# Vulnerabilitate pe site-ul administrației locale: ghid pentru administrație

> PHP2Shell și administrația locală: cum își securizează administrațiile site-ul TYPO3, formularele pentru cetățeni și informează obiectiv cetățenii.

Sursa: https://phpsos.de/ro/branchen/kommunen-verwaltung/  
Stadiu: 25.10.2026  
Furnizor: PHP SOS, Asistență de urgență PHP și securitatea serverelor. Ajutor imediat pe WhatsApp: https://wa.me/491736494914?text=Bun%C4%83%20ziua%2C%20PHP%20SOS%2C%20avem%20nevoie%20de%20ajutor%20cu%20serverul%20nostru%20PHP.%20Firma%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Pe scurt:** O vulnerabilitate pe site-ul unei administrații locale este un incident cu vizibilitate publică. Clarificați cine operează serverul, cereți confirmarea patchului PHP și a repornirii și țineți pregătită o pagină de urgență, în cazul în care prezența online trebuie scoasă temporar de pe internet. Comunicarea către cetățeni și presă ar trebui coordonată înainte ca să apară întrebări.

## Ce sisteme PHP operează de obicei administrațiile locale

Multe prezențe online comunale rulează pe [TYPO3](https://phpsos.de/ro/plattformen/typo3/), alături de alte sisteme PHP. În jurul site-ului principal apar alte aplicații: formulare online pentru cereri și înscrieri, aplicații pentru raportarea deficiențelor, calendare de evenimente, participare cetățenească, portaluri de locuri de muncă, preînscriere la creșă, pagini de turism, cataloage de bibliotecă și site-uri ale unor instituții individuale precum școala de muzică sau serviciile municipale.

Unele dintre aceste aplicații le operează administrația însăși, altele un centru de date comunal, o asociație intercomunală (Zweckverband) sau un producător de aplicații specializate. Cine vrea să închidă o vulnerabilitate PHP trebuie să știe mai întâi pe serverele cui rulează ce aplicație.

Comunele mai mici nu au adesea departament IT propriu. Acolo, un angajat al serviciului central de administrare (Hauptamt) se ocupă de prezența online în paralel, tehnica este la o agenție, iar contractele provin dintr-o vreme în care nimeni nu se gândea la vulnerabilități critice în limbajul de programare. Orașele mai mari au problema inversă: atât de multe prezențe ale serviciilor, proiectelor și instituțiilor, încât abia cineva cunoaște lista completă.

## Ce este în joc pe site-urile administrațiilor locale

În formulare și portaluri se află datele cetățenilor: adrese, date de naștere, informații despre copii la înscrierile la creșă și școală, fotografii și locații la raportările de deficiențe, candidaturi. Pentru organismele publice se aplică RGPD și legea landului privind protecția datelor; competentă este de regulă autoritatea de supraveghere a protecției datelor a landului.

La fel de grea este integritatea: prezența online a unei administrații este o sursă oficială. Conținut manipulat, anunțuri oficiale falsificate sau redirecționări către pagini de fraudă sub numele orașului afectează încrederea mult dincolo de paguba tehnică.

Domeniile comunale se bucură de încredere din partea cetățenilor și a motoarelor de căutare. Exact asta le face atractive pentru atacatori: ca expeditor de spam, ca loc de depozitare pentru pagini de fraudă sau ca platformă pentru știri false, de exemplu despre alegeri, furtuni sau taxe.

## Administrație locală și vulnerabilitate pe site: cine decide ce?

| Rol | Sarcină tipică în incident |
|---|---|
| Centrul de date comunal sau prestatorul de servicii IT | Servere, pachete PHP, repornire, separarea de rețea |
| Serviciul central de administrare (Hauptamt) sau coordonarea IT | Conducerea de ansamblu, însărcinări, plan de urgență |
| Biroul de presă | Informarea cetățenilor și a mass-mediei |
| Responsabilul instituțional cu protecția datelor | Evaluarea obligației de notificare |
| Agenția web | CMS, extensii, conținut |

Lacuna apare frecvent între centrul de date și agenție: centrul de date operează serverul, agenția întreține TYPO3, iar fiecare parte presupune că cealaltă se ocupă de PHP. O actualizare TYPO3 nu închide PHP2Shell.

