# Агенция: хакнати клиентски сайтове? Обадете се. Помагаме Ви.

> Засегнати са няколко клиентски сайта на Вашата агенция? Обадете се или пишете по WhatsApp. Запазваме, почистваме и документираме отдалечено.

Източник: https://phpsos.de/bg/soforthilfe/agentur-kundenseiten-gehackt/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Ако във Вашата агенция са засегнати няколко клиентски сайта, това рядко е случайност, а обикновено общ сървър, споделен достъп или една и съща версия на PHP. Ако сте засегнати, свържете се с нас веднага. Осигуряваме Ви преглед, ограничаваме инцидента отдалечено, почистваме системите и Ви предоставяме доклади за Вашите клиенти.

> **Действайте веднага:**
> **Сега не трийте нищо и не инсталирайте наново.** Дори натискът от клиентите да е голям: без запазени логове и файлове не могат нито да се изяснят причината, нито да се докаже какво не е било засегнато. [Съобщете за спешен случай](https://phpsos.de/bg/notfall/) и ние поемаме от първото съобщение.

## Засегнати ли сте? Признаци, когато клиентски сайтове са хакнати

Като агенция виждате модели, които единичните оператори никога не забелязват. На общ инцидент сочат:

- Няколко клиентски сайта показват по едно и също време едни и същи симптоми: пренасочвания, спам съдържание, предупреждения в браузъра.
- Един и същ непознат администраторски акаунт или един и същ подозрителен файл се появява при различни клиенти.
- Хостинг доставчикът съобщава за злоупотреба или необичайно натоварване за акаунт, на който има много проекти.
- Клиенти се обаждат, защото сайтът им е получил предупреждение в Google, а при насрещна проверка откривате още сайтове в същото състояние.
- Разработчик или бивш служител е имал достъп до много проекти и един достъп е изтекъл.
- Поддръжка през централен инструмент, например разгръщане на версии, резервни копия или услуга за актуализации, е променила сайт, който не сте пипали.
- Поддържате много сайтове на версии на PHP, за чието състояние на пача не можете да докажете за всеки поотделно.

Откакто има PHP2Shell, добавя се и това, че уязвимостта е в самия интерпретатор на PHP. Актуализация на CMS, например на WordPress, не я затваря; решаваща е средата за изпълнение на PHP, която реално обслужва сайта.

## Какво да направите веднага

1. **Изброийте засегнатите сайтове:** Домейн, сървър, хостинг акаунт, версия на PHP, CMS, отговорни лица. Към тях спадат и случаите на подозрение.
2. **Търсете общото:** Същият сървър? Същите достъпи? Същият плъгин? Същият начин на разгръщане?
3. **Изолирайте застрашените сайтове:** Сайтовете, които активно разпространяват зловреден код, пуснете в режим на поддръжка. Не трийте.
4. **Запазете логовете и състоянието:** Помолете хостинг доставчика да запази протоколите; запазете и собствените си протоколи от разгръщането.
5. **Проверете централните достъпи:** Кой има достъп до хостинг панела, SSH, Git, мениджъра на пароли и разгръщането? Промени едва след уточняване.
6. **Информирайте клиентите сдържано:** Първо само онова, което е доказано. Не назовавайте причина, преди да е установена.
7. **Свържете се с нас:** Обадете се или пишете по WhatsApp.

## Как конкретно помага PHP SOS?

1. **Преглед на положението:** Заедно с Вас получаваме преглед на всички сайтове и сървъри и ги подреждаме по спешност: активно разпространяван зловреден код, подозрение за изтичане на данни, вероятно само непачнато.
2. **Запазване и затваряне:** Запазваме всяка засегната система, преди да е променено нещо, и затваряме общата входна врата: достъпи, състояние на PHP, рестартиране на всички процеси.
3. **Проверка и почистване:** Търсим систематично във всички сайтове едни и същи следи, премахваме уеб шелове и задни вратички и възстановяваме чисто. Подробности в [Премахване на зловреден софтуер и уеб шелове](https://phpsos.de/bg/leistungen/malware-entfernung/).
4. **Заздравяване и отчет:** Отделяме сайтовете един от друг, където е разумно, и предоставяме за всеки клиент кратък доклад, който можете да предадете, както и общ доклад за Вас.

Работим отдалечено, без пътуване, в цяла Германия и Европа. При желание във фонов режим за Вашата агенция, както е описано на страницата [Агенции и White Label](https://phpsos.de/bg/branchen/agenturen-white-label/).

## Защо при агенциите често падат много сайтове едновременно

Който поддържа много проекти на един сървър, спестява разходи, но разменя изолацията за удобство. Ако всичко работи под един и същ потребител и в един и същ пул от PHP процеси, кодът на един хакнат сайт може да чете и променя файловете на съседите. Това не е екзотичен случай, а стандарт в много конфигурации. Как могат да се разделят чисто пуловете, описва [Изолиране на PHP-FPM пулове](https://phpsos.de/bg/blog/php-fpm-pools-isolieren/).

