Stručne: Kybernetická bezpečnosť v stredných podnikoch pri PHP2Shell len zriedka zlyhá na záplatovaní, skôr na prehľade. Popri webe bežia portály pre predajcov, konfigurátory, kariérne stránky a interné wiki u rôznych dodávateľov. Až úplný zoznam robí riziko zvládnuteľným a doložiteľným voči zákazníkom a dozoru.
Typické systémy PHP v stredných podnikoch
V priebehu rokov sa vo výrobných podnikoch nahromadí veľa webových aplikácií: B2B obchody na náhradné diely, portály pre predajcov a partnerov s cenníkmi, konfigurátory produktov, oblasti na sťahovanie technickej dokumentácie a dát CAD, reklamačné a servisné portály, kariérne stránky so správou uchádzačov. Interne pristupujú wiki, ako MediaWiki, nástroje na tikety a webová analytika.
Veľká časť z toho beží na PHP. Systémy objednali často odborné oddelenia, postavili agentúry a prevádzkujú ich poskytovatelia hostingu, ktorých centrálne IT nepozná. Práve tu leží pri zraniteľnosti, ako je PHP2Shell, skutočný problém.
Ktoré údaje a spojenia môžu byť dotknuté
V portáloch sú zákaznícke podmienky, kontaktné osoby u predajcov, údaje o ponukách a zákazkách a výkresy, ktoré podliehajú dohodám o mlčanlivosti. Portály pre uchádzačov obsahujú životopisy a vysvedčenia. Pre konkurentov a vydieračov sú konštrukčné údaje a cenové štruktúry často cennejšie než osobné údaje.
Kritické sú spojenia: mnohé portály si vymieňajú údaje s ERP, skladovým hospodárstvom alebo PIM. Kto na takomto webovom serveri spustí kód, nájde tam prístupové údaje k rozhraniam, databázam alebo VPN. Kompromitovaný portál sa tak môže stať vstupom do firemnej siete.
Stredné podniky a kybernetická bezpečnosť: dodávateľský reťazec a NIS2
S NIS2 platia pre mnohé podniky rozšírené povinnosti v oblasti riadenia rizík a hlásenia závažných bezpečnostných incidentov. Či sa týka priamo vašej firmy, závisí od sektora a veľkosti. Nepriamo je dotknutých oveľa viac, pretože zákazníci odovzdávajú bezpečnostné požiadavky cez zmluvy svojim dodávateľom.
Pre vedenie pristupuje otázka vlastnej zodpovednosti. Čo k tomu platí všeobecne, vysvetľuje stránka o zodpovednosti vedenia. Posúdenie v konkrétnom prípade patrí vášmu právnemu poradenstvu.
Palo Alto Networks (Unit 42) napočítalo viac než 22,6 milióna exponovaných, potenciálne zraniteľných inštancií. Zabudnutý testovací systém agentúry je pre automatizované skeny rovnako viditeľný ako váš hlavný web.
Typická medzera v zodpovednosti v stredných podnikoch
| Oblasť | Kto často rozhoduje | Čo pritom chýba |
|---|---|---|
| Firemný web | marketing s agentúrou | doklad o záplate PHP |
| Portál pre predajcov, B2B obchod | predaj s dodávateľom | začlenenie do konceptu IT bezpečnosti |
| Kariérna stránka | personálne oddelenie s poskytovateľom | jasno o hostingu a údajoch |
| Interné nástroje | jednotlivé oddelenia | inventár a zodpovedné osoby |
Centrálne IT zodpovedá za sieť, pracovné stanice a ERP, ale k externe hostovaným systémom často nemá prístup. Tento vzorec sa pri každej kritickej zraniteľnosti stáva úzkym miestom. Pomôže jednoduché pravidlo: každá webová aplikácia, ktorá spracúva firemné údaje, sa pred spustením nahlási IT s prevádzkovateľom a kontaktnou osobou.
