# IT sauga namų valdytojams ir nekilnojamojo turto įmonėms

> Nuomininkų portalas, žalos pranešimas, nuomininko anketa: kaip namų valdytojai ir nekilnojamojo turto įmonės apsaugo PHP sistemas nuo PHP2Shell.

Šaltinis: https://phpsos.de/lt/branchen/immobilien-hausverwaltung/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** Namų valdytojo IT saugai svarbiausios sistemos, per kurias nuomininkai ir savininkai pateikia duomenis: portalai, žalos pranešimai ir paraiškų butams formos. Išsiaiškinkite, kurios iš jų veikia jūsų nuosavame serveryje, paprašykite patvirtinti PHP pataisą ir turėkite atsarginį kelią skubiems žalos pranešimams.

## Kokias PHP sistemas naudoja namų valdytojai ir makleriai

Daug valdytojų dirba su sektoriaus programine įranga objektams, nuomai ir eksploatacijos išlaidoms. Į išorę prisideda kitos sistemos: nuomininkų ir savininkų portalai su dokumentų saugykla, internetinės žalos pranešimų formos su nuotraukų įkėlimu, butų pasiūlymai su pretendentų forma ir nuomininko savarankišku pranešimu, sritys savininkų susirinkimams su protokolais ir sprendimais.

Dalis jų eksploatuojama kaip programinės įrangos teikėjo paslauga, kita veikia nuosavoje svetainėje, dažnai WordPress su nekilnojamojo turto įskiepiais. PHP2Shell atveju būtent šis skirtumas yra lemiamas.

Prisideda sąsajos, kurių kasdienybėje vos kas nors pastebi: nekilnojamojo turto pasiūlymai automatiškai perkeliami iš sektoriaus programinės įrangos į svetainę ir nekilnojamojo turto portalus, skaitiklių rodmenys ateina iš matavimo paslaugų teikėjų, amatininkų užsakymai eina per savas formas. Kiekvienam šiam ryšiui reikia prieigos duomenų, kurie dažnai saugomi žiniatinklio serveryje. Po incidento jie visi turi būti atnaujinti, kitaip užpuolikui lieka užpakalinės durys į gretimas sistemas.

## Kokius duomenis patiki nuomininkai ir savininkai

Namų valdytojo sistemose yra nuomos sutartys, banko rekvizitai tiesioginiam debetavimui, eksploatacijos išlaidų apskaitos, skaitiklių rodmenys, susirašinėjimas dėl trūkumų ir ginčų bei nuotraukos iš butų. Pretendentų atveju prisideda savarankiški pranešimai su pajamų įrodymais, asmens dokumentų kopijomis ir kredito istorijos pažymomis. Savininkų portaluose yra sprendimai, atidėjimai ir kartais informacija apie užraktų sistemas.

Užpuolikams šie duomenys įdomūs dėl dviejų priežasčių: jie leidžia pasisavinti tapatybę ir pateikia viską, ko reikia patikimiems sukčių laiškams, pavyzdžiui, tariamam naujam nuomos sąskaitos rekvizitui. Įkelti failai taip pat yra tipiškas atakos kelias. Kaip saugiai įgyvendinti įkėlimus, paaiškina vadovas [Failų įkėlimai PHP](https://phpsos.de/lt/ratgeber/datei-upload-sicher/).

## Namų valdymas ir IT sauga: ką incidentas reiškia

Jei portalas sugenda, trūksta kanalo skubiems pranešimams, tokiems kaip vandens žala ar šildymo gedimas. Tai kuria spaudimą telefonui ir budėjimo tarnybai, bet yra planuojama. Pavojingesnė yra nepastebėta ataka:

- Nuomininkai gauna suklastotus mokėjimo reikalavimus su svetimu IBAN, kuriuose nurodyti tikri sutarties duomenys.
- Butų pretendentų savarankiški pranešimai nukopijuojami ir naudojami sukčiavimui.
- Savininkai praranda pasitikėjimą valdytoju, o tai tampa tema kitame susirinkime.

Jei yra duomenų nutekėjimo požymių, gali būti reikalingas pranešimas priežiūros institucijai pagal [BDAR 72 valandų taisyklę](https://phpsos.de/lt/compliance/dsgvo-meldepflicht-72-stunden/). Vertinimą atliekate su savo duomenų apsaugos pareigūnu.

> **Veikti nedelsiant:**
> Jei niekas nepatvirtina, kad jūsų portalo serverio PHP pataisytas ir paleistas iš naujo, atjunkite portalą nuo tinklo. Žalos pranešimus laikinai nukreipkite telefonu ir budėjimo tarnybai.

