---|---|
| Hardver, hálózat, virtualizáció | igen | nem |
| Operációs rendszer frissítései | igen | nem |
| A platform PHP-csomagjai | gyakran | ha saját maga telepítette |
| A PHP-FPM és a webszerver újraindítása | gyakran | saját szolgáltatásoknál |
| Szerverszintű PHP-konfiguráció | gyakran | különleges kéréseknél |
| CMS, webshop, bővítmények, saját kód | nem | igen |
| Az alkalmazás adminisztrátori fiókjai | nem | igen |
| Mentések | gyakran | a helyreállítás ellenőrzése |
| Adatvédelmi incidensek értékelése és bejelentése | nem | igen |
| Támadások felügyelete | díjcsomagtól függően | díjcsomagtól függően |
A tisztázatlan mezők jelentik az igazi kockázatot. Ahol „díjcsomagtól függően” vagy „gyakran” kellene beírnia, ott hiányzik a szabályozás.
Milyen kérdéseket tegyen fel most
Küldjön a szolgáltatójának egy rövid, tárgyszerű megkeresést. Kérjen szöveges formájú választ, hogy később be tudja mutatni. A következő pontokat érdemes belefoglalni:
- Milyen PHP-verziók futnak a szerverünkön, és védettek-e a CVE-2026-109618 és a CVE-2026-109619 ellen?
- Mióta áll fenn ez, és utána újraindították-e az összes PHP-folyamatot és a webszervert?
- A javítást backportként telepítették? Ha igen, melyik csomagverzió igazolja ezt?
- Voltak-e jelek támadási kísérletekre vagy gyanús folyamatokra a szerverünkön?
- Megőrzik-e a webszerver naplóit 2026. október 20-tól, és hogyan kapjuk meg őket?
Kész mintát talál itt: A javítási állapot megkérdezése a tárhelyszolgáltatótól. Az ügyfélmenüben látható verziószám nem bizonyíték: backportoknál gyakran változatlan marad, például 8.2.34.
Akkor is ellenőrizni kell az alkalmazást, ha a szolgáltató kijavította a PHP-t. A javítás nem távolítja el a frissítés előtt bejuttatott kártevőt, és nem bizonyítja, hogy nem történt semmi.
Ami Önnél marad
Az Ön része elsősorban az alkalmazás. Ellenőrizze a CMS-t, a webshopot és a bővítményeket aktuális állapotra, távolítsa el a már nem használt kiterjesztéseket, és ellenőrizze az adminisztrátorok listáját. Figyeljen az új fájlokra a feltöltési mappákban, az idegen átirányításokra és az alkalmazás szokatlan ütemezett feladataira.
Ehhez jön a jogi oldal. Ha egy incidensnél személyes adatok idegen kezekbe kerülnek, általában az Ön vállalkozása mint adatkezelő bejelentésre köteles, nem a szolgáltató. A szolgáltatónak mint adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell Önt. Az alapokat a GDPR-bejelentési kötelezettség: 72 óra oldal magyarázza. Ez általános tájékoztatás, nem jogi tanácsadás; az egyedi esetet adatvédelmi tisztviselők vagy ügyvédek értékelik.
Egy további pontot gyakran figyelmen kívül hagynak: a szoftver, amelyet Ön vagy az ügynöksége maga telepített a menedzselt szerverre, például egy külső forrásból származó további PHP-verzió, egy konténer vagy egy segédprogram, többnyire nem tartozik a szolgáltató gondozása alá. Kérdezze meg ezért azt is, tudja-e a szolgáltató, mi fut a szabványos felszerelés mellett. És tisztázza, ki végzi a vizsgálatot gyanú esetén. Sok szolgáltató helyreállítja a platformot, de nem vizsgálja meg, érintettek-e adatok, és melyek. Pontosan erre a válaszra van szüksége az esetleges bejelentési kötelezettségek értékeléséhez.
A szerződések javítása a jövőre nézve
Használja ki a helyzetet a feladatmegosztás rögzítésére. Értelmesek a szabályozások a biztonsági frissítésekről az újraindítással együtt, a kritikus rések esetén történő tájékoztatásról, a naplók megőrzéséről és kiadásáról, valamint az incidensek során nyújtott támogatásról. Kérdezze meg azt is, hogy a szolgáltató aktívan értesíti-e Önt, vagy magának kell rákérdeznie.
A gondozás nélküli saját szerver az alternatíva, de ez a teljes munkát Önre hárítja. Hogy ez mit jelent, azt a következő oldal írja le: Root szerver és vServer saját védelme.
Hogyan segít konkrétan a PHP SOS?
- Elolvassuk a szolgáltatásleírását, és feladatmátrixot állítunk fel, amely láthatóvá teszi a hiányosságokat.
- Megfogalmazzuk a műszaki kérdéseket a szolgáltatójának, és értékeljük a válaszait.
- Ellenőrizzük az Önnél lévő alkalmazásrészt nyomokra és elavult összetevőkre.
- Amit a szolgáltató nem fed le, azt kérésre átvesszük biztonsági karbantartási szerződéssel, vagy kiegészítjük biztonsági monitoringgal.
Gyakori kérdések
Menedzselt szervernél automatikusan minden védett?
Nem. A menedzselt azt jelenti, hogy a szolgáltató bizonyos, szerződésben rögzített feladatokat átvesz, többnyire az operációs rendszert és a szabványos szolgáltatásokat. Az alkalmazás, a bővítmények, a hozzáférések és a saját szoftver gyakran az Ön felelőssége marad.
Hol áll, miért felel a szolgáltatóm?
A szolgáltatásleírásban és a szerződési feltételekben, gyakran egy külön feladatmegosztási dokumentumban is. Személyes adatok esetén ehhez jön az adatfeldolgozási szerződés. Ha a biztonsági frissítésekre nincs egyértelmű szabályozás, kérdezzen rá írásban.
Menedzselt szerver mellett is nekem kell tennem valamit a PHP2Shell miatt?
Igen. Kérjen megerősítést arról, hogy az összes PHP-verzió javítva van, és a folyamatokat újraindították. Ellenőrizze emellett az alkalmazását nyomokra, és tisztázza, áll-e fenn bejelentési kötelezettség.
Ki jelenti be az adatvédelmi incidenst, ha a szolgáltató volt érintett?
A felügyeleti hatóság felé általában az adatkezelő, vagyis az Ön vállalkozása bejelentésre köteles. A szolgáltatónak mint adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell Önt. Az egyedi esetet értékeltesse az adatvédelmi tisztviselővel.