# IT-varnost za upravnike stavb in nepremičninska podjetja

> Portal najemnikov, prijava škode, samopopis: kako upravniki stavb in nepremičninska podjetja zaščitijo sisteme PHP pred PHP2Shell in najemnike.

Vir: https://phpsos.de/sl/branchen/immobilien-hausverwaltung/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Pri IT-varnosti upravnika stavb štejejo predvsem sistemi, prek katerih najemniki in lastniki oddajajo podatke: portali, prijave škode in obrazci za prijave na stanovanja. Razjasnite, kateri od njih tečejo na vašem strežniku, dajte potrditi popravek PHP in imejte pripravljeno nadomestno pot za nujne prijave škode.

## Katere sisteme PHP uporabljajo upravniki stavb in posredniki

Številni upravniki delajo s panožno programsko opremo za objekte, najemnine in stroške. Navzven se dodajo drugi sistemi: portali najemnikov in lastnikov z odlagališčem dokumentov, spletni obrazci za prijave škode z nalaganjem fotografij, ponudbe stanovanj z obrazcem za interesente in samopopisom najemnika, območja za zbore lastnikov z zapisniki in sklepi.

Del tega upravlja ponudnik programske opreme kot storitev, drugi del teče na lastni spletni strani, pogosto WordPress z nepremičninskimi vtičniki. Za PHP2Shell je odločilna prav ta razlika.

Dodajo se vmesniki, ki jih v vsakdanu komaj kdo opazi: nepremičninske ponudbe se samodejno prenašajo iz panožne programske opreme na spletno stran in na nepremičninske portale, stanja števcev prihajajo od izvajalcev meritev, naročila obrtnikom tečejo prek lastnih obrazcev. Vsaka od teh povezav potrebuje dostopne podatke, ki so pogosto shranjeni na spletnem strežniku. Po incidentu jih je treba vse obnoviti, sicer napadalcu ostanejo stranska vrata v sosednje sisteme.

## Kakšne podatke najemniki in lastniki zaupajo

Pri upravniku stavb ležijo najemne pogodbe, bančne povezave za neposredne bremenitve, obračuni stroškov, stanja števcev, korespondenca o napakah in sporih ter fotografije iz stanovanj. Pri interesentih se dodajo samopopisi z dokazili o dohodkih, kopijami osebnih izkaznic in bonitetnimi informacijami. V portalih lastnikov so sklepi, rezerve in deloma informacije o ključavničarskih sistemih.

Za napadalce so ti podatki zanimivi iz dveh razlogov: omogočajo zlorabo identitete in dajejo vse, kar je potrebno za verodostojna goljufiva sporočila, na primer domnevno novo bančno povezavo za najemnino. Naložene datoteke so poleg tega značilna pot napada. Kako se nalaganje varno izvede, pojasnjuje priročnik [Nalaganje datotek v PHP](https://phpsos.de/sl/ratgeber/datei-upload-sicher/).

## Upravnik stavb in IT-varnost: kaj incident pomeni

Če portal odpove, manjka kanal za nujna sporočila, kot so vodne škode ali izpadi ogrevanja. To ustvari pritisk na telefon in dežurno službo, a je načrtljivo. Nevarnejši je neopažen napad:

- Najemniki prejmejo ponarejene plačilne pozive s tujim IBAN, ki navajajo prave pogodbene podatke.
- Samopopisi kandidatov za stanovanja se kopirajo in uporabijo za goljufijo.
- Lastniki izgubijo zaupanje v upravnika, kar na naslednjem zboru postane tema.

Če obstajajo znaki uhajanja podatkov, je lahko po [72-urnem pravilu GDPR](https://phpsos.de/sl/compliance/dsgvo-meldepflicht-72-stunden/) potrebna prijava nadzornemu organu. Oceno opravite s pooblaščencem za varstvo podatkov.

> **Ukrepajte takoj:**
> Če nihče ne potrdi, da je PHP na strežniku vašega portala popravljen in znova zagnan, portal odklopite z omrežja. Prijave škode začasno preusmerite na telefon in dežurno službo.

