Trumpai: Savivaldybės svetainės saugumo spraga yra incidentas su viešumu. Išsiaiškinkite, kas eksploatuoja serverį, paprašykite patvirtinti PHP pataisą ir paleidimą iš naujo ir pasiruoškite avarinį puslapį, jei svetainę tektų laikinai atjungti nuo tinklo. Komunikacija gyventojams ir spaudai turėtų būti suderinta, kol dar neatėjo klausimai.
Kokias PHP sistemas savivaldybės paprastai eksploatuoja
Daug savivaldybių interneto svetainių veikia ant TYPO3, be to, ant kitų PHP sistemų. Aplink pagrindinę svetainę atsiranda kitų programų: internetinės formos prašymams ir registracijoms, trūkumų pranešimų sistemos, renginių kalendoriai, piliečių dalyvavimas, darbo skelbimų portalai, ikimokyklinio ugdymo registracija, turizmo puslapiai, bibliotekų katalogai ir atskirų įstaigų, tokių kaip muzikos mokykla ar komunalinės įmonės, svetainės.
Kai kurias iš šių programų eksploatuoja pati savivaldybė, kitas savivaldybių duomenų centras, savivaldybių sąjunga (Zweckverband) ar specializuotos programinės įrangos gamintojas. Kas nori uždaryti spragą PHP, pirmiausia turi žinoti, kieno serveriuose kokia programa veikia.
Mažesnės savivaldybės dažnai neturi savo IT skyriaus. Ten svetaine šalia kitų darbų rūpinasi vienas pagrindinio valdymo skyriaus (Hauptamt) darbuotojas, technika yra pas agentūrą, o sutartys sudarytos laikais, kai niekas negalvojo apie kritinius programavimo kalbos pažeidžiamumus. Didesni miestai turi priešingą problemą: tiek skyrių, projektų ir įstaigų svetainių, kad vos kas žino visą sąrašą.
Kas pastatyta ant kortos savivaldybių svetainėse
Formose ir portaluose yra gyventojų duomenys: adresai, gimimo datos, duomenys apie vaikus ikimokyklinio ir mokyklinio ugdymo registracijose, nuotraukos ir vietos trūkumų pranešimuose, paraiškos dėl darbo. Viešosioms įstaigoms galioja BDAR ir žemės duomenų apsaugos įstatymas (Vokietijos įstatymas), atsakinga paprastai yra žemės duomenų apsaugos priežiūros institucija.
Ne mažiau svarbus yra vientisumas: savivaldybės svetainė yra oficialus šaltinis. Manipuliuotas turinys, suklastoti paskelbimai ar nukreipimai į sukčių puslapius miesto vardu kenkia pasitikėjimui toli už techninės žalos ribų.
Savivaldybių domenais pasitiki gyventojai ir paieškos sistemos. Būtent tai daro juos patrauklius užpuolikams: kaip šlamšto siuntėją, sukčių puslapių saugyklą ar platformą melagingoms žinioms, pavyzdžiui, apie rinkimus, nenumatytas oro sąlygas ar mokesčius.
Savivaldybė ir svetainės saugumo spraga: kas ką sprendžia?
| Vaidmuo | Tipinė užduotis incidento metu |
|---|---|
| Savivaldybių duomenų centras arba IT paslaugų teikėjas | Serveris, PHP paketai, paleidimas iš naujo, tinklo atskyrimas |
| Pagrindinis valdymo skyrius arba IT koordinavimas | Bendras valdymas, užsakymai, avarinis planas |
| Spaudos tarnyba | Gyventojų ir žiniasklaidos informavimas |
| Įstaigos duomenų apsaugos pareigūnas | Pranešimo pareigos vertinimas |
| Interneto agentūra | CMS, plėtiniai, turinys |
Spraga dažnai atsiranda tarp duomenų centro ir agentūros: duomenų centras eksploatuoja serverį, agentūra prižiūri TYPO3, ir kiekviena pusė mano, kad PHP rūpinasi kita. TYPO3 atnaujinimas PHP2Shell neuždaro.
BSI situaciją įvertino įspėjimo lygiu 3 / oranžiniu ir rekomenduoja nedelsiant atnaujinti. Jei savivaldybės žiniatinklio serverio iš karto pataisyti negalima, laikinai atjunkite jį nuo tinklo ir įjunkite statinį avarinį puslapį.