> **Acționați imediat:**
> BSI a evaluat situația cu nivel de avertizare 3 / portocaliu și recomandă actualizarea imediată. Dacă un server web comunal nu poate fi actualizat imediat, scoateți-l temporar de pe internet și activați o pagină statică de urgență.

## Primele ore în administrație

1. Listați toate prezențele online și aplicațiile specializate cu acces web, inclusiv instituțiile și turismul.
2. Cereți fiecărui operator confirmarea scrisă: PHP la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 ori backport aplicat, toate procesele repornite.
3. Scoateți de pe internet sistemele neconfirmate sau securizați-le până la patch cu [patching virtual](https://phpsos.de/ro/leistungen/waf-virtuelles-patching/). Cloudflare atrage atenția că regulile bazate doar pe datele cererii nu sunt suficiente; este o punte, nu un înlocuitor.
4. Salvați logurile începând cu 20.10.2026.
5. Informați biroul de presă și responsabilul cu protecția datelor și coordonați un mesaj obiectiv. Ajutor în acest sens oferă pagina despre [comunicarea de criză](https://phpsos.de/ro/compliance/krisenkommunikation/).

Ce recomandă BSI în detaliu rezumă pagina [Recomandările BSI privind PHP2Shell](https://phpsos.de/ro/compliance/bsi-empfehlungen/). Întrebările privind achizițiile și însărcinarea de urgență le clarificați conform regulilor dumneavoastră interne.

## Prevenție: pagină de urgență, inventar și suplinire

Următoarea vulnerabilitate critică vine cu siguranță. Trei pregătiri economisesc atunci ore întregi: o pagină statică de urgență gata făcută, cu numere de telefon, program și indicații pentru solicitări urgente, care poate fi livrată fără PHP. Un inventar actualizat al tuturor aplicațiilor web, cu operator, persoană de contact și temei contractual. Și o regulă de suplinire, pentru ca decizii precum oprirea prezenței online să poată fi luate și seara și în weekend.

Aceste puncte aparțin [planului de urgență IT](https://phpsos.de/ro/compliance/notfallplan-erstellen/) al administrației. Regiile autonome, serviciile municipale și instituțiile cu site-uri proprii ar trebui să apară explicit în el, pentru că altfel lipsesc la inventariere.

## Cum ajută PHP SOS concret?

- Sprijinim coordonarea dumneavoastră IT la inventar și clarificăm cu centrul de date, producătorii și agenția cine actualizează ce sistem.
- Acolo unde operați singuri, preluăm prin [serviciul de patch PHP](https://phpsos.de/ro/leistungen/php-patch-service/) actualizarea, repornirea și dovada scrisă.
- La suspiciune de compromitere, salvăm urmele și verificăm conținutul pentru manipulări, înainte ca prezența online să revină în funcțiune.
- Documentăm desfășurarea astfel încât responsabilul cu protecția datelor, conducerea administrației și controlul financiar să o poată urmări.


## Întrebări frecvente

**Avem voie să oprim pur și simplu site-ul comunei?**  
BSI (Oficiul Federal German pentru Securitatea Informațiilor) recomandă scoaterea temporară a serverelor web de pe internet atunci când actualizarea nu este posibilă imediat. Pentru administrațiile locale se potrivește o pagină statică de urgență cu principalele căi de contact. Cine are voie să decidă acest lucru intern ar trebui să figureze în planul de urgență.

**Este afectat sistemul de informare al consiliului local?**  
Depinde de tehnologie și de operare. Sistemele de informare ale consiliilor și serviciile online sunt adesea operate de producători de aplicații specializate sau de centre de date comunale. Întrebați acolo concret despre utilizarea PHP, versiunea patchului și repornire.

**Ce autoritate pentru protecția datelor este competentă pentru administrațiile locale?**  
Pentru organismele publice ale landurilor și comunelor este de regulă competentă autoritatea de supraveghere a protecției datelor din landul federal respectiv. Alături se aplică legile landurilor privind protecția datelor. Responsabilul dumneavoastră instituțional cu protecția datelor cunoaște căile de notificare.

## Surse

- [BSI: avertizări și recomandări](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz (protecție de bază IT)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: anunțuri de securitate](https://www.php.net/)
- [TYPO3](https://typo3.org/)