## Značilna vrzel v odgovornosti

| Sistem | Delovanje | Kdo popravi PHP |
|---|---|---|
| Panožna programska oprema v pisarni | IT-skrbnik | večinoma ni prizadeto |
| Portal kot storitev ponudnika | ponudnik programske opreme | ponudnik, zahtevajte potrditev |
| Portal na lastnem strežniku | ponudnik gostovanja ali izvajalec | po pogodbi, pogosto nerazjasnjeno |
| Spletna stran s ponudbami stanovanj | agencija in ponudnik gostovanja | ponudnik gostovanja pri spletnem gostovanju |

Poleg tega v manjših upravah nihče nima celotnega pregleda. Agencija pozna spletno stran, IT-skrbnik pisarniške računalnike, ponudnik programske opreme svoj portal.

## Lastnike, svete in najemnike pravilno vključiti

Pri upravljanju skupnosti etažnih lastnikov (WEG, nemški zakon o stanovanjski lastnini) lastniki in upravni sveti niso le prizadeti, ampak tudi naročniki. Upravičeno pričakujejo, da bo upravnik ob incidentu poročal odprto in dokazljivo. Kratko poročilo z vzrokom, prizadetimi sistemi, sprejetimi ukrepi in odprtim stanjem je boljše od molka do naslednjega zbora.

Najemniki potrebujejo predvsem praktična navodila: katera pot prijave trenutno velja, da se bančne povezave ne spreminjajo po e-pošti in komu lahko posredujejo sumljiva sporočila. Usklajena besedila preprečijo, da bi hišnik, referent in računovodstvo dajali različne informacije.

## Prve ure za poslovodstvo

1. Naštejte vse portale in obrazce ter za vsakega razjasnite, kje teče.
2. Dajte pisno potrditi popravek na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oz. backport in ponovni zagon.
3. Zavarujte dnevnike od 20. 10. 2026, dajte preveriti mape za nalaganje glede neznanih datotek.
4. Preverite račune zaposlenih v portalih in jih po čiščenju zavarujte z [dvofaktorsko prijavo](https://phpsos.de/sl/ratgeber/zwei-faktor-admin/).
5. Najemnike preventivno opozorite, da se bančne povezave ne spreminjajo po e-pošti.

## Kako konkretno pomaga PHP SOS?

- Zajamemo vaše portale in obrazce ter s ponudnikom, agencijo in ponudnikom gostovanja razjasnimo odgovornosti.
- Preverimo stanje popravkov in ponovni zagon ter preiščemo mape za nalaganje in podatkovne zbirke glede webshellov.
- Ob okužbi očistimo v okviru [nujne pomoči pri vdrtih spletnih straneh](https://phpsos.de/sl/leistungen/website-gehackt-notfallhilfe/) in incident dokumentiramo za pooblaščenca za varstvo podatkov in zavarovalnico.
- Z [varnostno vzdrževalno pogodbo](https://phpsos.de/sl/leistungen/security-wartungsvertrag/) PHP na vaših strežnikih trajno ostane aktualen in nadzorovan.


## Pogosta vprašanja

**Naš portal najemnikov je programska oprema ponudnika. Smo prizadeti?**  
Če portal teče kot storitev pri ponudniku, je ta odgovoren za strežnik in PHP. Tam pisno povprašajte o stanju. Če ista programska oprema teče na vašem strežniku ali pri vašem ponudniku gostovanja, sta popravek in ponovni zagon pri vas ali vašem izvajalcu.

**Kateri podatki iz samopopisa najemnika so posebej občutljivi?**  
Dokazila o dohodkih, kopije osebnih izkaznic, bonitetne informacije in podatki o delodajalcu so primerni za zlorabo identitete in goljufijo. Hraniti jih je treba samo tako dolgo, kot je potrebno za oddajo. Kako dolgo je to, razjasnite s pooblaščencem za varstvo podatkov.

**Kako preprečimo ponarejene plačilne pozive najemnikom?**  
Najemnikom sporočite, da se vaša bančna povezava ne spremeni po e-pošti ali sporočilu v portalu, ne da bi to potrdili še na drugi poti. Po incidentu najemnike aktivno opozorite. Tehnično pomagata utrjevanje portalov in dvofaktorska prijava za račune zaposlenih.

## Viri

- [php.net: varnostna obvestila](https://www.php.net/)
- [BSI: opozorila in priporočila](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [33. člen GDPR: prijava nadzornemu organu](https://dsgvo-gesetz.de/art-33-dsgvo/)