Člankov: 113

Blog: PHP2Shell, varnost strežnikov in nujna pomoč

Presoja stanja, navodila za skrbnike in pomoč pri odločanju za vodstvo. Razvrščeno po temah, vsak članek z viri.

Stanje in presoja Gostovanje in distribucije Odkrivanje in forenzika Utrjevanje in konfiguracija Varen razvoj Vodenje in pravo Pomoč pri odločanju

Stanje in presoja

Člankov: 17

001

PHP2Shell: kaj je dokazano in kaj ne

Preverjanje dejstev o PHP2Shell: katere trditve izvirajo iz primarnih virov, katere iz medijskih poročil in katerih trditev ni mogoče vzdrževati.

Preberite več →002

Zakaj je ranljivost PHP postala znana pred popravkom

Po poročilih so podrobnosti o PHP2Shell postale javne pred iztekom embarga. Pojasnjujemo potek in kaj to pomeni za načrtovanje vaših posodobitev.

Preberite več →003

Uradi umikajo spletne strani z omrežja: česa se lahko naučijo podjetja

Mainz, hessenska deželna vlada in BKA so spletne strani preventivno umaknili z omrežja. Česa se lahko iz tega naučijo podjetja za lastno odločitev.

Preberite več →004

Opozorilna stopnja BSI oranžna: kaj pomeni ocena

BSI je PHP2Shell uvrstil na 3 / oranžno. Kaj lestvica pove, česa ne in kako podjetja oceno prevedejo v odločitve.

Preberite več →005

Kaj CERT-EU in CERT-Bund svetujeta glede PHP2Shell

Uradne službe so si edine: takoj posodobiti, sicer izolirati. Primerjamo priporočila in pokažemo, kako izolacija izgleda v praksi.

Preberite več →006

Zaščitna pravila Cloudflare proti PHP2Shell: kaj zmorejo in česa ne

Cloudflare je zgodaj uvedel zaščitna pravila proti PHP2Shell. Zakaj to pomaga, zakaj posodobitve PHP kljub temu ne nadomesti in katere nastavitve naj preverite.

Preberite več →007

22,6 milijona izpostavljenih primerkov: števila pravilno uvrstiti

Unit 42, CybelAngel in drugi navajajo zelo različna števila o PHP2Shell. Pojasnjujemo, kaj je bilo prešteto, in katero število zares šteje za vas.

Preberite več →008

PHP2Shell v petih minutah: povzetek za poslovodstvo

Varnostna ranljivost PHP2Shell na eni strani za odločevalce: stanje, tveganje, pet vprašanj za IT in odločitve za danes.

Preberite več →009

Varnostna ranljivost PHP preprosto razložena

PHP2Shell za netehnike: z vsakdanjimi podobami, majhnim slovarjem in tremi tipičnimi izhodiščnimi položaji, kaj naj storite kot upravljavec spletne strani.

Preberite več →010

PHP2Shell: 15 vprašanj strank gostovanja

Vaša spletna stran je pri ponudniku gostovanja in želite vedeti, kaj morate pri PHP2Shell storiti sami? Tukaj je 15 najpogostejših vprašanj s kratkimi odgovori.

Preberite več →011

Zakaj posodobitev WordPressa proti PHP2Shell ne pomaga

Mnogi upravljavci so po naslovih posodobili WordPress in se počutijo varne. Zakaj to pri PHP2Shell ne zaleže in kaj zares šteje.

Preberite več →012

PHP2Shell in Log4Shell: kaj imata ranljivosti skupnega

Mnogi PHP2Shell primerjajo z Log4Shell iz leta 2021. Kaj primerjava prenese, kje šepa in kateri nauki od takrat danes pomagajo.

Preberite več →013

Množična skeniranja nepopravljenega PHP: tako potekajo samodejni napadi

Po PHP2Shell napadalci internet samodejno iščejo ranljive strežnike. Kako to poteka, zakaj velikost ne igra vloge in kaj vas ščiti.

Preberite več →014

Časovno okno med popravkom in napadom

Pri PHP2Shell so bili poskusi napadov že pred popravkom. Pojasnjujemo faze časovnega okna, kako izmerite svoje in kako ga skrajšate.

Preberite več →015

Po PHP2Shell: zakaj so nadaljnja obvestila verjetna

PHP2Shell se s popravkom z 21. oktobra ni končal. Zakaj so pričakovana nadaljnja obvestila in kako svojo ekipo pripravite nanje.

