Stručne: Zraniteľnosť na webe obce je incident s verejnosťou. Vyjasnite, kto server prevádzkuje, nechajte si potvrdiť záplatu PHP a reštart a majte pripravenú núdzovú stránku pre prípad, že musí byť prezentácia dočasne odpojená od siete. Komunikácia voči občanom a tlači by mala byť zosúladená skôr, než prídu otázky.
Ktoré systémy PHP obce typicky prevádzkujú
Mnohé komunálne internetové prezentácie bežia na TYPO3, popri tom na iných systémoch PHP. Okolo hlavnej prezentácie vznikajú ďalšie aplikácie: online formuláre na žiadosti a prihlášky, hlásenie nedostatkov, kalendár podujatí, účasť občanov, portály pracovných ponúk, zapisovanie do materských škôl (Kita), turistické stránky, katalógy knižníc a weby jednotlivých zariadení, ako je hudobná škola alebo mestské podniky (Stadtwerke).
Niektoré z týchto aplikácií prevádzkuje obec sama, iné komunálne dátové centrum, združenie obcí (Zweckverband) alebo výrobca odborných aplikácií. Kto chce uzavrieť zraniteľnosť v PHP, musí najprv vedieť, na čích serveroch ktorá aplikácia beží.
Menšie obce často nemajú vlastné IT oddelenie. Tam sa prezentácii popri práci venuje zamestnanec hlavného úradu (Hauptamt), technika je u agentúry a zmluvy pochádzajú z čias, keď nikto nemyslel na kritické zraniteľnosti v programovacom jazyku. Väčšie mestá majú opačný problém: toľko prezentácií úradov, projektov a zariadení, že úplný zoznam pozná sotva niekto.
Čo je na komunálnych weboch v stávke
Vo formulároch a portáloch sú údaje občanov: adresy, dátumy narodenia, údaje o deťoch pri prihláškach do materských a iných škôl, fotografie a polohy pri hláseniach nedostatkov, žiadosti o zamestnanie. Pre verejné orgány platí GDPR a zákon príslušnej spolkovej krajiny o ochrane údajov, príslušný je spravidla dozorný orgán danej spolkovej krajiny.
Minimálne rovnako závažná je integrita: prezentácia obce je úradný zdroj. Zmanipulovaný obsah, falšované oznámenia alebo presmerovania na podvodné stránky pod menom mesta poškodzujú dôveru ďaleko za hranicou technickej škody.
Komunálne domény požívajú dôveru u občanov a vyhľadávačov. Práve to ich robí pre útočníkov atraktívnymi: ako odosielateľ spamu, ako úložisko podvodných stránok alebo ako platforma na falošné správy, napríklad o voľbách, nepriaznivom počasí alebo poplatkoch.
Obec a zraniteľnosť webu: kto o čom rozhoduje?
| Rola | Typická úloha pri incidente |
|---|---|
| Komunálne dátové centrum alebo IT dodávateľ | server, balíky PHP, reštart, oddelenie siete |
| Hlavný úrad alebo IT koordinácia | celkové riadenie, objednávanie, núdzový plán |
| Tlačové oddelenie | informovanie občanov a médií |
| Zodpovedná osoba za ochranu údajov úradu | posúdenie oznamovacej povinnosti |
| Webová agentúra | CMS, rozšírenia, obsah |
Medzera často vzniká medzi dátovým centrom a agentúrou: dátové centrum prevádzkuje server, agentúra spravuje TYPO3 a každá strana predpokladá, že sa o PHP stará tá druhá. Aktualizácia TYPO3 PHP2Shell neuzavrie.
BSI posúdilo situáciu stupňom varovania 3 / oranžový a odporúča okamžitú aktualizáciu. Ak sa komunálny webový server nedá okamžite záplatovať, dočasne ho odpojte od siete a zapnite statickú núdzovú stránku.
Prvé hodiny v úrade
- Vypísať všetky prezentácie a odborné aplikácie s webovým prístupom, vrátane zariadení a turistiky.
- U príslušného prevádzkovateľa nechať písomne potvrdiť: PHP vo verzii 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. nasadený backport, všetky procesy reštartované.
- Nepotvrdené systémy odpojiť od siete alebo do záplaty zabezpečiť virtuálnym záplatovaním. Cloudflare upozorňuje, že pravidlá založené len na údajoch požiadavky nestačia; je to premostenie, nie náhrada.
- Zálohovať logy od 20. 10. 2026.
- Informovať tlačové oddelenie a zodpovednú osobu za ochranu údajov a zosúladiť vecné jazykové pravidlá. Pomoc ponúka stránka o krízovej komunikácii.
Čo konkrétne BSI odporúča, zhŕňa stránka Odporúčania BSI k PHP2Shell. Otázky verejného obstarávania a núdzového zadania riešte podľa svojich interných pravidiel.
Prevencia: núdzová stránka, inventár a zastupovanie
Ďalšia kritická zraniteľnosť určite príde. Tri prípravy potom ušetria hodiny: hotová statická núdzová stránka s telefónnymi číslami, úradnými hodinami a upozorneniami k naliehavým záležitostiam, ktorú možno dodať bez PHP. Udržiavaný inventár všetkých webových aplikácií s prevádzkovateľom, kontaktnou osobou a zmluvným základom. A úprava zastupovania, aby sa rozhodnutia, ako je vypnutie prezentácie, dali prijať aj večer a cez víkend.
Tieto body patria do IT núdzového plánu správy. Podniky zriadené obcou, mestské podniky a zariadenia s vlastnými webmi by v ňom mali byť uvedené výslovne, inak pri inventarizácii chýbajú.
Ako konkrétne pomáha PHP SOS?
- Podporíme vašu IT koordináciu pri inventári a s dátovým centrom, výrobcami a agentúrou vyjasníme, kto ktorý systém záplatuje.
- Tam, kde prevádzkujete sami, prevezmeme cez službu záplatovania PHP aktualizáciu, reštart a písomný doklad.
- Pri podozrení na kompromitáciu zabezpečíme stopy a preveríme obsah na manipuláciu, skôr než prezentácia ide znova online.
- Postup zdokumentujeme tak, aby ho zodpovedná osoba za ochranu údajov, vedenie úradu a kontrola hospodárenia mohli vysledovať.
Časté otázky
Smieme web obce jednoducho vypnúť?
BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webové servery dočasne odpojiť od siete, ak aktualizácia nie je možná okamžite. Pre obce sa ponúka statická núdzová stránka s najdôležitejšími kontaktnými cestami. Kto o tom môže interne rozhodnúť, by malo byť uvedené v núdzovom pláne.
Týka sa to informačného systému zastupiteľstva?
Závisí to od techniky a prevádzky. Informačné systémy zastupiteľstva a online služby často prevádzkujú výrobcovia odborných aplikácií alebo komunálne dátové centrá. Opýtajte sa tam konkrétne na používanie PHP, stav záplat a reštart.
Ktorý orgán pre ochranu údajov je pre obce príslušný?
Pre verejné orgány nemeckých spolkových krajín a obcí je spravidla príslušný dozorný orgán pre ochranu údajov danej spolkovej krajiny. Popri tom platia zákony spolkových krajín o ochrane údajov. Zodpovedná osoba za ochranu údajov vášho úradu pozná cesty hlásenia.