# Ranljivost na spletni strani občine: vodnik za upravo > PHP2Shell in občina: kako uprave zaščitijo predstavitev TYPO3, obrazce za občane in informacije sveta, razjasnijo odgovornosti in stvarno obveščajo. Vir: https://phpsos.de/sl/branchen/kommunen-verwaltung/ Stanje: 25.10.2026 Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6 **Na kratko:** Varnostna ranljivost na spletni strani občine je incident z javnostjo. Razjasnite, kdo upravlja strežnik, dajte potrditi popravek PHP in ponovni zagon ter imejte pripravljeno nujno stran za primer, da mora biti predstavitev začasno odklopljena. Komuniciranje občanom in tisku naj bo usklajeno, preden pridejo vprašanja. ## Katere sisteme PHP občine običajno upravljajo Številne občinske spletne predstavitve tečejo na [TYPO3](https://phpsos.de/sl/plattformen/typo3/), poleg tega na drugih sistemih PHP. Okoli glavne predstavitve nastajajo dodatne aplikacije: spletni obrazci za vloge in prijave, prijavitelji pomanjkljivosti, koledarji prireditev, sodelovanje občanov, portali za zaposlitve, predvpis v vrtce, turistične strani, knjižnični katalogi in spletne strani posameznih ustanov, kot sta glasbena šola ali komunalno podjetje. Nekatere od teh aplikacij upravlja občina sama, druge občinsko računalniško središče, zveza občin ali proizvajalec strokovnih postopkov. Kdor želi zapreti ranljivost v PHP, mora najprej vedeti, na čigavih strežnikih teče katera aplikacija. Manjše občine pogosto nimajo lastnega IT-oddelka. Tam predstavitev mimogrede vzdržuje uslužbenec glavnega urada (Hauptamt), tehnika je pri agenciji, pogodbe pa izvirajo iz časa, ko nihče ni mislil na kritične ranljivosti v programskem jeziku. Večja mesta imajo obraten problem: toliko predstavitev uradov, projektov in ustanov, da komaj kdo pozna popoln seznam. ## Kaj je na občinskih spletnih straneh na kocki V obrazcih in portalih ležijo podatki občank in občanov: naslovi, datumi rojstva, podatki o otrocih pri vpisih v vrtce in šole, fotografije in lokacije pri prijavah pomanjkljivosti, prijave za delo. Za javne organe veljata GDPR in deželni zakon o varstvu podatkov, pristojen je praviloma nadzorni organ za varstvo podatkov dežele. Vsaj tako težka je celovitost: predstavitev občine je uradni vir. Ponarejene vsebine, ponarejena uradna obvestila ali preusmeritve na goljufive strani pod imenom mesta škodujejo zaupanju daleč čez tehnično škodo. Občinske domene uživajo zaupanje občanov in iskalnikov. Prav to jih dela privlačne za napadalce: kot pošiljatelje spama, kot odlagališče goljufivih strani ali kot platformo za lažna poročila, na primer o volitvah, neurjih ali pristojbinah. ## Občina in varnostna ranljivost spletne strani: kdo o čem odloča? | Vloga | Značilna naloga ob incidentu | |---|---| | Občinsko računalniško središče ali IT-izvajalec | strežnik, paketi PHP, ponovni zagon, ločitev omrežja | | Glavni urad ali IT-koordinacija | splošno vodenje, naročanje, načrt za nujne primere | | Tiskovni urad | obveščanje občanov in medijev | | Uradni pooblaščenec za varstvo podatkov | ocena obveznosti prijave | | Spletna agencija | CMS, razširitve, vsebine | Vrzel pogosto nastane med računalniškim središčem in agencijo: središče upravlja strežnik, agencija vzdržuje TYPO3, vsaka stran pa predpostavlja, da za PHP skrbi druga. Posodobitev TYPO3 PHP2Shell ne zapre. > **Ukrepajte takoj:** > BSI je stanje ocenil z opozorilno stopnjo 3 / oranžna in priporoča takojšnjo posodobitev. Če občinskega spletnega strežnika ni mogoče takoj popraviti, ga začasno odklopite z omrežja in vklopite statično nujno stran. ## Prve ure v upravi 1. Naštejte vse predstavitve in strokovne aplikacije s spletnim dostopom, vključno z ustanovami in turizmom. 