Krótko: Przy serwerze zarządzanym dostawca przejmuje część bezpieczeństwa, zazwyczaj system operacyjny, pakiety PHP i standardowe usługi. Aplikacja, wtyczki, dostępy i odpowiedzialność wynikająca z ochrony danych zostają zwykle po Państwa stronie. Po PHP2Shell powinni Państwo wyjaśnić obie kwestie na piśmie: co zrobił dostawca, a co nadal leży po Państwa stronie?
Co oznacza „zarządzany”, a czego nie
Pojęcie nie jest chronione. Jeden dostawca rozumie przez nie może tylko instalowanie aktualizacji systemu operacyjnego, inny opiekuje się także serwerem WWW, PHP, bazą danych i kopiami zapasowymi. Niektóre taryfy obejmują całodobowy monitoring, inne tylko osobę kontaktową w godzinach pracy.
Właśnie w sytuacji takiej jak PHP2Shell widać, jak dokładny jest opis usług. Obie luki, CVE-2026-109618 i CVE-2026-109619, leżą w samym PHP. Czy Państwa dostawca utrzymuje PHP jako część swojej platformy, czy PHP jest „Państwa oprogramowaniem”, wynika z umowy. Nie należy polegać na założeniu, że ktoś na pewno się tym zajmie.
Bezpieczeństwo serwera zarządzanego: typowy podział zadań
Poniższa tabela pokazuje częsty podział. Nie zastępuje zajrzenia do Państwa umowy, ale pomaga zadać właściwe pytania.
| Obszar | Zwykle u dostawcy | Zwykle u Państwa |
|---|---|---|
| Sprzęt, sieć, wirtualizacja | tak | nie |
| Aktualizacje systemu operacyjnego | tak | nie |
| Pakiety PHP z platformy | często | jeśli zainstalowane samodzielnie |
| Restart PHP-FPM i serwera WWW | często | przy własnych usługach |
| Ogólnoserwerowa konfiguracja PHP | często | przy szczególnych życzeniach |
| CMS, sklep, wtyczki, własny kod | nie | tak |
| Konta administratorów aplikacji | nie | tak |
| Kopie zapasowe | często | kontrola odtwarzania |
| Ocena i zgłaszanie naruszeń ochrony danych | nie | tak |
| Monitoring ataków | zależnie od taryfy | zależnie od taryfy |
Niejasne pola to właściwe ryzyko. Tam, gdzie musieliby Państwo wpisać „zależnie od taryfy” lub „często”, brakuje regulacji.
Jakie pytania warto teraz zadać
Proszę wysłać dostawcy krótkie, rzeczowe zapytanie. Proszę poprosić o odpowiedź w formie tekstowej, aby można ją było później przedstawić. Powinny się w nim znaleźć następujące punkty:
- Jakie wersje PHP działają na naszym serwerze i czy są zabezpieczone przed CVE-2026-109618 i CVE-2026-109619?
- Od kiedy to obowiązuje i czy potem zrestartowano wszystkie procesy PHP oraz serwer WWW?
- Czy poprawkę zainstalowano jako backport? Jeśli tak, jaka wersja pakietu to potwierdza?
- Czy były przesłanki prób ataku lub podejrzane procesy na naszym serwerze?
- Czy logi serwera WWW od 20.10.2026 są przechowywane i jak możemy je otrzymać?
Rozwinięty wzór znajdą Państwo w artykule Jak zapytać hostera o stan poprawek. Numer wersji w panelu klienta nie jest dowodem: przy backportach często pozostaje bez zmian, na przykład 8.2.34.
Nawet jeśli dostawca załatał PHP, Państwa aplikację nadal trzeba sprawdzić. Poprawka nie usuwa szkodliwego oprogramowania wprowadzonego przed aktualizacją i nie dowodzi, że nic się nie stało.
Co zostaje po Państwa stronie
Państwa część obejmuje przede wszystkim aplikację. Proszę sprawdzić CMS, sklep i wtyczki pod kątem aktualnych wersji, usunąć nieużywane rozszerzenia i skontrolować listę administratorów. Proszę zwrócić uwagę na nowe pliki w folderach uploadu, obce przekierowania i nietypowe zadania harmonogramu w aplikacji.
