# Zraniteľnosť na webe obce: príručka pre verejnú správu > PHP2Shell a obec: ako správa zabezpečí web na TYPO3, formuláre pre občanov a informácie zastupiteľstva, vyjasní zodpovednosti a vecne informuje. Zdroj: https://phpsos.de/sk/branchen/kommunen-verwaltung/ Stav: 25.10.2026 Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručne:** Zraniteľnosť na webe obce je incident s verejnosťou. Vyjasnite, kto server prevádzkuje, nechajte si potvrdiť záplatu PHP a reštart a majte pripravenú núdzovú stránku pre prípad, že musí byť prezentácia dočasne odpojená od siete. Komunikácia voči občanom a tlači by mala byť zosúladená skôr, než prídu otázky. ## Ktoré systémy PHP obce typicky prevádzkujú Mnohé komunálne internetové prezentácie bežia na [TYPO3](https://phpsos.de/sk/plattformen/typo3/), popri tom na iných systémoch PHP. Okolo hlavnej prezentácie vznikajú ďalšie aplikácie: online formuláre na žiadosti a prihlášky, hlásenie nedostatkov, kalendár podujatí, účasť občanov, portály pracovných ponúk, zapisovanie do materských škôl (Kita), turistické stránky, katalógy knižníc a weby jednotlivých zariadení, ako je hudobná škola alebo mestské podniky (Stadtwerke). Niektoré z týchto aplikácií prevádzkuje obec sama, iné komunálne dátové centrum, združenie obcí (Zweckverband) alebo výrobca odborných aplikácií. Kto chce uzavrieť zraniteľnosť v PHP, musí najprv vedieť, na čích serveroch ktorá aplikácia beží. Menšie obce často nemajú vlastné IT oddelenie. Tam sa prezentácii popri práci venuje zamestnanec hlavného úradu (Hauptamt), technika je u agentúry a zmluvy pochádzajú z čias, keď nikto nemyslel na kritické zraniteľnosti v programovacom jazyku. Väčšie mestá majú opačný problém: toľko prezentácií úradov, projektov a zariadení, že úplný zoznam pozná sotva niekto. ## Čo je na komunálnych weboch v stávke Vo formulároch a portáloch sú údaje občanov: adresy, dátumy narodenia, údaje o deťoch pri prihláškach do materských a iných škôl, fotografie a polohy pri hláseniach nedostatkov, žiadosti o zamestnanie. Pre verejné orgány platí GDPR a zákon príslušnej spolkovej krajiny o ochrane údajov, príslušný je spravidla dozorný orgán danej spolkovej krajiny. Minimálne rovnako závažná je integrita: prezentácia obce je úradný zdroj. Zmanipulovaný obsah, falšované oznámenia alebo presmerovania na podvodné stránky pod menom mesta poškodzujú dôveru ďaleko za hranicou technickej škody. Komunálne domény požívajú dôveru u občanov a vyhľadávačov. Práve to ich robí pre útočníkov atraktívnymi: ako odosielateľ spamu, ako úložisko podvodných stránok alebo ako platforma na falošné správy, napríklad o voľbách, nepriaznivom počasí alebo poplatkoch. ## Obec a zraniteľnosť webu: kto o čom rozhoduje? | Rola | Typická úloha pri incidente | |---|---| | Komunálne dátové centrum alebo IT dodávateľ | server, balíky PHP, reštart, oddelenie siete | | Hlavný úrad alebo IT koordinácia | celkové riadenie, objednávanie, núdzový plán | | Tlačové oddelenie | informovanie občanov a médií | | Zodpovedná osoba za ochranu údajov úradu | posúdenie oznamovacej povinnosti | | Webová agentúra | CMS, rozšírenia, obsah | Medzera často vzniká medzi dátovým centrom a agentúrou: dátové centrum prevádzkuje server, agentúra spravuje TYPO3 a každá strana predpokladá, že sa o PHP stará tá druhá. Aktualizácia TYPO3 PHP2Shell neuzavrie. > **Konajte hneď:** > BSI posúdilo situáciu stupňom varovania 3 / oranžový a odporúča okamžitú aktualizáciu. Ak sa komunálny webový server nedá okamžite záplatovať, dočasne ho odpojte od siete a zapnite statickú núdzovú stránku. ## Prvé hodiny v úrade 1. Vypísať všetky prezentácie a odborné aplikácie s webovým prístupom, vrátane zariadení a turistiky. 