Krótko: Jeśli potrzebują Państwo ekspertów ds. bezpieczeństwa IT dla serwera WWW i nie mogą lub nie chcą czekać, aż ktoś przyjedzie na miejsce, pracujemy zdalnie. Jeśli są Państwo dotknięci lub niepewni, proszę zgłosić się teraz. Oceniamy sytuację, wgrywamy poprawki lub czyścimy, wzmacniamy system i wszystko dokumentujemy, w całych Niemczech i w Europie.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Jeśli podejrzewają Państwo incydent, proszę pozostawić pliki i logi bez zmian, dopóki ekspert ich nie zabezpieczy. Zgłoś awarię, a przejmiemy sprawę od pierwszej wiadomości.
Czy są Państwo dotknięci? Kiedy zewnętrzni eksperci ds. bezpieczeństwa mają sens
Nie każde przedsiębiorstwo ma własny dział bezpieczeństwa IT, a nawet tam, gdzie jest, często brakuje czasu na ostry przypadek. Pomoc z zewnątrz jest wskazana, gdy zachodzi jeden z tych punktów:
- Państwa serwer działa na wersji PHP, której stanu poprawek nie potrafią Państwo udokumentować, a sytuacja wokół PHP2Shell budzi niepewność.
- Są oznaki ataku: nieznane pliki PHP, obce konta administratorów, przekierowania, ostrzeżenia od hostingodawcy lub Google.
- Państwa administrator lub agencja są nieosiągalni, przeciążeni albo na granicy swoich kompetencji.
- Poprawki nie da się po prostu wgrać, bo aplikacja jest stara albo hostingodawca blokuje.
- Muszą Państwo szybko wykazać wobec zarządu, ubezpieczyciela lub klientów, co zostało zrobione.
- Po prostu nie wiedzą Państwo, od czego zacząć.
Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) ogłosił w sprawie PHP2Shell poziom ostrzeżenia 3 (pomarańczowy) i zaleca natychmiastową aktualizację. Kto nie może od razu wgrać poprawki, powinien według BSI czasowo odłączyć serwer WWW od sieci. To moment, w którym fachowcy się opłacają.
Co należy zrobić teraz
- Opisać sytuację w trzech zdaniach: Co zwraca uwagę, od kiedy, które systemy są dotknięte?
- Wskazać serwery i osoby odpowiedzialne: Gdzie działa strona, kto nią zarządza, kto ma dostępy?
- Zlecić zabezpieczenie logów: Proszę poprosić hostingodawcę o przechowywanie dzienników od 20.10.2026, jak zaleca prasa branżowa.
- Ustalić wersję PHP: Poleceniem
php -vw wierszu poleceń, w panelu hostingu lub przez hostingodawcę. Proszę pamiętać, że wiersz poleceń może używać innej wersji PHP niż serwer WWW. - Bez gwałtownych działań: Bez usuwania, bez ponownej instalacji, bez przywracania kopii zapasowej bez wcześniejszego zabezpieczenia.
- Utrzymać osiągalność decydenta: Potrzebujemy jednej osoby, która może decydować o wyłączeniu, restartach i zmianie haseł.
- Skontaktować się z nami: Proszę zadzwonić lub napisać na WhatsApp.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: W pierwszej rozmowie wyjaśniamy powód, systemy, rodzaje danych i odpowiedzialności. Otrzymują Państwo ocenę, co jest pilne, a co może poczekać.
- Zabezpieczenie i zamknięcie: Zabezpieczamy stan, zanim cokolwiek zmienimy, i zamykamy ostry dostęp, na przykład poprawką, restartem wszystkich procesów PHP lub środkami przejściowymi.
- Sprawdzenie i oczyszczenie: Szukamy śladów skompromitowania i usuwamy złośliwy kod. Jeśli sytuacja jest niejasna, więcej o naszym postępowaniu przeczytają Państwo w artykule Pomoc awaryjna PHP2Shell.
- Wzmocnienie i raport: Poprawiamy konfigurację i dostarczamy raport zrozumiały także dla osób trzecich. Zadania powtarzalne, takie jak aktualizacje, przejmuje na życzenie umowa serwisowa w zakresie bezpieczeństwa.
Praca zdalna: jak wygląda w praktyce
Zdalnie nie znaczy, że zgadujemy z oddali. Pracujemy na samym systemie, tylko nie w tym samym pomieszczeniu. Oszczędza to dojazd i przyspiesza start, bez zmniejszania dokładności.
Technicznie odbywa się to zwykle przez zabezpieczony dostęp, na przykład SSH z kluczem, lub przez panel Państwa hostingodawcy. Prosimy o dostępy z możliwie wąskimi uprawnieniami, obowiązujące tylko na czas zlecenia. Po zakończeniu cofają Państwo te dostępy, a my potwierdzamy, jakie konta i klucze utworzyliśmy.