Preberite več →016

PHP2Shell: slika stanja prvega tedna

Teden dni po prvem opaženem poskusu napada: stanje glede popravkov, opozoril uradov, napadov in izklopov, čisto ločeno po virih.

Preberite več →017

Nevarni napačni nasveti za PHP2Shell, ki trenutno krožijo

Blokirati piškotke, skriti sporočila o napakah, posodobiti samo CMS: devet nasvetov za PHP2Shell, ki ustvarjajo lažno varnost, in kaj zares šteje.

Preberite več →

Gostovanje in distribucije

Člankov: 18

018

Sprememba različice PHP v območju za stranke pri gostovanju

Kako v območju za stranke ponudnika gostovanja preklopite različico PHP, katero različico izbrati in kaj preveriti prej in potem.

Preberite več →019

Debian in Ubuntu: je moj paket PHP popravljen?

Katere pakete PHP sta Debian in Ubuntu popravila proti PHP2Shell, kako natančno primerjate nameščeno stanje in na čem dokazovanje spodleti.

Preberite več →020

RHEL, AlmaLinux in Rocky Linux: preverjanje popravka PHP

Kaj je Red Hat objavil o PHP2Shell, kako na RHEL in njegovih klonih dokažete stanje paketa in zakaj ponovno nalaganje ne zadošča.

Preberite več →021

Repozitorij sury.org: paketi PHP iz vira tretjega ponudnika

Mnogi strežniki Debian in Ubuntu prejemajo PHP iz repozitorija sury. Kaj to pomeni za posodobitve, dokazila in stare različice PHP po PHP2Shell.

Preberite več →022

Repozitorij Remi: PHP na sistemih RHEL ohranjati aktualen

Remi dobavlja aktualne različice PHP za družino RHEL, kot modul ali za vzporedno namestitev. Tako po PHP2Shell preverite stanje in se izognete pozabljenim vejam.

Preberite več →023

Zakaj php -v po posodobitvi kaže isto številko

Posodobitev je tekla, a php -v javlja staro različico. Večinoma je to backport in ne napaka. Tako ločite neškodljivo od resničnih težav.

Preberite več →024

Dokazovanje številk CVE v changelogu paketa

Kdor mora popravek PHP dokazati vodstvu, revizorjem ali zavarovalnicam, potrebuje več kot številko različice. Tako vnos v changelogu postane dokaz.

Preberite več →025

Zamenjava ponudnika gostovanja po varnostnem incidentu: na kaj paziti?

Po incidentu je želja po novem ponudniku gostovanja razumljiva. Da selitev ne odnese napadalca s seboj, sta pomembna vrstni red in izbira.

Preberite več →026

Več različic PHP na enem strežniku: vsako popravite posebej

Na mnogih strežnikih teče vzporedno tri, štiri ali več namestitev PHP. Po PHP2Shell je treba vsako najti, posodobiti in znova zagnati.

Preberite več →027

Izklop starih različic PHP v nadzorni plošči za gostovanje

PHP2Shell je dobra priložnost, da se znebite starih različic PHP. V treh fazah postopajte tako, da nobena spletna stran in noben cronjob ne odpove neopazno.

Preberite več →028

Plesk: razumevanje handlerjev PHP (FPM, FastCGI, modul Apache)

Kateri handler PHP Plesk uporablja za spletno stran, odloča o izolaciji, konfiguraciji in tveganju. Primerjava z vidika PHP2Shell.

Preberite več →029

CloudLinux in alt-php: kaj naj vedo stranke gostovanja

Na strežnikih CloudLinux spletne strani pogosto tečejo z lastnimi paketi alt-php. Vsaka od teh različic potrebuje svoj popravek, nameščati ga pa lahko samo upravljavec strežnika.

Preberite več →030

PHP na NAS, požarnih zidovih in napravah: pozabljeni sistemi

PHP ne uporabljajo samo spletni strežniki. Prizadeti so lahko tudi sistemi NAS, požarni zidovi in strokovne naprave s spletnim vmesnikom. Popravi ga tam večinoma lahko samo proizvajalec, dosegljivost pa urejate sami.

Preberite več →031

PHP pri oblačnih ponudnikih in ponudnikih PaaS: kdo popravlja izvajalno okolje?

Pri platformnih storitvah je popravek PHP odvisen od modela delovanja. Odločilno je izvajalno okolje, ki dejansko streže, ne lokalno okolje ali koda aplikacije.

