Na kratko: Pri upravljanem strežniku ponudnik prevzame del varnosti, običajno operacijski sistem, pakete PHP in standardne storitve. Aplikacija, vtičniki, dostopi in odgovornost z vidika varstva podatkov večinoma ostanejo pri vas. Po PHP2Shell razjasnite oboje v pisni obliki: kaj je naredil ponudnik in kaj je še vaša naloga?
Kaj „upravljan“ pomeni in česa ne
Izraz ni zaščiten. En ponudnik pod tem morda razume samo nameščanje posodobitev operacijskega sistema, drugi skrbi tudi za spletni strežnik, PHP, zbirko podatkov in varnostne kopije. Nekateri paketi vključujejo nadzor 24 ur na dan, drugi samo kontaktno osebo v delovnem času.
Prav ob položaju, kot je PHP2Shell, se pokaže, kako natančen je opis storitev. Obe ranljivosti, CVE-2026-109618 in CVE-2026-109619, sta v samem PHP. Ali vaš ponudnik PHP vzdržuje kot del svoje platforme ali pa PHP velja za „vašo programsko opremo“, piše v pogodbi. Ne zanašajte se na predpostavko, da bo že kdo poskrbel.
Varnost upravljanega strežnika: tipična delitev nalog
Spodnja tabela prikazuje pogosto razdelitev. Ne nadomešča vpogleda v vašo pogodbo, pomaga pa postaviti prava vprašanja.
| Področje | Praviloma pri ponudniku | Praviloma pri vas |
|---|---|---|
| Strojna oprema, omrežje, virtualizacija | da | ne |
| Posodobitve operacijskega sistema | da | ne |
| Paketi PHP iz platforme | pogosto | če jih namestite sami |
| Ponovni zagon PHP-FPM in spletnega strežnika | pogosto | pri lastnih storitvah |
| Strežniška konfiguracija PHP | pogosto | pri posebnih željah |
| CMS, spletna trgovina, vtičniki, lastna koda | ne | da |
| Skrbniški računi aplikacije | ne | da |
| Varnostne kopije | pogosto | preverjanje obnovitve |
| Ocena in prijava kršitev varstva podatkov | ne | da |
| Nadzor napadov | glede na paket | glede na paket |
Nejasna polja so pravo tveganje. Kjer bi morali vpisati „glede na paket“ ali „pogosto“, ureditve ni.
Katera vprašanja naj zdaj zastavite
Ponudniku pošljite kratko, stvarno poizvedbo. Prosite za odgovor v pisni obliki, da ga boste lahko pozneje predložili. Vključite te točke:
- Katere različice PHP tečejo na našem strežniku in ali so zaščitene pred CVE-2026-109618 in CVE-2026-109619?
- Od kdaj to velja in ali so bili po tem znova zagnani vsi procesi PHP in spletni strežnik?
- Ali je bil popravek nameščen kot backport? Če da, katera različica paketa to dokazuje?
- Ali so obstajali znaki poskusov napada ali sumljivih procesov na našem strežniku?
- Ali se dnevniki spletnega strežnika hranijo od 20. 10. 2026 naprej in kako jih dobimo?
Izdelano predlogo najdete na strani Vprašajte ponudnika gostovanja za stanje popravkov. Številka različice v meniju za stranke ni dokaz: pri backportih ostane pogosto nespremenjena, na primer pri 8.2.34.
Tudi če je ponudnik PHP popravil, ostane treba preveriti vašo aplikacijo. Popravek ne odstrani škodljive programske opreme, ki je bila vnesena pred posodobitvijo, in ne dokazuje, da se ni zgodilo nič.
Kaj ostane pri vas
Vaš del zajema predvsem aplikacijo. Preverite, ali so CMS, spletna trgovina in vtičniki na aktualnem stanju, odstranite razširitve, ki jih ne uporabljate več, in preglejte seznam skrbnikov. Bodite pozorni na nove datoteke v imenikih za nalaganje, tuje preusmeritve in nenavadna načrtovana opravila v aplikaciji.
Pridruži se še pravna plat. Če ob incidentu osebni podatki pridejo v tuje roke, je prijavo praviloma dolžno opraviti vaše podjetje kot upravljavec, ne ponudnik. Ta vas mora kot obdelovalec nemudoma obvestiti. Osnove pojasnjuje stran Obveznost prijave po GDPR: 72 ur. To je splošna informacija, ne pravno svetovanje; posamezni primer ocenijo pooblaščenec za varstvo podatkov ali odvetniki.
Pogosto spregledana točka: programska oprema, ki ste jo vi ali vaša agencija sami namestili na upravljani strežnik, na primer dodatna različica PHP iz tujega vira, vsebnik ali pomožni program, praviloma ne spada pod vzdrževanje ponudnika. Zato vprašajte tudi, ali ponudnik ve, kaj poleg standardne opreme še teče. In razjasnite, kdo v primeru suma prevzame preiskavo. Mnogi ponudniki platformo obnovijo, vendar ne preiskujejo, ali in kateri podatki so bili prizadeti. Prav ta odgovor pa potrebujete za presojo morebitnih obveznosti prijave.
Izboljšajte pogodbe za prihodnost
Izkoristite položaj in delitev nalog zapišite. Smiselne so ureditve glede varnostnih posodobitev vključno s ponovnim zagonom, glede obveščanja ob kritičnih ranljivostih, glede hrambe in izročitve dnevnikov ter glede podpore ob incidentih. Vprašajte tudi, ali vas ponudnik obvešča aktivno ali morate sami povpraševati.
Lasten strežnik brez oskrbe je alternativa, vendar vse delo prenese na vas. Kaj to pomeni, opisuje stran Samostojna zaščita root strežnika in strežnika vServer.
Kako PHP SOS konkretno pomaga?
- Preberemo opis vaših storitev in pripravimo matriko nalog, ki naredi vrzeli vidne.
- Oblikujemo tehnična vprašanja za vašega ponudnika in ovrednotimo njegove odgovore.
- Del aplikacije, ki je pri vas, preverimo glede sledi in zastarelih komponent.
- Kar ponudnik ne pokriva, na željo prevzamemo prek varnostne pogodbe o vzdrževanju ali dopolnimo s varnostnim nadzorom.
Pogosta vprašanja
Ali je pri upravljanem strežniku samodejno vse zaščiteno?
Ne. Upravljan pomeni, da ponudnik prevzame določene, pogodbeno opredeljene naloge, praviloma operacijski sistem in standardne storitve. Aplikacija, vtičniki, dostopi in lastna programska oprema pogosto ostanejo pri vas.
Kje piše, za kaj je odgovoren moj ponudnik?
V opisu storitev in pogodbenih pogojih, pogosto tudi v dokumentu o delitvi nalog. Pri osebnih podatkih se pridruži pogodba o obdelavi naročil. Če za varnostne posodobitve ni jasne ureditve, vprašajte pisno.
Ali moram kljub upravljanemu strežniku zaradi PHP2Shell sam kaj storiti?
Da. Pridobite potrditev, da so vse različice PHP popravljene in procesi znova zagnani. Poleg tega preverite svojo aplikacijo glede sledi in razjasnite, ali obstaja obveznost prijave.
Kdo prijavi kršitev varstva podatkov, če je bil prizadet ponudnik gostovanja?
Nadzornemu organu praviloma prijavi upravljavec, torej vaše podjetje. Ponudnik gostovanja vas mora kot obdelovalec nemudoma obvestiti. Posamezni primer naj oceni vaš pooblaščenec za varstvo podatkov.