2. Pri posameznem upravljavcu dajte pisno potrditi: PHP na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oziroma nameščen backport, vsi procesi znova zagnani. 3. Nepotrjene sisteme odklopite z omrežja ali jih do popravka zavarujte z [virtualnim popravljanjem](https://phpsos.de/sl/leistungen/waf-virtuelles-patching/). Cloudflare opozarja, da samo pravila na podlagi podatkov zahteve ne zadoščajo; to je most, ne nadomestilo. 4. Zavarujte dnevnike od 20. 10. 2026. 5. Obvestite tiskovni urad in pooblaščenca za varstvo podatkov ter uskladite stvarno jezikovno ureditev. Pomoč za to nudi stran o [kriznem komuniciranju](https://phpsos.de/sl/compliance/krisenkommunikation/). Kaj BSI priporoča v podrobnostih, povzema stran [Priporočila BSI za PHP2Shell](https://phpsos.de/sl/compliance/bsi-empfehlungen/). Vprašanja o javnih naročilih in nujnem naročanju razjasnite po svojih internih pravilih. ## Preventiva: nujna stran, popis in nadomeščanje Naslednja kritična ranljivost zagotovo pride. Tri priprave potem prihranijo ure: pripravljena statična nujna stran s telefonskimi številkami, uradnimi urami in napotki za nujne zadeve, ki jo je mogoče servirati brez PHP. Vzdrževan popis vseh spletnih aplikacij z upravljavcem, kontaktno osebo in pogodbeno podlago. In ureditev nadomeščanja, da je mogoče odločitve, kot je izklop predstavitve, sprejeti tudi zvečer in ob koncih tedna. Te točke sodijo v [IT-načrt za nujne primere](https://phpsos.de/sl/compliance/notfallplan-erstellen/) uprave. Lastni obrati, komunalna podjetja in ustanove z lastnimi spletnimi stranmi naj bodo v njem izrecno omenjeni, ker jih sicer pri popisu zmanjka. ## Kako konkretno pomaga PHP SOS? - Podpiramo vašo IT-koordinacijo pri popisu in z računalniškim središčem, proizvajalci in agencijo razjasnimo, kdo popravi kateri sistem. - Kjer upravljate sami, prek [storitve popravljanja PHP](https://phpsos.de/sl/leistungen/php-patch-service/) prevzamemo posodobitev, ponovni zagon in pisno dokazilo. - Ob sumu ogroženosti zavarujemo sledi in vsebine preverimo glede manipulacije, preden je predstavitev spet na spletu. - Potek dokumentiramo tako, da ga lahko pooblaščenec za varstvo podatkov, vodstvo uprave in računsko sodišče razumejo. ## Pogosta vprašanja **Ali smemo spletno stran občine preprosto izklopiti?** BSI (nemški zvezni urad za informacijsko varnost) priporoča, da se spletne strežnike začasno odklopi z omrežja, če posodobitev ni takoj mogoča. Za občine je primerna statična nujna stran z najpomembnejšimi kontaktnimi potmi. Kdo sme to interno odločiti, naj piše v načrtu za nujne primere. **Ali je prizadet informacijski sistem sveta?** To je odvisno od tehnike in delovanja. Informacijske sisteme sveta in spletne storitve pogosto upravljajo proizvajalci strokovnih postopkov ali občinska računalniška središča. Tam konkretno povprašajte o uporabi PHP, stanju popravkov in ponovnem zagonu. **Kateri organ za varstvo podatkov je pristojen za občine?** Za javne organe zveznih dežel in občin je v Nemčiji praviloma pristojen nadzorni organ za varstvo podatkov posamezne zvezne dežele. Poleg tega veljajo deželni zakoni o varstvu podatkov. Vaš uradni pooblaščenec za varstvo podatkov pozna poti prijave. ## Viri - [BSI: opozorila in priporočila](https://www.bsi.bund.de/) - [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) - [php.net: varnostna obvestila](https://www.php.net/) - [TYPO3](https://typo3.org/)