Preberite več →032

Uradne slike PHP Docker: oznake, digesti in ponovna gradnja

Oznaka uradne slike PHP je kazalec, ki se sčasoma premakne na novo stanje. Kdor ve, kaj pomenijo oznaka, različica in digest, izbere pravo sliko in lahko dokaže stanje popravkov.

Preberite več →033

CI/CD: samodejna ponovna gradnja slik PHP

Slika zastara tudi brez spremembe kode. S časovno vodenimi gradnjami, preverjanjem različice in uvajanjem prek digesta popravki PHP zanesljivo pridejo v produkcijo.

Preberite več →034

Dolgoročna podpora za stare različice PHP: možnosti in meje

Kdor ne more takoj preiti s PHP 8.1 ali starejše, najde dolgoročno podporo pri distribucijah, tretjih ponudnikih in komercialnih storitvah. Kaj te poti zmorejo, kaj potrebujete pisno in kje so meje.

Preberite več →035

Posodobitev PHP v sistemu Windows

V sistemu Windows ni samodejne posodobitve PHP. Kdor izbere pravo različico, preveri prenos in znova zažene vse procese, popravek PHP2Shell čisto spravi na vsak računalnik.

Preberite več →

Odkrivanje in forenzika

Člankov: 18

036

Opozorilni znak: spletni strežnik zažene lupino

Če proces PHP-FPM ali spletnega strežnika zažene lupino, je to eden najmočnejših opozorilnih znakov vdora. Preverite drevo procesov, razvrstite izjeme in vzorec trajno nadzorujte.

Preberite več →037

Iskanje sumljivih procesov na strežnikih Linux

Škodljivi procesi se prikrivajo z neškodljivimi imeni, tečejo iz začasnih imenikov ali iz izbrisanih datotek. Z nekaj ukazi za branje najdete nenavadnosti in jih razvrstite.

Preberite več →038

Prepoznavanje skritih cronjobov kot stranskih vrat

Napadalci z načrtovanimi opravili po čiščenju znova pridejo noter. Tako v celoti preverite crontabe, imenike cron, časovnike systemd in naloge at ter prepoznate sumljive vnose.

Preberite več →039

Iskanje nedavno spremenjenih datotek na spletnem strežniku

Po morebitnem vdoru šteje, kaj se je na strežniku spremenilo. Tako iščete po časovnih oknih, pravilno uporabljate mtime in ctime ter primerjate s paketi, Gitom in varnostnimi kopijami.

Preberite več →040

Datoteke PHP v imeniku za nalaganje: pravilna razlaga najdb

Datoteka PHP v imeniku za nalaganje je skoraj vedno alarmni znak, vendar ni vsaka škodljiva koda. Tako najdbo ovrednotite, ne da bi uničili sledi, in razjasnite, ali jo je kdo priklical.

Preberite več →041

Prepoznavanje zakrite kode PHP

Neberljiva koda PHP z eval in base64_decode je klasičen znak vnesene škodljive kode. Katere vzorce iščete, kako jih najdete brez nevarnosti in kdaj je zakritje legitimno.

Preberite več →042

Preverjanje odhodnih povezav strežnika

Spletni strežnik predvsem odgovarja na zahteve. Če sam vzpostavlja povezave z neznanimi cilji, to lahko pomeni upravljanje s strani napadalcev ali odtekanje podatkov. Tako odhodni promet preverite in omejite.

Preberite več →043

Iskanje tujih skrbniških računov v CMS in na strežniku

Neznan skrbnik je pogosto najpreprostejša stranska vrata. Tako raven za ravnjo iščete tuje račune, tudi tiste, ki jih vmesnik skriva.

Preberite več →044

Iskanje in odstranjevanje neznanih ključev SSH

Vnesen ključ SSH napadalcem odpre vrata, tudi če so vsa gesla zamenjana. Tako najdete vsako datoteko authorized_keys in preverite vsak vnos.

Preberite več →045

Kriptorudar na spletnem strežniku: znaki in postopek

Stalno polni procesor, ne da bi prišlo več obiskovalcev: to je lahko kriptorudar. Tako preverite obremenitev, najdete proces in njegove mehanizme ponovnega zagona ter ukrepate urejeno.