Jeśli uzyskujemy dostęp do systemów z danymi osobowymi, zwykle potrzebna jest umowa o powierzeniu przetwarzania danych. Na co należy zwrócić uwagę, opisuje artykuł Powierzenie przetwarzania przy dostępie do serwera. Jak w ogólności wybrać odpowiedniego usługodawcę, wyjaśnia artykuł Wybór usługodawcy w zakresie bezpieczeństwa, a co powinno znaleźć się w umowie z usługodawcą, artykuł Umowa z usługodawcą a bezpieczeństwo.
Także bez ostrego incydentu: poprawka PHP i ocena
Nie każdy telefon pochodzi z sytuacji awaryjnej. Wiele firm chce po prostu wiedzieć, czy są dotknięte, i mieć aktualizację wgraną prawidłowo, z restartem i dowodem. Pomaga w tym usługa poprawek PHP (PHP-Patch-Service). Ważne: aktualizacja nie dowodzi, że wcześniej nic się nie stało, i nie usuwa już wprowadzonego szkodliwego oprogramowania. Dlatego w razie potrzeby sprawdzamy dodatkowo ślady.
W dystrybucjach i u hostingodawców wyświetlany numer wersji częściowo pokazuje nadal starszy stan, choć backporty zostały wgrane. Decydujący jest stan pakietu i potwierdzenie dostawcy, a nie sam numer.
Co warto nam przesłać
- krótki opis powodu
- informacje o hostingu: własny serwer, serwer zarządzany, hosting współdzielony, kontener
- nazwę hostingodawcy oraz, jeśli istnieje, agencji lub administratora
- znaną wersję PHP i używany CMS lub system sklepowy
- informację, czy przetwarzane są dane osobowe
- osobę kontaktową uprawnioną do decyzji
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo stałą osobę kontaktową, która zna Państwa sytuację, oraz zrozumiałą dokumentację. Pracujemy zdalnie, bez dojazdu, i nie składamy obietnic, których nikt nie może dotrzymać. Stwierdzenia rozdzielamy starannie na udowodnione, prawdopodobne i nieznane.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Jeśli potrzebują Państwo ekspertów, którzy zaczną od razu, bez konieczności dojazdu, proszę zgłosić się teraz. Proszę zadzwonić lub napisać na WhatsApp. Przejmujemy sprawę od pierwszej wiadomości i zostajemy przy niej, aż incydent zostanie zakończony i udokumentowany. Zgłoś awarię teraz
Częste pytania
Czy bezpieczeństwo IT naprawdę może działać w całości zdalnie?
W przypadku serwerów WWW co do zasady tak. Analiza, powstrzymanie ataku, poprawki, oczyszczenie i wzmocnienie odbywają się przez SSH, panel hostingu lub dostęp do CMS. Fizyczny dostęp jest potrzebny tylko przy sprzęcie na miejscu, na przykład serwerze we własnym centrum danych.
Jakich dostępów potrzebują Państwo ode mnie?
Zależnie od przypadku konta na serwerze lub w panelu hostingu, dostępu do zaplecza CMS oraz, jeśli to konieczne, do bazy danych. Alternatywnie rozmawiamy z Państwa hostingodawcą, gdy tylko nam na to Państwo zezwolą. Pracujemy z możliwie wąskimi uprawnieniami i dostępami, które mogą Państwo w każdej chwili cofnąć.
Czy potrzebuję umowy o powierzeniu przetwarzania danych?
Jeżeli osoby trzecie uzyskują dostęp do systemów z danymi osobowymi, co do zasady należy zawrzeć umowę o powierzeniu przetwarzania danych zgodnie z RODO. To, czy jest ona potrzebna w Państwa przypadku, proszę wyjaśnić z inspektorem ochrony danych.
Po czym poznać rzetelnego dostawcę usług bezpieczeństwa?
Wskazuje, co jest udowodnione, a co przypuszczeniem, nie obiecuje absolutnego bezpieczeństwa, dokumentuje w sposób zrozumiały i ujawnia uprawnienia oraz dostępy. Nieufność powinny budzić obietnice ogólnikowe i presja na natychmiastowe zawarcie umowy.
Co się stanie, jeśli nie wiem, czy jestem dotknięty?
Wtedy najpierw to wyjaśniamy: wersja PHP, tryb pracy, stan poprawek i oznaki w działaniu. Wynikiem jest ocena z jasnymi kolejnymi krokami, nawet jeśli odpowiedź brzmi, że nie ma potrzeby działania.