Pirmosios valandos administracijoje
- Surašyti visas svetaines ir specializuotas programas su prieiga per žiniatinklį, įskaitant įstaigas ir turizmą.
- Iš kiekvieno eksploatuotojo raštu gauti patvirtinimą: PHP yra 8.5.12, 8.4.27, 8.3.36 ar 8.2.35 arba įdiegtas backport, visi procesai paleisti iš naujo.
- Nepatvirtintas sistemas atjungti nuo tinklo arba iki pataisos apsaugoti virtualiu pataisymu. Cloudflare nurodo, kad vien pagal užklausos duomenis taisyklių nepakanka; tai tiltas, o ne pakaitalas.
- Išsaugoti žurnalus nuo 2026-10-20.
- Informuoti spaudos tarnybą ir duomenų apsaugos pareigūną bei suderinti dalykišką kalbos liniją. Padeda puslapis apie krizių komunikaciją.
Ką BSI konkrečiai rekomenduoja, apibendrina puslapis BSI rekomendacijos dėl PHP2Shell. Klausimus dėl viešųjų pirkimų ir skubaus užsakymo spręskite pagal savo vidaus taisykles.
Prevencija: avarinis puslapis, inventorius ir pavadavimas
Kita kritinė spraga tikrai ateis. Tada trys pasiruošimai sutaupo valandas: paruoštas statinis avarinis puslapis su telefono numeriais, darbo laiku ir nuorodomis dėl skubių reikalų, kurį galima pateikti be PHP. Prižiūrimas visų žiniatinklio programų inventorius su eksploatuotoju, kontaktiniu asmeniu ir sutarties pagrindu. Ir pavadavimo tvarka, kad sprendimus, pavyzdžiui, išjungti svetainę, būtų galima priimti ir vakarais bei savaitgaliais.
Šie punktai priklauso administracijos IT avariniam planui. Savarankiškos įmonės, komunalinės įmonės ir įstaigos su savo svetainėmis jame turėtų būti paminėtos aiškiai, nes kitaip inventorizuojant jų pritrūksta.
Kaip konkrečiai padeda PHP SOS?
- Padedame jūsų IT koordinavimui sudaryti inventorių ir su duomenų centru, gamintojais ir agentūra išsiaiškiname, kas kokią sistemą pataiso.
- Kur eksploatuojate patys, per PHP pataisų paslaugą perimame atnaujinimą, paleidimą iš naujo ir raštišką įrodymą.
- Įtarus pažeidimą išsaugome pėdsakus ir tikriname turinį dėl manipuliacijų, prieš svetainei vėl pasirodant internete.
- Eigą dokumentuojame taip, kad duomenų apsaugos pareigūnas, administracijos vadovybė ir audito institucija galėtų ją atsekti.
Dažni klausimai
Ar galime tiesiog išjungti savivaldybės svetainę?
BSI (Vokietijos federalinė informacijos saugumo tarnyba) rekomenduoja laikinai atjungti žiniatinklio serverius nuo tinklo, jei atnaujinimas iš karto neįmanomas. Savivaldybėms tinka statinis avarinis puslapis su svarbiausiais kontaktais. Kas tai gali spręsti viduje, turėtų būti nurodyta avariniame plane.
Ar paveikta tarybos informacinė sistema?
Tai priklauso nuo technikos ir eksploatavimo. Tarybos informacines sistemas ir internetines paslaugas dažnai eksploatuoja specializuotų administracinių procedūrų programinės įrangos gamintojai arba savivaldybių duomenų centrai. Konkrečiai paklauskite jų apie PHP naudojimą, pataisų būseną ir paleidimą iš naujo.
Kuri duomenų apsaugos institucija atsakinga už savivaldybes?
Žemių ir savivaldybių viešosioms įstaigoms paprastai atsakinga atitinkamos federalinės žemės duomenų apsaugos priežiūros institucija. Be to, galioja žemių duomenų apsaugos įstatymai (Vokietijos įstatymai). Jūsų įstaigos duomenų apsaugos pareigūnas žino pranešimo kelius.