Webový server a výrobnú sieť čisto oddeliť
V priemysle pristupujú webové aplikácie, ktoré komunikujú so strojmi a zariadeniami: servisné portály a portály vzdialenej údržby, dashboardy s údajmi zo strojov, portály pre zákazníkov, ktorí sledujú stav dodaných zariadení. Niektoré z nich sú postavené na PHP a stoja v sieťovom segmente, ktorý má viac spojení, než je pre úlohu nutné.
Kompromitovaný webový server nesmie byť odrazovým mostíkom do výroby. Preverte, aké spojenia vedú zo sieťových segmentov webových serverov do kancelárskych a výrobných sietí, a obmedzte ich na nevyhnutné. Prístupové údaje uložené na webových serveroch by mali mať iba tie oprávnenia, ktoré aplikácia skutočne potrebuje. Pri prístupoch na vzdialenú údržbu to platí obzvlášť.
Prvé hodiny pre vedenie IT a konateľov
- Založiť inventár všetkých zvonka dostupných systémov PHP: doména, prevádzkovateľ, verzia PHP, režim prevádzky, kontaktná osoba.
- Systémy s mod_php a tie na PHP 8.1 alebo staršom riešiť ako prvé. Pri mod_php tím PHP hodnotí riziko ako najvyššie.
- Pre každý systém nechať písomne potvrdiť záplatu na 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. backport, a reštart. Čo sa nedá potvrdiť, dočasne odpojiť od siete.
- Zálohovať logy od 20. 10. 2026 a preveriť spojenia webových serverov do internej siete.
- Stav stručne zdokumentovať, aby ste mohli doložiteľne odpovedať zákazníkom, poisťovateľom a prípadne úradom.
Ako konkrétne pomáha PHP SOS?
- Spoločne s IT a odbornými oddeleniami vypracujeme inventár systémov PHP a zoradíme ich podľa rizika.
- Koordinujeme záplaty a reštarty s agentúrami a poskytovateľmi hostingu a doklady zbierame na jednom mieste.
- Pri podozrení prevezmeme štruktúrovanú reakciu na incidenty so zabezpečením stôp a kontrolou spojení do firemnej siete.
- Potom ponúkame bezpečnostný audit alebo penetračný test od špecializovaných partnerov, ktorého výsledok môžete predložiť zákazníkom.
- Na želanie systémy priebežne monitorujeme, aby inventár zostal aktuálny.
Časté otázky
Vzťahuje sa NIS2 aj na našu firmu?
Závisí to od sektora, veľkosti podniku a obratu a v konkrétnom prípade sa to musí preveriť. Aj ten, na koho sa NIS2 priamo nevzťahuje, často pocíti požiadavky cez zákazníkov v dodávateľskom reťazci. Záväzné zaradenie vyjasnite so svojím právnym poradenstvom.
Môže napadnutý webový server viesť do firemnej siete?
Je to možné, ak má webový server spojenia do internej siete, napríklad rozhrania na ERP, spoločné prístupové údaje alebo tunel VPN. Či to platí u vás, ukáže kontrola sieťových spojení a uložených prístupových údajov.
Ako nájdeme všetky aplikácie PHP v podniku?
Východiskom sú záznamy DNS, certifikáty, faktúry za hosting a zmluvy s agentúrami. Doplnkovo pomáhajú rozhovory v marketingu, predaji, servise a v personálnom oddelení. Väčšinou sa pritom objavia systémy, o ktorých IT oddelenie vôbec nevedelo.
Čo od nás ako dodávateľa očakávajú zákazníci po PHP2Shell?
Niektorí zákazníci sa aktívne pýtajú, či boli ich dodávatelia dotknutí a ako reagovali. Pomôže stručné, doložiteľné vyjadrenie: ktoré systémy, aký stav záplat, kedy reštartované, aké kontroly na kompromitáciu. Sľubovať viac, než je preukázané, škodí.