Към това идват споделените достъпи: един SSH ключ за всички проекти, един хостинг акаунт с всички домейни, едни и същи пароли за staging и продукция. Тук важи принципът на минималните права. Повече по темата в [Права на потребителя на уеб сървъра](https://phpsos.de/bg/blog/rechte-des-webserver-benutzers/).

Важна е и веригата на доставки: плъгините, темите и библиотеките идват от трети лица, хостинг доставчикът отговаря за платформата, агенцията – за експлоатацията. Къде минават тези граници и къде възникват пропуски, разглежда [Верига на доставки: агенция и хостинг доставчик](https://phpsos.de/bg/blog/lieferkette-agentur-hoster/).

## Опис, версии на PHP и комуникация с клиентите

Най-честият проблем в такива ситуации е липсата на преглед: кой сайт на кой сървър с коя версия на PHP работи и кой е отговорен? Без този списък не може да се каже кой е засегнат от пача и кой не. Как да изградите такъв регистър, показва [Опис на уебсайтове и сървъри](https://phpsos.de/bg/blog/inventar-websites-server/). Ако паралелно работят няколко версии на PHP, допълнително помага [Няколко версии на PHP на един сървър](https://phpsos.de/bg/blog/mehrere-php-versionen-server/).

Пред клиентите значение има яснотата. Не е нужно да знаете всичко, но не бива да преувеличавате положителното: какво е доказано, какво още се проверява, какво ще направите после? Помощ за формулиране ще намерите в [Информиране на клиентите след инцидент](https://phpsos.de/bg/blog/kunden-nach-vorfall-informieren/). Ако са засегнати лични данни, могат да играят роля задълженията за уведомяване по чл. 33 от ОРЗД. Това е обща информация; оценката принадлежи на длъжностните лица по защита на данните и на адвоката. Ако инцидентът излезе извън рамките на отделни сайтове, преминаваме към структурирано [реагиране при инциденти (Incident Response)](https://phpsos.de/bg/leistungen/incident-response/).

## Какво да ни изпратите

- списък на засегнатите и на вероятно засегнатите домейни
- данни за сървъра и хостинга за всеки проект, доколкото са известни
- версии на PHP и използвани CMS или магазини
- достъпите, които можете да ни предоставите, и ролите в екипа
- указания какво е било променено или разгръщано последно
- име на лицето за контакт за решения и за комуникацията с клиентите

## Защо PHP SOS

Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт за всички засегнати проекти, работим отдалечено и документираме за всяка система какво е намерено и направено. Не обещаваме чудеса. Каквото не може да се докаже, наричаме неизвестно, за да не казвате пред клиентите си повече от онова, което знаете.

## Засегнати ли сте? Обадете се. Помагаме Ви.

Ако няколко от Вашите клиентски сайтове са подозрителни, натискът във времето е двоен: технически и в отношенията с клиентите. Свържете се с нас сега: обадете се или пишете по WhatsApp. Поемаме от първото съобщение и оставаме, докато инцидентът бъде приключен и документиран. [Съобщете за спешен случай сега](https://phpsos.de/bg/notfall/)


## Често задавани въпроси

**Защо често са засегнати веднага няколко клиентски сайта?**  
Често сайтовете споделят един сървър, един хостинг акаунт, един и същ PHP процес или едни и същи данни за достъп. Ако атакуващ проникне на едно място, той може да се придвижи встрани. Уязвим PHP засяга освен това всички сайтове, които го ползват.

**Да информирам ли клиентите веднага?**  
Зависи от положението и от договора. Първо изяснете кои сайтове са наистина засегнати, за да не информирате с предположения. При лични данни са възможни задължения за уведомяване; преценката принадлежи на длъжностното лице по защита на данните или на адвоката.

**Кой носи отговорност, ако сайтът на клиент е хакнат?**  
Това зависи от Вашите договори, от обхвата на поддръжката и от хода на събитията. Не предоставяме правни консултации по това. Коректен доклад за причината и мерките помага при това изясняване.

**Можете ли да работите под нашето име, без крайният клиент да ни вижда?**  
При желание работим във фонов режим за Вашата агенция и предоставяме доклади, които можете да предадете на клиентите си. Подробностите обсъждаме предварително.

**Достатъчно ли е клиентските сайтове да се почистват поотделно?**  
Обикновено не. Ако причината е в общия сървър, в споделен достъп или в непачната версия на PHP, проблемите се появяват отново след отделното почистване. Причината трябва да се отстрани заедно с това.

## Източници

- [BSI: Федерална служба за информационна сигурност на Германия](https://www.bsi.bund.de/)
- [ОРЗД чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [php.net: Съобщения и актуализации за сигурност](https://www.php.net/)