Dochodzi strona prawna. Jeśli w wyniku incydentu dane osobowe trafią w niepowołane ręce, obowiązek zgłoszenia ciąży zwykle na Państwa firmie jako administratorze, a nie na dostawcy. Dostawca jako podmiot przetwarzający musi niezwłocznie Państwa poinformować. Podstawy wyjaśnia artykuł Obowiązek zgłoszenia naruszenia RODO: 72 godziny. To ogólna informacja, a nie porada prawna; indywidualny przypadek oceniają inspektorzy ochrony danych lub prawnicy.
Pomijany bywa jeszcze jeden punkt: oprogramowanie, które Państwo lub Państwa agencja zainstalowali samodzielnie na serwerze zarządzanym, na przykład dodatkowa wersja PHP z obcego źródła, kontener lub program pomocniczy, zwykle nie podlega opiece dostawcy. Dlatego proszę zapytać także, czy dostawca wie, co działa poza standardowym wyposażeniem. I proszę wyjaśnić, kto w razie podejrzenia przejmuje dochodzenie. Wielu dostawców przywraca platformę, ale nie bada, czy i jakie dane zostały dotknięte. Właśnie tej odpowiedzi potrzebują Państwo jednak do oceny ewentualnych obowiązków zgłoszeniowych.
Poprawić umowy na przyszłość
Proszę wykorzystać tę sytuację, aby zapisać podział zadań. Sensowne są regulacje dotyczące aktualizacji bezpieczeństwa wraz z restartem, informowania o krytycznych lukach, przechowywania i wydawania logów oraz wsparcia przy incydentach. Proszę zapytać także, czy dostawca aktywnie Państwa powiadamia, czy muszą Państwo sami dopytywać.
Alternatywą jest własny serwer bez opieki, który jednak przenosi całą pracę na Państwa. Co to oznacza, opisuje artykuł Samodzielne zabezpieczenie serwera root i vServera.
Jak konkretnie pomaga PHP SOS?
- Czytamy Państwa opis usług i sporządzamy macierz zadań, która uwidacznia luki.
- Formułujemy pytania techniczne do Państwa dostawcy i oceniamy jego odpowiedzi.
- Sprawdzamy część aplikacyjną, leżącą po Państwa stronie, pod kątem śladów i przestarzałych komponentów.
- To, czego dostawca nie obejmuje, przejmujemy na życzenie w ramach umowy serwisowej bezpieczeństwa lub uzupełniamy monitoringiem bezpieczeństwa.
Częste pytania
Czy przy serwerze zarządzanym wszystko jest automatycznie zabezpieczone?
Nie. Zarządzany oznacza, że dostawca przejmuje określone, ustalone w umowie zadania, zwykle system operacyjny i standardowe usługi. Aplikacja, wtyczki, dostępy i własne oprogramowanie często pozostają po Państwa stronie.
Gdzie jest napisane, za co odpowiada mój dostawca?
W opisie usług i warunkach umowy, często także w dokumencie o podziale zadań. Przy danych osobowych dochodzi umowa powierzenia przetwarzania danych. Jeśli brakuje jasnej regulacji aktualizacji bezpieczeństwa, proszę zapytać na piśmie.
Czy mimo serwera zarządzanego muszę sam coś zrobić w sprawie PHP2Shell?
Tak. Proszę uzyskać potwierdzenie, że wszystkie wersje PHP są załatane, a procesy zrestartowane. Proszę też sprawdzić aplikację pod kątem śladów i wyjaśnić, czy istnieje obowiązek zgłoszenia.
Kto zgłasza naruszenie ochrony danych, jeśli dotknęło ono hostera?
Obowiązek zgłoszenia wobec organu nadzorczego ciąży zwykle na administratorze, czyli na Państwa firmie. Hoster jako podmiot przetwarzający musi niezwłocznie Państwa poinformować. Indywidualny przypadek proszę zlecić do oceny inspektorowi ochrony danych.