Fil-qosor: Fis-sigurtà tal-websajt ta' spiżerija l-kwistjoni hija d-data tas-saħħa: min jordna minn qabel mediċina jew jieħu ritratt ta' riċetta jiżvela xi ħaġa dwar saħħtu. Iċċaraw min iħaddem is-server tal-web tagħkom, ħallu l-patch ta' PHP u r-restart jiġu kkonfermati u oqogħdu attenti għal reklamar moħbi ta' mediċini li l-attakkanti jieħdu pjaċir idaħħlu fuq paġni ta' spiżeriji.
Liema sistemi tal-PHP jużaw l-ispiżeriji
Ħafna spiżeriji għandhom websajt bis-sigħat tal-ftuħ, avviż tas-servizz ta' emerġenza u formola għall-ordni minn qabel. Ħafna drabi tiżdied funzjoni biex jitgħabbew ritratti tar-riċetti jew pjanijiet tal-medikazzjoni, flimkien ma' talbiet għas-servizz tal-kunsinna u appuntamenti għal konsulenzi jew tilqim. L-ispiżeriji li jibagħtu bil-posta u dawk bil-kummerċ online iħaddmu barra minn hekk ħanut, pereżempju fuq WooCommerce jew Shopware 6.
Xi paġni ġejjin minn pakketti tal-websajts ta' kooperazzjonijiet jew ta' fornituri speċjalizzati, oħrajn bnietom aġenzija lokali. Għal PHP2Shell minn dan jiddependi min iħaddem is-server u għalhekk huwa responsabbli għall-patch ta' PHP.
Partikolarment rivelanti huma t-talbiet għas-servizz tal-kunsinna. Jgħaqqdu l-indirizz tad-dar, in-numru tat-telefon u l-mediċina, ħafna drabi ta' persuni anzjani jew li jeħtieġu l-kura. Min jaqbad rekords bħal dawn jaf min jgħix waħdu, liema mediċini jintużaw regolarment u meta ssir il-kunsinna. Dan jagħmilhom interessanti għall-frodisti li jimmiraw speċifikament persuni anzjani.
Data tas-saħħa: għaliex anke formola għall-ordni minn qabel hija sensittiva
Isem flimkien ma' mediċina jagħmel data dwar is-saħħa. Informazzjoni bħal din tagħmel parti mill-kategoriji speċjali ta' data personali skont l-Art. 9 GDPR. Għall-ispiżjara japplika wkoll obbligu ta' kunfidenzjalità, li ksur tiegħu jista' jkun punibbli skont il-§ 203 StGB (il-Kodiċi Kriminali Ġermaniż).
Fuq is-server tal-web din id-data tinsab f'diversi postijiet: fid-database tal-plugin tal-formola, fir-ritratti tar-riċetti mgħobbija, fil-kodi tal-posta u fil-ħanut bl-istorja tal-ordnijiet. Min jista' jesegwixxi kodiċi permezz ta' PHP2Shell ġeneralment jaqbad dan kollu mingħajr ma jkollu bżonn jidħol.
Spiżerija u sigurtà tal-websajt: x'jagħmel attakk
- Tnixxija ta' data: Ordnijiet minn qabel u ritratti tar-riċetti jagħtu indikazzjonijiet ta' mard. Ir-riskju għall-persuni affettwati huwa għoli, u l-obbligi ta' notifika skont il-GDPR huma probabbli. It-terminu ta' 72 siegħa tevalwawh mal-uffiċjal tal-protezzjoni tad-data.
- Spam farmaċewtiku: L-attakkanti jdaħħlu paġni moħbija b'reklamar għal mediċini bir-riċetta. Il-magni tat-tiftix jiddegradaw il-paġna jew juru twissija, kif deskritt fil-gwida Neħħi t-twissija ta' Google.
- Ordnijiet minn qabel mitlufa: Jekk il-formola tfalli jew tirridirezzja, il-klijenti jkunu quddiem il-bank u l-mediċina ma tkunx ġiet ordnata.
- Ħanut manipulat: Kodiċi mibdul fil-proċess tal-ordni jista' jaqbad data tal-ħlas jew jibgħat il-klijenti lejn paġni foloz.
Aġġornament tal-ħanut jew tas-CMS ma jagħlaqx PHP2Shell. Il-vulnerabbiltà tkun mirquma biss b'PHP 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 jew b'backport ikkonfermat mill-fornitur, u biss wara r-restart tal-proċessi PHP kollha.
Il-lakuna tar-responsabbiltà fl-ispiżerija
| Qasam | Tipikament responsabbli | Spiss mhux ċar |
|---|---|---|
| Ġestjoni tal-merkanzija, kaxxi, TI | Dar tas-softwer jew IT tal-ispiżerija | Konnessjoni mal-ħanut online |
| Websajt minn pakkett ta' kooperazzjoni | Fornitur tal-pakkett | konferma bil-miktub tal-patch |
| Websajt jew ħanut proprju | Aġenzija u hoster | min jaġġorna lil PHP u jerġa' jibdieh |
Fi gruppi ta' fergħat jiżdied li kull fergħa tista' jkollha formoli jew dominji proprji li ħadd ma jżomm ċentralment.