Preberite več →046

Strežnik pošilja neželeno pošto: iskanje vzrokov

Nedostavljena pošta, črne liste, pritožbe: če lastni strežnik pošilja neželeno pošto, je za tem večinoma skript ali ugrabljen poštni predal. Tako najdete vir.

Preberite več →047

SEO spam in tuje strani v indeksu Googla

Nenadoma se pod vašo domeno uvrščajo strani o zdravilih ali blagovnih znamkah. Tako ugotovite, od kod prihaja SEO spam, in ga spravite iz indeksa.

Preberite več →048

Spletna stran preusmerja na tuje strani

Obiskovalci pristanejo na nagradnih igrah ali dvomljivih spletnih trgovinah, vi sami pa ne vidite ničesar? Tako najdete plast, v kateri se skriva preusmeritev, in jo odpravite.

Preberite več →049

Zavarujte dokaze, preden strežnik postavite znova

Ponovna postavitev odstrani napadalca, a tudi vse sledi. Kdor pred tem vloži eno uro v zavarovanje dokazov, lahko pozneje pove, kaj se je zgodilo.

Preberite več →050

Sestavljanje časovnice incidenta

Kdaj je prišel napadalec, kaj je storil, kdaj so to opazili? Urejena časovnica odgovori na ta vprašanja in je podlaga za prijave, zavarovalnico in poročilo.

Preberite več →051

Primerjava jedrnih datotek CMS z originalom

Primerjava s čistim originalom pokaže vsako spremenjeno datoteko, ne glede na to, ali jo skener pozna. Tako vzpostavite primerjavo za WordPress, projekte Composer in sistemske pakete.

Preberite več →052

Preverjanje zbirke podatkov za vneseno kodo

Kdor preverja samo datoteke, spregleda polovico. Tako preiščete vsebine, nastavitve, prožilce in račune zbirke podatkov za vneseno kodo, bralno in na kopiji.

Preberite več →053

Skenerji zlonamerne kode za spletne strani: kaj najdejo in česa ne

Skener ne javlja ničesar, torej je vse v redu? Ne nujno. Katere vrste skenerjev spletnih strani obstajajo, kaj vidi vsaka in česa načelno ne more videti.

Preberite več →

Utrjevanje in konfiguracija

Člankov: 20

054

Izolacija poolov PHP-FPM po spletnih straneh

Lasten pool za vsako spletno stran je začetek, ne konec. Tako preverite obstoječe poole in utrdite sockete, končnice, statusne strani, vire in dnevnike.

Preberite več →055

Pravilna nastavitev memory_limit

memory_limit omejuje pomnilnik na zahtevo PHP. Po PHP2Shell php.net začasno svetuje nasprotno. Kaj velja v običajnem delovanju, v prehodu in po posodobitvi.

Preberite več →056

Smiselna omejitev post_max_size in upload_max_filesize

Meje nalaganja delujejo na treh mestih: v spletnem strežniku, v PHP in v aplikaciji. Tako vrednosti nastavite usklajeno, tudi s prehodnimi vrednostmi php.net za PHP2Shell.

Preberite več →057

Izklop session.upload_progress: pravilno in trajno

Ukrep proti CVE-2026-115560 in eden od prehodnih ukrepov za PHP2Shell je hitro nastavljen. Da zdrži, mora stati na pravem mestu, biti zaklenjen in po vsaki posodobitvi znova preverjen.

Preberite več →058

expose_php in glave Server: skrivanje podatkov o različicah

PHP, Nginx in Apache številko različice privzeto navajajo v vsakem odgovoru. To ne ščiti pred napadi, skenerjem pa daje priročen seznam zadetkov. Tako to izklopite in vseeno obdržite pregled.

Preberite več →059

display_errors off: izklop izpisa napak v produkciji

Vidna sporočila o napakah PHP razkrivajo poti, imena zbirk podatkov in različice. Tako jih izklopite v PHP, v ogrodju in v spletnem strežniku, ne da bi izgubili pregled nad napakami.

Preberite več →060

php_admin_value: zaklepanje nastavitev pred prepisovanjem

Varnostna nastavitev malo koristi, če jo aplikacija z eno vrstico kode spet spremeni. S php_admin_value in php_admin_flag vrednosti za PHP-FPM in Apache določite zavezujoče.

Preberite več →061

Nastavitev pomnilniških mej s systemd in cgroups

php.net kot prehodni ukrep za PHP2Shell priporoča memory_limit=-1 in pomnilniško mejo zunaj PHP. Tako to mejo nastavite s systemd in cgroups, ne da bi en sam delavec potegnil za seboj celotno storitev.

