# Сигурност на уебсайта за аптеки: заявки, магазин и здравни данни

> Предварителна заявка, снимка на рецепта, магазин: как аптеките защитават уебсайта си от PHP2Shell, пазят здравните данни и разпознават фармацевтичен спам.

Източник: https://phpsos.de/bg/branchen/apotheken/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** При сигурността на уебсайта на една аптека става дума за здравни данни: който поръча предварително лекарство или снима рецепта, издава нещо за здравето си. Изяснете кой управлява Вашия уеб сървър, поискайте потвърждение за PHP пача и рестартирането и внимавайте за скрита реклама на лекарства, която атакуващите охотно внедряват в уебсайтове на аптеки.

## Какви PHP системи използват аптеките

Много аптеки имат уебсайт с работно време, указание за дежурство и форма за предварителна заявка. Често се добавя функция за качване на снимки на рецепти или планове за лечение, освен това запитвания за доставка по домовете и часове за консултации или ваксинации. Аптеките с дистанционна търговия и аптеките с онлайн търговия управляват допълнително магазин, например на [WooCommerce](https://phpsos.de/bg/plattformen/woocommerce/) или [Shopware 6](https://phpsos.de/bg/plattformen/shopware-6/).

Някои сайтове идват от пакети за уебсайтове на кооперации или специализирани доставчици, други е изградила местна агенция. За PHP2Shell от това зависи кой управлява сървъра и следователно отговаря за PHP пача.

Особено показателни са запитванията за доставка по домовете. Те свързват домашен адрес, телефонен номер и лекарство, често на възрастни или нуждаещи се от грижи хора. Който прихване такива записи, знае кой живее сам, какви средства се ползват редовно и кога се доставя. Това ги прави интересни за измамници, които се обръщат целенасочено към възрастни хора.

## Здравни данни: защо още формата за предварителна заявка е чувствителна

Име плюс лекарство дава здравни данни. Такива сведения спадат към специалните категории лични данни по чл. 9 от ОРЗД. За фармацевтите важи освен това задължение за мълчание, чието нарушение може да бъде наказуемо по § 203 StGB (германския Наказателен кодекс, германски закон).

На уеб сървъра такива данни се намират на няколко места: в базата данни на форм добавката, в качените снимки на рецепти, в опашките за имейли и в магазина с история на поръчките. Който може да изпълнява код чрез PHP2Shell, по правило достига до всичко това, без да му трябва вход.

## Аптека и сигурност на уебсайта: какво причинява една атака

- **Изтичане на данни:** Предварителните заявки и снимките на рецепти позволяват изводи за заболявания. Рискът за засегнатите е висок, задълженията за уведомяване по ОРЗД са вероятни. [72-часовия срок](https://phpsos.de/bg/compliance/dsgvo-meldepflicht-72-stunden/) оценявате със своето длъжностно лице по защита на данните.
- **Фармацевтичен спам:** Атакуващите внедряват скрити страници с реклама на лекарства по лекарско предписание. Търсачките понижават страницата или показват предупреждение, както е описано в наръчника [Премахване на предупреждението на Google](https://phpsos.de/bg/ratgeber/google-warnung-entfernen/).
- **Загубени предварителни заявки:** Ако формата отпадне или пренасочва, клиентите стоят пред щанда, а лекарството не е поръчано.
- **Манипулиран магазин:** Променен код в процеса на поръчка може да прихваща платежни данни или да изпраща клиентите към фалшиви страници.

> **Важно:**
> Актуализацията на магазина или на CMS не затваря PHP2Shell. Уязвимостта е отстранена едва с PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или с потвърден от доставчика backport, и едва след рестартиране на всички PHP процеси.