2. U príslušného prevádzkovateľa nechať písomne potvrdiť: PHP vo verzii 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. nasadený backport, všetky procesy reštartované. 3. Nepotvrdené systémy odpojiť od siete alebo do záplaty zabezpečiť [virtuálnym záplatovaním](https://phpsos.de/sk/leistungen/waf-virtuelles-patching/). Cloudflare upozorňuje, že pravidlá založené len na údajoch požiadavky nestačia; je to premostenie, nie náhrada. 4. Zálohovať logy od 20. 10. 2026. 5. Informovať tlačové oddelenie a zodpovednú osobu za ochranu údajov a zosúladiť vecné jazykové pravidlá. Pomoc ponúka stránka o [krízovej komunikácii](https://phpsos.de/sk/compliance/krisenkommunikation/). Čo konkrétne BSI odporúča, zhŕňa stránka [Odporúčania BSI k PHP2Shell](https://phpsos.de/sk/compliance/bsi-empfehlungen/). Otázky verejného obstarávania a núdzového zadania riešte podľa svojich interných pravidiel. ## Prevencia: núdzová stránka, inventár a zastupovanie Ďalšia kritická zraniteľnosť určite príde. Tri prípravy potom ušetria hodiny: hotová statická núdzová stránka s telefónnymi číslami, úradnými hodinami a upozorneniami k naliehavým záležitostiam, ktorú možno dodať bez PHP. Udržiavaný inventár všetkých webových aplikácií s prevádzkovateľom, kontaktnou osobou a zmluvným základom. A úprava zastupovania, aby sa rozhodnutia, ako je vypnutie prezentácie, dali prijať aj večer a cez víkend. Tieto body patria do [IT núdzového plánu](https://phpsos.de/sk/compliance/notfallplan-erstellen/) správy. Podniky zriadené obcou, mestské podniky a zariadenia s vlastnými webmi by v ňom mali byť uvedené výslovne, inak pri inventarizácii chýbajú. ## Ako konkrétne pomáha PHP SOS? - Podporíme vašu IT koordináciu pri inventári a s dátovým centrom, výrobcami a agentúrou vyjasníme, kto ktorý systém záplatuje. - Tam, kde prevádzkujete sami, prevezmeme cez [službu záplatovania PHP](https://phpsos.de/sk/leistungen/php-patch-service/) aktualizáciu, reštart a písomný doklad. - Pri podozrení na kompromitáciu zabezpečíme stopy a preveríme obsah na manipuláciu, skôr než prezentácia ide znova online. - Postup zdokumentujeme tak, aby ho zodpovedná osoba za ochranu údajov, vedenie úradu a kontrola hospodárenia mohli vysledovať. ## Časté otázky **Smieme web obce jednoducho vypnúť?** BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webové servery dočasne odpojiť od siete, ak aktualizácia nie je možná okamžite. Pre obce sa ponúka statická núdzová stránka s najdôležitejšími kontaktnými cestami. Kto o tom môže interne rozhodnúť, by malo byť uvedené v núdzovom pláne. **Týka sa to informačného systému zastupiteľstva?** Závisí to od techniky a prevádzky. Informačné systémy zastupiteľstva a online služby často prevádzkujú výrobcovia odborných aplikácií alebo komunálne dátové centrá. Opýtajte sa tam konkrétne na používanie PHP, stav záplat a reštart. **Ktorý orgán pre ochranu údajov je pre obce príslušný?** Pre verejné orgány nemeckých spolkových krajín a obcí je spravidla príslušný dozorný orgán pre ochranu údajov danej spolkovej krajiny. Popri tom platia zákony spolkových krajín o ochrane údajov. Zodpovedná osoba za ochranu údajov vášho úradu pozná cesty hlásenia. ## Zdroje - [BSI: varovania a odporúčania](https://www.bsi.bund.de/) - [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) - [php.net: bezpečnostné hlásenia](https://www.php.net/) - [TYPO3](https://typo3.org/)