## Tipinė atsakomybės spraga

| Sistema | Eksploatavimas | Kas pataiso PHP |
|---|---|---|
| Sektoriaus programinė įranga biure | IT prižiūrėtojas | dažniausiai neveikia |
| Portalas kaip teikėjo paslauga | Programinės įrangos teikėjas | Teikėjas, paprašyti patvirtinimo |
| Portalas nuosavame serveryje | Hostingo teikėjas arba paslaugų teikėjas | pagal sutartį, dažnai neišaiškinta |
| Svetainė su butų pasiūlymais | Agentūra ir hostingo teikėjas | Hostingo teikėjas esant žiniatinklio hostingui |

Prisideda tai, kad mažesnėse valdymo įmonėse niekas neturi bendro vaizdo. Agentūra pažįsta svetainę, IT prižiūrėtojas biuro kompiuterius, programinės įrangos teikėjas savo portalą.

## Tinkamai įtraukti savininkus, tarybas ir nuomininkus

Butų savininkų bendrijų (WEG) valdyme savininkai ir valdymo tarybos nėra tik paveikti asmenys, bet ir užsakovai. Jie pagrįstai tikisi, kad valdytojas incidento metu praneš atvirai ir įrodomai. Trumpa ataskaita su priežastimi, paveiktomis sistemomis, imtomis priemonėmis ir atvira būsena yra geriau nei tyla iki kito susirinkimo.

Nuomininkams pirmiausia reikia praktinių nurodymų: koks pranešimo kelias šiuo metu galioja, kad banko rekvizitai nesikeičia el. paštu ir kam jie gali perduoti įtartinas žinutes. Suderinti tekstai neleidžia, kad namų prižiūrėtojas, klientų aptarnavimo specialistas ir buhalterija duotų skirtingus atsakymus.

## Pirmosios valandos vadovybei

1. Surašyti visus portalus ir formas ir kiekvienam išsiaiškinti, kur jis veikia.
2. Raštu patvirtinti pataisų būseną iki 8.5.12, 8.4.27, 8.3.36 ar 8.2.35 arba backport ir paleidimą iš naujo.
3. Išsaugoti žurnalus nuo 2026-10-20, leisti patikrinti įkėlimų katalogus dėl nežinomų failų.
4. Patikrinti portalų darbuotojų paskyras ir po išvalymo apsaugoti jas [dviejų veiksnių autentifikacija](https://phpsos.de/lt/ratgeber/zwei-faktor-admin/).
5. Iš anksto pranešti nuomininkams, kad banko rekvizitai nesikeičia el. paštu.

## Kaip konkrečiai padeda PHP SOS?

- Surandame jūsų portalus ir formas ir su teikėju, agentūra bei hostingo teikėju išsiaiškiname atsakomybes.
- Tikriname pataisų būseną ir paleidimą iš naujo bei tiriame įkėlimų aplankus ir duomenų bazes dėl webshell.
- Užkrėtimo atveju išvalome pagal [avarinę pagalbą nulaužtoms svetainėms](https://phpsos.de/lt/leistungen/website-gehackt-notfallhilfe/) ir dokumentuojame incidentą duomenų apsaugos pareigūnui bei draudikui.
- Su [saugumo priežiūros sutartimi](https://phpsos.de/lt/leistungen/security-wartungsvertrag/) PHP jūsų serveriuose lieka nuolat atnaujintas ir stebimas.


## Dažni klausimai

**Mūsų nuomininkų portalas yra teikėjo programinė įranga. Ar mes paveikti?**  
Jei portalas veikia kaip paslauga pas teikėją, už serverį ir PHP atsako jis. Raštu paklauskite jo apie būseną. Jei ta pati programinė įranga veikia jūsų nuosavame serveryje ar pas jūsų hostingo teikėją, pataisa ir paleidimas iš naujo yra jūsų ar jūsų paslaugų teikėjo reikalas.

**Kurie nuomininko savarankiško pranešimo duomenys ypač jautrūs?**  
Pajamų įrodymai, asmens dokumentų kopijos, kredito istorijos pažymos ir duomenys apie darbdavį tinka asmens tapatybės pasisavinimui ir sukčiavimui. Jie turėtų būti saugomi tik tiek, kiek reikia nuomai. Kiek tai trunka, išsiaiškinkite su savo duomenų apsaugos pareigūnu.

**Kaip užkirsti kelią suklastotiems mokėjimo reikalavimams nuomininkams?**  
Praneškite nuomininkams, kad jūsų banko rekvizitai nesikeičia el. paštu ar portalo žinute be patvirtinimo antru keliu. Po incidento nuomininkus turėtumėte aktyviai įspėti. Techniškai padeda portalų sutvirtinimas ir dviejų veiksnių autentifikacija darbuotojų paskyroms.

## Šaltiniai

- [php.net: saugumo pranešimai](https://www.php.net/)
- [BSI (Vokietijos federalinė informacijos saugumo tarnyba): įspėjimai ir rekomendacijos](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [BDAR 33 straipsnis: pranešimas priežiūros institucijai](https://dsgvo-gesetz.de/art-33-dsgvo/)