Iddisinjaw l-ordni minn qabel u l-upload tar-riċetta b'inqas data
Ħafna formoli ta' spiżeriji jaħżnu aktar milli hu meħtieġ. Ordni minn qabel teħtieġ isem, mod kif jintlaħaq il-klijent u l-prodott mixtieq, mhux data tat-twelid, indirizz jew dijanjożi. Ritratti tar-riċetti m'għandhomx jibqgħu b'mod permanenti fil-folder tal-upload li jista' jintlaħaq pubblikament, imma jitħassru wara li jinġabru.
Iċċekkjaw ukoll fejn tmur id-data tal-formoli. Jekk kull ordni minn qabel tispiċċa bħala email mhux ikkriptata f'kaxxa postali kollettiva li għandhom aċċess għaliha ħafna impjegati, il-kaxxa postali teħtieġ protezzjoni daqs is-server. U jekk plugin tal-formola jtellaq kull talba wkoll fid-database, hemmhekk jikber kull xahar arkivju ta' data tas-saħħa li ħadd ma jeħtieġ.
Kemm inqas hemm fuq is-server tal-web, iżgħar tkun il-ħsara jekk jiġi kompromess xorta waħda. Id-deċiżjoni dwar il-perjodi ta' ħażna tieħduha mal-uffiċjal tal-protezzjoni tad-data.
L-ewwel sigħat għat-tmexxija tal-ispiżerija
- Staqsu bil-miktub lill-operatur tas-server tal-web dwar l-istat tal-patch ta' PHP u r-restart.
- Mingħajr konferma: itfu l-formola tal-ordni minn qabel u l-upload tar-riċetti u aqilbu għat-telefon. Avviż fuq il-paġna ewlenija huwa biżżejjed.
- Ħallu jinżammu l-logs mill-20/10/2026 'il quddiem.
- Fil-Google Search Console iċċekkjaw jekk jiġux irrapportati paġni mhux magħrufa jew problemi ta' sigurtà.
- Ħallu jitħassru riċetti qodma u entrati tal-formoli li m'għadhomx meħtieġa, wara ftehim mal-uffiċjal tal-protezzjoni tad-data.
Kif tgħin PHP SOS b'mod konkret?
- Niċċaraw mal-fornitur tal-pakkett, mal-aġenzija jew mal-hoster min jipatchja lil PHP, u niksbu l-konferma bl-istat tal-pakkett.
- Neżaminaw il-websajt u l-ħanut għal webshells, spam farmaċewtiku introdott u kodiċi tal-ordni mibdul u ineħħu s-softwer malizzjuż misjub.
- Nuru fejn tinsab id-data tas-saħħa fuq is-server u ngħinu nillimitaw it-tul tal-ħażna u l-uploads.
- Niddokumentaw is-sejbiet b'mod li l-uffiċjal tal-protezzjoni tad-data tagħkom ikun jista' jevalwa l-obbligu ta' notifika.
Mistoqsijiet frekwenti
Is-sistema tal-ġestjoni tal-merkanzija tagħna hija affettwata minn PHP2Shell?
Is-sistema tal-ġestjoni tal-merkanzija tal-ispiżerija u l-aċċess għall-infrastruttura tat-telematika normalment jaħdmu separati mill-websajt. L-affettwati huma s-servers tal-web tal-PHP, jiġifieri ġeneralment il-websajt, il-formola tal-ordni minn qabel u l-ħanut online. Jekk hemmx interfaces bejn il-ħanut u s-sistema tal-ġestjoni tal-merkanzija, għandu jivverifikaha l-fornitur tal-IT tagħkom.
Il-websajt tagħna ġejja minn pakkett tal-kooperazzjoni tagħna. Min huwa responsabbli?
Fil-pakketti tal-websajts minn kooperazzjonijiet, bejjiegħa bl-ingrossa jew fornituri speċjalizzati, ġeneralment is-server iħaddmu l-fornitur. Allura l-patch ta' PHP jaqa' għandu. Staqsu bil-miktub dwar l-istat, għax ir-responsabbiltà għad-data tal-klijenti tagħkom tibqa' għand l-ispiżerija tagħkom.
X'inhu hack farmaċewtiku?
Hekk jissejħu attakki li fihom jiddaħħlu f'websajt kompromessa paġni jew links moħbija għal reklamar ta' mediċini. Spiss il-viżitaturi ma jaraw xejn minn dan, imma l-magni tat-tiftix iva. Għal spiżerija dan huwa partikolarment delikat, għax kontenut bħal dan jidher taħt isem li jistħoqqlu fiduċja.