## Празнината в отговорностите в аптеката

| Област | Обикновено отговаря | Често неизяснено |
|---|---|---|
| Управление на стоките, каси, TI (телематична инфраструктура) | Софтуерна фирма или ИТ на аптеката | Връзка към онлайн магазина |
| Уебсайт от пакет на кооперация | Доставчикът на пакета | писмено потвърждение за пача |
| Собствен уебсайт или магазин | Агенция и хостинг доставчик | кой актуализира PHP и рестартира |

В групи от аптеки се добавя, че всеки обект може да има собствени форми или домейни, които никой централно не води.

## Оформяне на предварителната заявка и качването на рецепти със съобразяване на данните

Много форми на аптеки съхраняват повече от необходимото. За предварителна заявка са нужни име, начин за връзка и желаният препарат, а не дата на раждане, адрес или диагноза. Снимките на рецепти не бива да стоят трайно в публично достъпната папка за качване, а да се изтриват след получаването.

Проверете освен това накъде отиват данните от формите. Ако всяка предварителна заявка попада като некриптиран имейл в общ пощенски кутия, до която имат достъп много служители, кутията се нуждае от същата защита като сървъра. А ако форм добавка записва допълнително всяко запитване в базата данни, там с всеки месец расте архив със здравни данни, от който никой няма нужда.

Колкото по-малко стои на уеб сървъра, толкова по-малка е щетата, ако той все пак бъде компрометиран. Решението за сроковете на съхранение вземате със своето длъжностно лице по защита на данните.

## Първите часове за ръководството на аптеката

1. Попитайте оператора на уеб сървъра писмено за състоянието на PHP пача и рестартирането.
2. Без потвърждение: изключете формата за предварителна заявка и качването на рецепти и преминете на телефон. Достатъчна е бележка на началната страница.
3. Накарайте да се запазят логовете от 20.10.2026 г.
4. В Google Search Console проверете дали се съобщават непознати страници или проблеми със сигурността.
5. Накарайте да се изтрият старите снимки на рецепти и записи от форми, които вече не са нужни, след съгласуване с длъжностното лице по защита на данните.

## Как помага PHP SOS конкретно?

- Уточняваме с доставчика на пакета, агенцията или хостинг доставчика кой пачва PHP и осигуряваме потвърждение със състоянието на пакета.
- Проверяваме уебсайта и магазина за уеб шелове, внедрен фармацевтичен спам и променен код на поръчките и [премахваме намерения зловреден софтуер](https://phpsos.de/bg/leistungen/malware-entfernung/).
- Показваме къде на сървъра се намират здравни данни и помагаме да се ограничат срокът на съхранение и качванията.
- Документираме находките така, че Вашето длъжностно лице по защита на данните да може да оцени задължението за уведомяване.


## Често задавани въпроси

**Засегната ли е нашата система за управление на стоките от PHP2Shell?**  
Системата за управление на стоките на аптеката и достъпът до телематичната инфраструктура (германската здравна мрежа) по правило работят отделно от уебсайта. Засегнати са PHP уеб сървърите, т.е. най-често уебсайтът, формата за предварителна заявка и онлайн магазинът. Дали има интерфейси между магазина и системата за управление на стоките, трябва да провери Вашият ИТ изпълнител.

**Нашият уебсайт е от конструктор на нашето кооперативно обединение. Кой отговаря?**  
При пакети за уебсайтове от кооперации, търговци на едро или специализирани доставчици сървърът най-често се управлява от доставчика. Тогава PHP пачът е негова задача. Попитайте писмено за състоянието, защото отговорността за данните на Вашите клиенти остава на Вашата аптека.

**Какво е фармацевтичен хак?**  
Така се наричат атаки, при които на компрометиран уебсайт се внедряват скрити страници или връзки за реклама на лекарства. Посетителите често не виждат нищо от това, а търсачките го виждат. При аптека това е особено деликатно, защото такова съдържание се появява под достоверно име.

## Източници

- [php.net: Съобщения за сигурност](https://www.php.net/)
- [BSI: Предупреждения и препоръки](https://www.bsi.bund.de/)
- [Помощ за Google Search Console](https://support.google.com/webmasters/)
- [ОРЗД, чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)