Krótko: Cyberbezpieczeństwo w średnich firmach rzadko zawodzi przy PHP2Shell na łataniu, lecz na braku przeglądu. Obok strony firmowej działają portale dealerskie, konfiguratory, strony kariery i wewnętrzne wiki u różnych usługodawców. Dopiero pełna lista sprawia, że ryzyko staje się możliwe do opanowania i do udokumentowania wobec klientów i nadzoru.
Typowe systemy PHP w średnich przedsiębiorstwach
Z biegiem lat w firmach produkcyjnych gromadzi się wiele aplikacji internetowych: sklepy B2B z częściami zamiennymi, portale dealerów i partnerów z cennikami, konfiguratory produktów, strefy pobierania dokumentacji technicznej i danych CAD, portale reklamacyjne i serwisowe, strony kariery z zarządzaniem kandydatami. Wewnętrznie dochodzą wiki, takie jak MediaWiki, narzędzia do zgłoszeń i analityka internetowa.
Duża część z nich działa na PHP. Systemy te zlecały często działy merytoryczne, budowały agencje, a prowadzone są u firm hostingowych, których centralny dział IT nie zna. Właśnie tu leży przy luce takiej jak PHP2Shell właściwy problem.
Jakie dane i połączenia mogą być dotknięte
W portalach znajdują się warunki dla klientów, osoby kontaktowe u dealerów, dane ofert i zleceń oraz rysunki objęte umowami o zachowaniu poufności. Portale rekrutacyjne zawierają życiorysy i świadectwa. Dla konkurentów i szantażystów dane konstrukcyjne i struktury cenowe są często cenniejsze niż dane osobowe.
Krytyczne są połączenia: wiele portali wymienia dane z ERP, systemem magazynowym lub PIM. Kto wykonuje kod na takim serwerze WWW, znajduje tam dane dostępowe do interfejsów, baz danych lub VPN. Skompromitowany portal może w ten sposób stać się wejściem do sieci firmy.
Średnie firmy i cyberbezpieczeństwo: łańcuch dostaw i NIS2
Wraz z NIS2 dla wielu firm obowiązują rozszerzone obowiązki w zakresie zarządzania ryzykiem i zgłaszania istotnych incydentów bezpieczeństwa. To, czy Państwa firma jest objęta bezpośrednio, zależy od sektora i wielkości. Pośrednio objętych jest znacznie więcej, ponieważ klienci przekazują wymagania bezpieczeństwa swoim dostawcom przez umowy.
Dla kierownictwa dochodzi pytanie o własną odpowiedzialność. Co ogólnie w tej kwestii obowiązuje, wyjaśnia strona o odpowiedzialności zarządu. Ocena w konkretnym przypadku należy do Państwa doradztwa prawnego.
Palo Alto Networks (Unit 42) naliczyło ponad 22,6 miliona narażonych, potencjalnie podatnych instancji. Zapomniany system testowy agencji jest dla automatycznych skanów tak samo widoczny jak Państwa główna strona.
Typowa luka w odpowiedzialności w średnich firmach
| Obszar | Kto często decyduje | Czego przy tym brakuje |
|---|---|---|
| Strona firmowa | Marketing z agencją | Dowód poprawek PHP |
| Portal dealerski, sklep B2B | Sprzedaż z usługodawcą | Włączenie do koncepcji bezpieczeństwa IT |
| Strona kariery | Kadry z dostawcą | Jasność co do hostingu i danych |
| Narzędzia wewnętrzne | Poszczególne działy | Inwentarz i osoby odpowiedzialne |
Centralny dział IT odpowiada za sieć, stanowiska pracy i ERP, ale często nie ma dostępu do systemów hostowanych zewnętrznie. Ten wzorzec staje się wąskim gardłem przy każdej krytycznej luce. Pomaga prosta reguła: każda aplikacja internetowa, która przetwarza dane firmy, jest zgłaszana do działu IT wraz z operatorem i osobą kontaktową, zanim trafi do sieci.