Preberite več →062

Varna konfiguracija Nginx za PHP

Večina šibkih točk v nastavitvah Nginx za PHP ne tiči v Nginx, ampak v nekaj vrsticah lokacije PHP. Tako predajo na PHP-FPM konfigurirate, da se izvajajo samo želeni skripti.

Preberite več →063

Varna konfiguracija Apache za PHP

Apache je prilagodljiv in prav zato dovzeten za napačno konfiguracijo. Tako PHP povežete prek PHP-FPM, .htaccess zaprete kot stranska vrata in najpomembnejše jedrne možnosti varno nastavite.

Preberite več →064

Prepoved izvajanja PHP v mapah za nalaganje

Webshell potrebuje dve stvari: mapo, v katero je mogoče pisati, in strežnik, ki jo izvede. Tako ji vzamete drugo, in sicer v vsaki zapisljivi mapi, ne samo v uploads.

Preberite več →065

Filtriranje zahtev za nalaganje na robu: priložnosti in tveganja

Strokovni avtorji predlagajo, da se zahteve za nalaganje zunaj pravih poti za nalaganje blokirajo na proxyju, dokler PHP ni popravljen. To lahko pomaga, lahko pa ohromi obrazce in naročila. Tako ravnate nadzorovano.

Preberite več →066

Uporaba ModSecurity in OWASP Core Rule Set

Lasten požarni zid spletnih aplikacij z ModSecurity in OWASP Core Rule Set je brezplačen in zmogljiv, a ne deluje sam od sebe. Tako izberete pogon, začnete brez izpadov in pravila uskladite.

Preberite več →067

Postavitev Fail2ban za spletne strežnike

Fail2ban blokira naslove, ki se v dnevnikih ponavljajoče izpostavijo. Za spletne strežnike prinaša pripravljene filtre, z nekaj vrsticami pa dodate lastne. Tako ga vzpostavite, ne da bi izključili sebe ali svoje stranke.

Preberite več →068

Požarni zid za spletne strežnike: odprite samo potrebna vrata

Spletni strežnik navzven običajno potrebuje le dvoje vrat. Kljub temu na številnih strežnikih v internetu poslušajo zbirke podatkov, PHP-FPM ali upravljalski vmesniki. Tako najdete odprte storitve in zaprete, kar ni potrebno.

Preberite več →069

Samodejne varnostne posodobitve na strežnikih Linux

Po poročilih so distribucije backporte PHP deloma dostavile že 21. oktobra 2026, na dan popravkov. Kdor uporablja samodejne varnostne posodobitve, jih je imel hitro na strežniku. Da delujejo, so potrebni ponovni zagoni, tretji viri in nadzor.

Preberite več →070

Least Privilege: pravice uporabnika spletnega strežnika

Vnesena koda teče s pravicami uporabnika spletnega strežnika. Kaj sme ta račun, določa, kako daleč pride napadalec. Tako omejite lupino, sudo, cron, bazo podatkov in datotečni sistem na nujno potrebno.

Preberite več →071

Zaščita skrbniških območij z IP, VPN ali dodatno zaščito

Zakaj zaledje spletne strani ne sme biti dosegljivo za ves svet in kako ga zaščitite z dovoljenimi IP, VPN ali predhodno prijavo, ne da bi se sami zaklenili ven.

Preberite več →072

Pravilna konfiguracija TLS in HTTPS

Katere različice TLS in šifrirne pakete naj spletni strežnik danes ponuja, na kaj se opirajo priporočila in kako preverite Nginx, Apache ter odhodne povezave PHP.

Preberite več →073

CIS Benchmarki in moduli BSI za spletne strežnike

Kateri standardi utrjevanja obstajajo za spletne strežnike Linux, v čem se razlikujejo CIS Benchmarki in moduli IT-Grundschutz ter kako iz njih naredite preverljivo zahtevo za svoje strežnike PHP.

Preberite več →

Varen razvoj

Člankov: 16

074

Varno shranjevanje gesel v PHP: pravilna uporaba password_hash

Kako razvijalci v PHP shranjujejo gesla s password_hash in password_verify, izberejo ustrezen postopek ter nadomestijo stare zgoščene vrednosti MD5 ali SHA-1 brez ponastavitve gesel za vse uporabnike.

