Stručně: Bezpečnostní zranitelnost na webu obce je incident s veřejností. Ujasněte, kdo server provozuje, nechte si potvrdit záplatu PHP a restart a mějte připravenou nouzovou stránku pro případ, že prezentace musí dočasně z provozu. Komunikace směrem k občanům a tisku by měla být dohodnutá dříve, než přijdou dotazy.
Jaké systémy PHP obce typicky provozují
Mnoho obecních internetových prezentací běží na TYPO3, vedle toho na jiných systémech PHP. Kolem hlavní prezentace vznikají další aplikace: online formuláře pro žádosti a přihlášky, hlášení závad, kalendář akcí, zapojení občanů, portály s pracovními nabídkami, předzápis do mateřských škol, turistické stránky, katalogy knihoven a weby jednotlivých zařízení, jako je hudební škola nebo městské podniky.
Některé z těchto aplikací provozuje obec sama, jiné komunální datacentrum, zájmové sdružení (Zweckverband) nebo výrobce odborné agendy. Kdo chce zranitelnost v PHP uzavřít, musí nejdřív vědět, na čích serverech která aplikace běží.
Menší obce často nemají vlastní IT oddělení. Tam prezentaci obsluhuje vedle hlavní práce zaměstnanec hlavního úřadu (Hauptamt), technika je u agentury a smlouvy pocházejí z doby, kdy nikdo nemyslel na kritické zranitelnosti v programovacím jazyce. Větší města mají problém opačný: tolik prezentací odborů, projektů a zařízení, že úplný seznam zná sotva někdo.
Co je na obecních webech v sázce
Ve formulářích a portálech leží data občanů: adresy, data narození, údaje o dětech při přihláškách do školek a škol, fotografie a polohy při hlášení závad, žádosti o práci. Pro veřejné orgány platí GDPR a zemský zákon o ochraně údajů, příslušný je zpravidla dozorový úřad pro ochranu údajů dané spolkové země.
Alespoň stejně těžká je integrita: prezentace obce je úřední zdroj. Zmanipulovaný obsah, padělaná oznámení nebo přesměrování na podvodné stránky pod jménem města poškozují důvěru daleko za technickou škodu.
Obecní domény požívají důvěry občanů a vyhledávačů. Právě to je pro útočníky činí atraktivními: jako odesílatele spamu, úložiště podvodných stránek nebo platformu pro nepravdivé zprávy, například o volbách, nepřízni počasí nebo poplatcích.
Obec a bezpečnostní zranitelnost webu: kdo o čem rozhoduje?
| Role | Typický úkol při incidentu |
|---|---|
| Komunální datacentrum nebo IT dodavatel | server, balíčky PHP, restart, oddělení sítě |
| Hlavní úřad nebo koordinace IT | celkové řízení, zadávání, nouzový plán |
| Tisková mluvčí | informování občanů a médií |
| Pověřenec pro ochranu osobních údajů při úřadu | posouzení oznamovací povinnosti |
| Webová agentura | CMS, rozšíření, obsah |
Mezera často vzniká mezi datacentrem a agenturou: datacentrum provozuje server, agentura spravuje TYPO3 a každá strana předpokládá, že se o PHP stará ta druhá. Aktualizace TYPO3 PHP2Shell neuzavře.
BSI ohodnotilo situaci výstražným stupněm 3 / oranžový a doporučuje okamžitou aktualizaci. Pokud obecní webový server nelze okamžitě záplatovat, dočasně ho odpojte od sítě a zapněte statickou nouzovou stránku.
První hodiny ve správě
- Sepsat všechny prezentace a odborné aplikace s webovým přístupem, včetně zařízení a turistiky.
- U příslušného provozovatele nechat písemně potvrdit: PHP ve verzi 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. nasazený backport, všechny procesy restartovány.
- Nepotvrzené systémy odpojit od sítě nebo do záplaty zabezpečit virtuálním záplatováním. Cloudflare upozorňuje, že pravidla jen podle dat požadavku nestačí; je to most, ne náhrada.
- Zajistit logy od 20. 10. 2026.
- Informovat tiskovou mluvčí a pověřence pro ochranu osobních údajů a dohodnout věcné znění sdělení. Pomůže stránka o krizové komunikaci.
Co BSI doporučuje v jednotlivostech, shrnuje stránka Doporučení BSI k PHP2Shell. Otázky zadávání a nouzového pověření řešte podle svých interních pravidel.
Prevence: nouzová stránka, inventář a zastupování
Další kritická zranitelnost určitě přijde. Tři přípravy pak ušetří hodiny: hotová statická nouzová stránka s telefonními čísly, úředními hodinami a pokyny k naléhavým záležitostem, kterou lze doručit bez PHP. Udržovaný inventář všech webových aplikací s provozovatelem, kontaktní osobou a smluvním základem. A úprava zastupování, aby bylo možné rozhodnutí, jako je vypnutí prezentace, učinit i večer a o víkendu.
Tyto body patří do IT nouzového plánu správy. Podniky zřízené obcí, městské podniky a zařízení s vlastními weby by v něm měly být výslovně uvedeny, protože jinak při soupisu chybějí.
Jak konkrétně pomáhá PHP SOS?
- Podporujeme vaši koordinaci IT při inventáři a s datacentrem, výrobci a agenturou ujasníme, kdo který systém záplatuje.
- Tam, kde provozujete sami, převezmeme prostřednictvím služby záplatování PHP aktualizaci, restart a písemný doklad.
- Při podezření na napadení zajistíme stopy a zkontrolujeme obsah na manipulaci, než bude prezentace opět online.
- Postup zdokumentujeme tak, aby ho pověřenec pro ochranu osobních údajů, vedení správy i kontrola hospodaření mohli dohledat.
Časté dotazy
Smíme web obce prostě vypnout?
BSI (německý spolkový úřad pro informační bezpečnost) doporučuje webové servery dočasně odpojit od sítě, pokud aktualizace není okamžitě možná. Pro obce se nabízí statická nouzová stránka s nejdůležitějšími kontakty. Kdo o tom smí uvnitř úřadu rozhodnout, by mělo stát v nouzovém plánu.
Týká se to i informačního systému zastupitelstva?
Záleží na technice a provozu. Informační systémy zastupitelstva a online služby často provozují výrobci odborných agendových systémů nebo komunální datacentra. Zeptejte se tam konkrétně na nasazení PHP, stav záplat a restart.
Který úřad pro ochranu osobních údajů je pro obce příslušný?
Pro veřejné orgány spolkových zemí a obcí je v Německu zpravidla příslušný dozorový úřad pro ochranu údajů dané spolkové země. Vedle toho platí zemské zákony o ochraně údajů. Cesty hlášení zná váš pověřenec pro ochranu osobních údajů při úřadu.