Czysty podział serwera WWW i sieci produkcyjnej
W przemyśle dochodzą aplikacje internetowe komunikujące się z maszynami i instalacjami: portale serwisowe i zdalnej konserwacji, dashboardy z danymi maszyn, portale dla klientów, którzy sprawdzają stan dostarczonych instalacji. Niektóre z nich są zbudowane na PHP i stoją w segmencie sieci, który ma więcej połączeń, niż potrzeba do zadania.
Skompromitowany serwer WWW nie może być odskocznią do produkcji. Proszę sprawdzić, jakie połączenia z segmentów sieci serwerów WWW istnieją do sieci biurowych i produkcyjnych, i ograniczyć je do tego, co niezbędne. Zapisane na serwerach WWW dane dostępowe powinny mieć tylko te uprawnienia, których aplikacja naprawdę potrzebuje. W przypadku dostępów do zdalnej konserwacji dotyczy to w szczególności.
Pierwsze godziny dla kierownictwa IT i zarządu
- Założyć inwentarz wszystkich dostępnych z zewnątrz systemów PHP: domena, operator, wersja PHP, tryb pracy, osoba kontaktowa.
- Najpierw zająć się systemami z mod_php i tymi na PHP 8.1 lub starszym. Przy mod_php zespół PHP ocenia ryzyko jako najwyższe.
- Dla każdego systemu kazać na piśmie potwierdzić poprawkę do 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo backport i restart. To, czego nie da się potwierdzić, tymczasowo odłączyć od sieci.
- Zabezpieczyć logi od 20.10.2026 i sprawdzić połączenia serwerów WWW z siecią wewnętrzną.
- Zwięźle udokumentować stan, aby móc odpowiadać klientom, ubezpieczycielom i w razie potrzeby organom w sposób możliwy do udowodnienia.
Jak PHP SOS pomaga w praktyce?
- Sporządzamy wspólnie z IT i działami merytorycznymi inwentarz systemów PHP i ustalamy priorytety według ryzyka.
- Koordynujemy poprawki i restarty z agencjami i firmami hostingowymi i zbieramy dowody w jednym miejscu.
- Przy podejrzeniu przejmujemy uporządkowane reagowanie na incydenty z zabezpieczeniem śladów i sprawdzeniem połączeń z siecią firmy.
- Następnie oferujemy audyt bezpieczeństwa lub test penetracyjny przeprowadzony przez wyspecjalizowanych partnerów, którego wynik mogą Państwo przedstawić klientom.
- Na życzenie nadzorujemy systemy na bieżąco, aby inwentarz pozostawał aktualny.
Częste pytania
Czy nasza firma podlega NIS2?
Zależy to od sektora, wielkości przedsiębiorstwa i obrotów i trzeba to sprawdzić w konkretnym przypadku. Także ten, kto nie podlega bezpośrednio NIS2, odczuwa te wymogi często przez klientów w łańcuchu dostaw. Wiążącą klasyfikację ustalają Państwo z doradztwem prawnym.
Czy zhakowany serwer WWW może prowadzić do sieci firmowej?
Jest to możliwe, jeśli serwer WWW ma połączenia z siecią wewnętrzną, na przykład interfejsy do ERP, wspólne dane dostępowe lub tunel VPN. To, czy tak jest u Państwa, pokazuje kontrola połączeń sieciowych i zapisanych danych dostępowych.
Jak znaleźć wszystkie aplikacje PHP w firmie?
Punktem wyjścia są wpisy DNS, certyfikaty, faktury za hosting i umowy z agencjami. Pomocne są dodatkowo ankiety w marketingu, sprzedaży, serwisie i kadrach. Zwykle pojawiają się przy tym systemy, o których dział IT w ogóle nie wiedział.
Czego klienci oczekują po PHP2Shell od nas jako dostawcy?
Niektórzy klienci aktywnie pytają, czy ich dostawcy byli dotknięci i jak zareagowali. Pomocne jest zwięzłe, udokumentowane przedstawienie: jakie systemy, jaki stan poprawek, kiedy zrestartowano, jakie kontrole pod kątem kompromitacji. Obiecywanie więcej, niż można udokumentować, szkodzi.