# Уязвимост на уебсайта на общината: ръководство за администрацията

> PHP2Shell и общината: как администрациите защитават TYPO3 сайта, формите за граждани и информацията за съвета, уточняват отговорностите и информират.

Източник: https://phpsos.de/bg/branchen/kommunen-verwaltung/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Уязвимостта на уебсайта на една община е инцидент с публичност. Изяснете кой управлява сървъра, поискайте потвърждение за пача на PHP и рестартирането и дръжте готова аварийна страница, в случай че присъствието трябва временно да излезе от мрежата. Комуникацията към гражданите и пресата трябва да е съгласувана, преди да дойдат въпросите.

## Какви PHP системи обикновено управляват общините

Много общински интернет присъствия работят на [TYPO3](https://phpsos.de/bg/plattformen/typo3/), наред с това и на други PHP системи. Около основното присъствие възникват още приложения: онлайн форми за заявления и записвания, система за сигнали за проблеми, календар на събитията, гражданско участие, портали за работа, записване в детски градини, туристически страници, каталози на библиотеки и уебсайтове на отделни институции като музикалното училище или комуналните дружества.

Някои от тези приложения общината управлява сама, други – общински център за данни, сдружение на общини (Zweckverband) или производител на специализиран софтуер за администрацията. Който иска да затвори уязвимост в PHP, трябва първо да знае на чии сървъри кое приложение работи.

Малките общини често нямат собствен ИТ отдел. Там служител от главната администрация (Hauptamt) поддържа присъствието между другото, технологията е при агенция, а договорите са от времето, когато никой не е мислел за критични уязвимости в програмния език. По-големите градове имат обратния проблем: толкова много присъствия на отдели, проекти и институции, че едва ли някой познава пълния списък.

## Какво е заложено на общинските уебсайтове

Във формите и порталите се съхраняват данни на граждани: адреси, дати на раждане, сведения за деца при записвания в детски градини и училища, снимки и местоположения при сигнали за проблеми, кандидатури. За публичните органи важат ОРЗД и законът за защита на данните на провинцията, като по правило отговаря надзорният орган по защита на данните на провинцията.

Поне толкова тежи целостта: присъствието на една община е официален източник. Манипулирано съдържание, фалшиви обявления или пренасочвания към измамнически страници от името на града увреждат доверието далеч отвъд техническата щета.

Общинските домейни се ползват с доверие сред гражданите и търсачките. Именно това ги прави привлекателни за атакуващите: като изпращач на спам, като хранилище за измамнически страници или като платформа за фалшиви съобщения, например за избори, бури или такси.

## Общината и уязвимостта на уебсайта: кой какво решава?

| Роля | Типична задача при инцидент |
|---|---|
| Общински център за данни или ИТ изпълнител | Сървър, PHP пакети, рестартиране, изолиране на мрежата |
| Главна администрация или ИТ координация | Общо управление, възлагане, план за спешни случаи |
| Пресслужба | Информиране на граждани и медии |
| Длъжностно лице по защита на данните в администрацията | Оценка на задължението за уведомяване |
| Уеб агенция | CMS, разширения, съдържание |

Празнината често възниква между центъра за данни и агенцията: центърът за данни управлява сървъра, агенцията поддържа TYPO3 и всяка страна приема, че другата се грижи за PHP. Актуализацията на TYPO3 не затваря PHP2Shell.

> **Действайте веднага:**
> BSI (Федералната служба за информационна сигурност на Германия) оцени ситуацията с ниво на предупреждение 3 / оранжево и препоръча незабавна актуализация. Ако общински уеб сървър не може да бъде пачнат веднага, изключете го временно от мрежата и включете статична аварийна страница.

## Първите часове в администрацията

1. Съставете списък на всички присъствия и специализирани приложения с уеб достъп, включително институциите и туризма.
2. Поискайте писмено потвърждение от съответния оператор: PHP на 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или внесен backport, всички процеси рестартирани.
3. Непотвърдените системи изключете от мрежата или ги защитете до пача с [виртуално пачване](https://phpsos.de/bg/leistungen/waf-virtuelles-patching/). Cloudflare сочи, че правила само по данните от заявката не са достатъчни; това е мост, а не заместител.
4. Запазете логовете от 20.10.2026 г.
5. Информирайте пресслужбата и длъжностното лице по защита на данните и съгласувайте делови език на комуникация. Помощ за това предлага страницата за [кризисната комуникация](https://phpsos.de/bg/compliance/krisenkommunikation/).

Какво точно препоръчва BSI, обобщава страницата [Препоръки на BSI за PHP2Shell](https://phpsos.de/bg/compliance/bsi-empfehlungen/). Въпросите за обществените поръчки и аварийното възлагане уреждате според вътрешните си правила.

## Превенция: аварийна страница, опис и заместване

Следващата критична уязвимост със сигурност ще дойде. Три подготовки тогава спестяват часове: готова статична аварийна страница с телефонни номера, работно време и указания за спешни въпроси, която може да се обслужва без PHP. Поддържан опис на всички уеб приложения с оператор, контактно лице и договорна основа. И правила за заместване, за да могат решения като изключването на присъствието да се вземат и вечер, и през почивните дни.

Тези точки принадлежат в [ИТ плана за спешни случаи](https://phpsos.de/bg/compliance/notfallplan-erstellen/) на администрацията. Общинските предприятия, комуналните дружества и институциите със собствени уебсайтове трябва изрично да присъстват в него, защото иначе липсват при инвентаризацията.

## Как помага PHP SOS конкретно?

- Подкрепяме Вашата ИТ координация при описа и уточняваме с центъра за данни, производителите и агенцията кой коя система пачва.
- Където управлявате сами, поемаме чрез [услугата за PHP пачове](https://phpsos.de/bg/leistungen/php-patch-service/) актуализацията, рестартирането и писменото доказателство.
- При съмнение за компрометиране запазваме следите и проверяваме съдържанието за манипулации, преди присъствието да се върне онлайн.
- Документираме хода така, че длъжностното лице по защита на данните, ръководството на администрацията и одиторите да могат да го проследят.


## Често задавани въпроси

**Можем ли просто да изключим уебсайта на общината?**  
BSI препоръчва уеб сървърите да се изключват временно от мрежата, когато актуализацията не е възможна веднага. За общините е подходяща статична аварийна страница с най-важните начини за контакт. Кой може да взема това решение вътрешно, трябва да е записано в плана за спешни случаи.

**Засегната ли е информационната система на общинския съвет?**  
Това зависи от технологията и от експлоатацията. Информационните системи на съветите и онлайн услугите често се управляват от производители на специализиран софтуер за администрацията или от общински центрове за данни. Попитайте там конкретно за използването на PHP, състоянието на пача и рестартирането.

**Кой надзорен орган по защита на данните отговаря за общините?**  
За публичните органи на провинциите и общините по правило отговаря надзорният орган по защита на данните на съответната германска провинция. Наред с това важат законите за защита на данните на провинциите. Вашето длъжностно лице по защита на данните в администрацията познава пътищата за уведомяване.

## Източници

- [BSI: Предупреждения и препоръки](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: Съобщения за сигурност](https://www.php.net/)
- [TYPO3](https://typo3.org/)