Pe scurt: La un server administrat, furnizorul preia o parte din securitate, de obicei sistemul de operare, pachetele PHP și serviciile standard. Aplicația, pluginurile, accesele și responsabilitatea privind protecția datelor rămân, de regulă, la dumneavoastră. După PHP2Shell ar trebui să clarificați ambele aspecte în scris: ce a făcut furnizorul și ce mai rămâne la dumneavoastră?
Ce înseamnă „administrat” și ce nu
Termenul nu este protejat. Un furnizor înțelege prin el poate doar instalarea actualizărilor sistemului de operare, altul se ocupă și de serverul web, PHP, baza de date și copiile de siguranță. Unele tarife includ monitorizare non-stop, altele doar o persoană de contact în program de lucru.
Tocmai într-o situație ca PHP2Shell se vede cât de precisă este descrierea serviciilor. Cele două vulnerabilități CVE-2026-109618 și CVE-2026-109619 se află în PHP însuși. Dacă furnizorul dumneavoastră întreține PHP ca parte a platformei sale sau dacă PHP este considerat „software-ul dumneavoastră”, scrie în contract. Nu vă bazați pe presupunerea că se ocupă cineva.
Securitatea serverului administrat: repartizarea tipică a sarcinilor
Tabelul următor arată o repartizare frecventă. El nu înlocuiește consultarea contractului dumneavoastră, dar ajută la formularea întrebărilor potrivite.
| Domeniu | De obicei la furnizor | De obicei la dumneavoastră |
|---|---|---|
| Hardware, rețea, virtualizare | da | nu |
| Actualizările sistemului de operare | da | nu |
| Pachetele PHP din platformă | adesea | dacă le-ați instalat singur |
| Repornirea PHP-FPM și a serverului web | adesea | la serviciile proprii |
| Configurația PHP la nivel de server | adesea | la cerințe speciale |
| CMS, magazin, pluginuri, cod propriu | nu | da |
| Conturile de administrator ale aplicației | nu | da |
| Copii de siguranță | frecvent | verificarea restaurării |
| Evaluarea și notificarea încălcărilor securității datelor | nu | da |
| Monitorizarea atacurilor | în funcție de tarif | în funcție de tarif |
Câmpurile neclare sunt riscul real. Acolo unde ar trebui să scrieți „în funcție de tarif” sau „adesea”, lipsește o reglementare.
Ce întrebări ar trebui să puneți acum
Trimiteți furnizorului o solicitare scurtă și obiectivă. Cereți un răspuns în formă scrisă, pentru a-l putea prezenta ulterior. Aceste puncte ar trebui incluse:
- Ce versiuni PHP rulează pe serverul nostru și sunt ele protejate împotriva CVE-2026-109618 și CVE-2026-109619?
- De când este valabil acest lucru și au fost repornite după aceea toate procesele PHP și serverul web?
- A fost corecția instalată ca backport? Dacă da, ce versiune de pachet o dovedește?
- Au existat indicii de tentative de atac sau procese suspecte pe serverul nostru?
- Se păstrează jurnalele serverului web începând cu 20.10.2026 și cum le primim?
Un model complet formulat găsiți la Cum întrebați hosterul despre starea patchului. Numărul de versiune din meniul clientului nu este o dovadă: la backporturi el rămâne adesea neschimbat, de exemplu la 8.2.34.
Chiar dacă furnizorul a actualizat PHP, aplicația dumneavoastră rămâne de verificat. Un patch nu elimină programele malițioase introduse înainte de actualizare și nu dovedește că nu s-a întâmplat nimic.
Ce rămâne la dumneavoastră
Partea dumneavoastră cuprinde mai ales aplicația. Verificați dacă CMS-ul, magazinul și pluginurile sunt actuale, eliminați extensiile nefolosite și controlați lista administratorilor. Fiți atenți la fișiere noi în folderele de încărcare, la redirecționări străine și la sarcini programate neobișnuite în aplicație.
Se adaugă partea juridică. Dacă într-un incident ajung în mâini străine date cu caracter personal, de regulă firma dumneavoastră, ca operator, are obligația de notificare, nu furnizorul. Acesta, ca persoană împuternicită de operator, trebuie să vă informeze fără întârziere. Elementele de bază le explică Obligația de notificare RGPD: 72 de ore. Aceasta este informare generală, nu consultanță juridică; cazul concret îl evaluează responsabilii cu protecția datelor sau avocații.
Un alt punct este adesea trecut cu vederea: software-ul pe care dumneavoastră sau agenția dumneavoastră l-ați instalat singuri pe serverul administrat, de exemplu o versiune PHP suplimentară dintr-o sursă terță, un container sau un program auxiliar, nu intră de obicei în îngrijirea furnizorului. De aceea, întrebați și dacă furnizorul știe ce rulează pe lângă dotarea standard. Și clarificați cine preia investigarea în caz de suspiciune. Mulți furnizori restabilesc platforma, dar nu investighează dacă și ce date au fost afectate. Exact acest răspuns vă trebuie însă pentru evaluarea posibilelor obligații de notificare.
Îmbunătățiți contractele pentru viitor
Folosiți situația pentru a consemna repartizarea sarcinilor. Sunt utile reglementări privind actualizările de securitate, inclusiv repornirea, informarea în caz de vulnerabilități critice, păstrarea și predarea jurnalelor și sprijinul în caz de incidente. Întrebați și dacă furnizorul vă notifică activ sau dacă trebuie să întrebați dumneavoastră.
Un server propriu fără îngrijire este alternativa, dar mută întreaga muncă la dumneavoastră. Ce înseamnă asta descrie articolul Securizarea propriului server root sau vServer.
Cum ajută PHP SOS concret?
- Citim descrierea serviciilor dumneavoastră și întocmim o matrice a sarcinilor care face vizibile lacunele.
- Formulăm întrebările tehnice către furnizorul dumneavoastră și evaluăm răspunsurile acestuia.
- Verificăm pentru urme și componente depășite partea de aplicație care se află la dumneavoastră.
- Ce nu acoperă furnizorul, preluăm la cerere printr-un contract de mentenanță de securitate sau completăm prin monitorizare de securitate.
Întrebări frecvente
Este totul protejat automat la un server administrat?
Nu. Administrat înseamnă că furnizorul preia anumite sarcini stabilite prin contract, de obicei sistemul de operare și serviciile standard. Aplicația, pluginurile, accesele și software-ul propriu rămân adesea la dumneavoastră.
Unde scrie pentru ce este responsabil furnizorul meu?
În descrierea serviciilor și în condițiile contractuale, adesea și într-un document privind repartizarea sarcinilor. Pentru date cu caracter personal se adaugă contractul de prelucrare a datelor în numele operatorului. Dacă lipsește o reglementare clară pentru actualizările de securitate, întrebați în scris.
Trebuie să fac ceva singur în privința PHP2Shell, deși am un server administrat?
Da. Obțineți o confirmare că toate versiunile PHP sunt actualizate și procesele repornite. Verificați în plus aplicația pentru urme și clarificați dacă există o obligație de notificare.
Cine raportează o încălcare a securității datelor dacă a fost afectat hosterul?
Obligația de notificare față de autoritatea de supraveghere revine, de regulă, operatorului, adică firmei dumneavoastră. Hosterul, ca persoană împuternicită de operator, trebuie să vă informeze fără întârziere. Cazul concret îl evaluează responsabilul dumneavoastră cu protecția datelor.