Preberite več →075

Zaščita pred CSRF v aplikacijah PHP

Kako razvijalci v aplikacijah PHP preprečujejo Cross-Site Request Forgery: žeton za vsako zahtevo, ki kaj spreminja, preverjanje izvora v glavi in piškotki SameSite kot dodatna plast.

Preberite več →076

Preverjanje in filtriranje vnosov v PHP s filter_var

Kako razvijalci v PHP preverjajo vnose s filter_var, filter_input_array in dovoljenimi seznami, kateri filtri so zastareli in zakaj preverjanje ne nadomesti pripravljenih stavkov ter kodiranja izpisa.

Preberite več →077

Preprečevanje command injection v PHP

Kako razvijalci preprečujejo command injection v PHP: sistemske ukaze nadomestijo s funkcijami PHP, proc_open uporabijo brez lupine, preverjajo argumente in poiščejo nevarna mesta v obstoječi kodi.

Preberite več →078

Preprečevanje Server-Side Request Forgery (SSRF) v PHP

Kako razvijalci preprečijo, da bi aplikacija PHP po naročilu tujcev poizvedovala po notranjih sistemih: dovoljeni seznami, omejitev protokolov, preverjanje razrešenega naslova in meje v omrežju.

Preberite več →079

Preprečevanje XML External Entities (XXE) v PHP

Kako razvijalci v PHP varno obdelujejo XML: privzeto vedenje libxml, tvegane možnosti, kot je LIBXML_NOENT, zaščita z nalagalnikom entitet in LIBXML_NO_XXE ter tipični skriti vhodi XML.

Preberite več →080

Type juggling v PHP: ohlapne primerjave kot varnostno tveganje

Zakaj lahko ohlapne primerjave z == v PHP vodijo do varnostnih ranljivosti, kaj se je spremenilo s PHP 8.0 in kako robustno napišete primerjave pri prijavah, žetonih in pooblastilih.

Preberite več →081

Varna naključna števila in žetoni v PHP z random_bytes

Kako razvijalci v PHP ustvarjajo žetone za povezave do gesel, ključe API in enkratne kode: kriptografsko varni viri, zadostna dolžina, shranjevanje kot zgoščena vrednost in omejena veljavnost.

Preberite več →082

Pravilna zaščita dostopnih podatkov in datotek .env

Kako v projektih PHP zaščitite gesla baze podatkov, ključe API in druge skrivnosti: datoteke .env zunaj webroota, blokade v spletnem strežniku, ozke pravice in urejena zamenjava po incidentu.

Preberite več →083

Javna mapa .git: podcenjeno uhajanje podatkov

Zakaj lahko webroot, razmeščen prek Gita, razkrije celotno izvorno kodo z zgodovino vred, kako to preverite, takoj blokirate in razmestitev trajno zgradite brez mape .git.

Preberite več →084

Datoteke varnostnih kopij v webrootu: .zip, .sql in .bak

Zakaj izpisi baz podatkov, arhivi in varnostne kopije v javnem imeniku sodijo med najpogostejša uhajanja podatkov, kako jih najdete, blokirate in razjasnite, ali so bile klicane.

Preberite več →085

Datoteke phpinfo(): zakaj morajo izginiti

Po PHP2Shell mnogi skrbniki hitro ustvarijo info.php. Zakaj so take datoteke uhajanje podatkov, kako jih najdete in katere poti preverjanja so boljše.

Preberite več →086

Aktualne odvisnosti: Composer, npm in vtičniki

Projekt sestoji iz treh svetov paketov: Composer, npm in vtičniki CMS. Kako vse tri ohranjate aktualne s stalnim ritmom, jasno odgovornostjo in preizkusi.

Preberite več →087

Varnostni pregled kode za projekte PHP

Kako ekipe ciljno pregledajo lastno kodo PHP glede varnostnih ranljivosti: vrste pregledov, kritične funkcije, smiselna orodja in kontrolni seznam.

Preberite več →088

Varno beleženje: napake beležite brez uhajanja podatkov

Dnevniki pomagajo pri iskanju napak in forenziki, a hitro sami postanejo uhajanje podatkov. Kaj naj aplikacije PHP beležijo, česa nikoli in kako dnevnike zaščitite.

Preberite več →089

Zavarovanje API REST v PHP

Vmesniki so pogosto slabše zaščiteni od spletne strani pred njimi. Najpomembnejša pravila za API REST v PHP, od pooblastila za objekt do omejevanja hitrosti.

Preberite več →

Vodenje in pravo

Člankov: 14

090

Pogodbe s ponudniki IT: jasno uredite varnostne obveznosti

PHP2Shell je pokazal, kako pogosto ni jasno, kdo mora nameščati popravke. Katere varnostne obveznosti sodijo v pogodbe z agencijo, ponudnikom gostovanja in ponudnikom IT.

Preberite več →091

Obdelava po naročilu, kadar ponudniki dostopajo do strežnikov

Kdor tujce spusti na strežnike s podatki strank, praviloma potrebuje pogodbo o obdelavi (AVV). Kaj zahteva 28. člen GDPR in kako dostope v nujnem primeru organizirate skladno z varstvom podatkov.

Preberite več →092

Upravljanje ranljivosti v srednje velikih podjetjih

Noben srednje velik delodajalec ne more takoj obdelati vsakega obvestila. Vitek krog beleženja, ocenjevanja, odločanja in dokazovanja poskrbi, da se najpomembnejše zgodi prvo.

Preberite več →093

Vedeti, kaj teče: popis vseh spletnih strani in strežnikov

Pri PHP2Shell mnogi niso spodleteli pri popravku, ampak pri vprašanju, kje sploh teče PHP. Tako zgradite popis vseh spletnih strani in strežnikov.

Preberite več →094

Upravljanje popravkov kot postopek namesto gasilske akcije

Kdor popravlja samo, ko gori, v skrajnem primeru izgubi čas. Kako postopek upravljanja popravkov s stalnimi razredi, okni in dokazili poveže rutino in nujni primer.

Preberite več →095

Kontakti za nujne primere: kdo mora biti obveščen in kdaj?

V skrajnem primeru šteje, koga dosežete in kdaj. Kako zgradite seznam IT-kontaktov za nujne primere s sprožilci, namestniki in podatki, ki jih potrebuje vsak klic.

Preberite več →096

Koliko stane vdrt strežnik: postavke stroškov

Vdrt spletni strežnik povzroči več stroškov kot popravilo. Katere postavke nastanejo in kako z lastnimi številkami utemeljite proračun za preventivo.

Preberite več →097

Obveščanje strank po incidentu

Ne glede na obveznost ali prostovoljnost: kako po incidentu odločite, koga obvestite, kateri kanali so varni in kako je pripravljena služba za stranke.

Preberite več →098

Dobavna veriga v spletu: agencija, ponudnik gostovanja, ponudnik vtičnikov

PHP2Shell je pokazal, koliko členov je med popravkom in vašo spletno stranjo. Kako dobavno verigo spletne strani spoznate, zavarujete in ublažite izpade posameznih členov.

Preberite več →099

Varnostna ozaveščenost za skrbnike in urednike: security awareness v spletni ekipi

Kdor vzdržuje spletne strani, vsak dan odloča o varnosti, pogosto ne da bi to opazil. Tako usposobite skrbnike in urednike po vlogah in brez plazu diapozitivov.

Preberite več →100

Vaja za mizo: odigrajte incident na spletnem strežniku

Vaja za mizo stane popoldne in pokaže, ali vaš načrt za nujne primere zdrži. Tu najdete pripravljen scenarij za incident na spletnem strežniku PHP.

Preberite več →101

ISO 27001 in TISAX: kaj zadeva spletne strežnike

Kdor upravlja ISMS po ISO 27001 ali ima oznako TISAX, mora misliti tudi na spletne strežnike. Tu piše, katere zahteve se jih dotikajo in katera dokazila štejejo po PHP2Shell.

Preberite več →102

VdS 10000: informacijska varnost za mala in srednje velika podjetja

VdS 10000 je vitek okvir za informacijsko varnost v srednje velikih podjetjih. Kaj zahteva, kaj je novega prinesla leta 2025 in kaj to pomeni za spletne strani in spletne strežnike.

Preberite več →103

Lessons learned: boljši po incidentu

Po incidentu je pred naslednjim. Strukturiran pogovor brez iskanja krivcev iz slabega tedna naredi merljiv napredek.

Preberite več →

Pomoč pri odločanju

Člankov: 10

104

Takojšnji stik

Vsaka ura šteje. Pišite nam zdaj.

Na kratko opišite sistem, različico PHP in opažanje. Odzovemo se, razjasnimo stanje in delamo na daljavo, dokler incident ni zaključen in dokumentiran.

WhatsApp nujno Pokličite