# Bezpečnostní zranitelnost na webu obce: příručka pro správu

> PHP2Shell a obec: jak úřady zabezpečí web na TYPO3, formuláře pro občany i informace zastupitelstva, ujasní odpovědnosti a věcně informují občany.

Zdroj: https://phpsos.de/cs/branchen/kommunen-verwaltung/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Bezpečnostní zranitelnost na webu obce je incident s veřejností. Ujasněte, kdo server provozuje, nechte si potvrdit záplatu PHP a restart a mějte připravenou nouzovou stránku pro případ, že prezentace musí dočasně z provozu. Komunikace směrem k občanům a tisku by měla být dohodnutá dříve, než přijdou dotazy.

## Jaké systémy PHP obce typicky provozují

Mnoho obecních internetových prezentací běží na [TYPO3](https://phpsos.de/cs/plattformen/typo3/), vedle toho na jiných systémech PHP. Kolem hlavní prezentace vznikají další aplikace: online formuláře pro žádosti a přihlášky, hlášení závad, kalendář akcí, zapojení občanů, portály s pracovními nabídkami, předzápis do mateřských škol, turistické stránky, katalogy knihoven a weby jednotlivých zařízení, jako je hudební škola nebo městské podniky.

Některé z těchto aplikací provozuje obec sama, jiné komunální datacentrum, zájmové sdružení (Zweckverband) nebo výrobce odborné agendy. Kdo chce zranitelnost v PHP uzavřít, musí nejdřív vědět, na čích serverech která aplikace běží.

Menší obce často nemají vlastní IT oddělení. Tam prezentaci obsluhuje vedle hlavní práce zaměstnanec hlavního úřadu (Hauptamt), technika je u agentury a smlouvy pocházejí z doby, kdy nikdo nemyslel na kritické zranitelnosti v programovacím jazyce. Větší města mají problém opačný: tolik prezentací odborů, projektů a zařízení, že úplný seznam zná sotva někdo.

## Co je na obecních webech v sázce

Ve formulářích a portálech leží data občanů: adresy, data narození, údaje o dětech při přihláškách do školek a škol, fotografie a polohy při hlášení závad, žádosti o práci. Pro veřejné orgány platí GDPR a zemský zákon o ochraně údajů, příslušný je zpravidla dozorový úřad pro ochranu údajů dané spolkové země.

Alespoň stejně těžká je integrita: prezentace obce je úřední zdroj. Zmanipulovaný obsah, padělaná oznámení nebo přesměrování na podvodné stránky pod jménem města poškozují důvěru daleko za technickou škodu.

Obecní domény požívají důvěry občanů a vyhledávačů. Právě to je pro útočníky činí atraktivními: jako odesílatele spamu, úložiště podvodných stránek nebo platformu pro nepravdivé zprávy, například o volbách, nepřízni počasí nebo poplatcích.

## Obec a bezpečnostní zranitelnost webu: kdo o čem rozhoduje?

| Role | Typický úkol při incidentu |
|---|---|
| Komunální datacentrum nebo IT dodavatel | server, balíčky PHP, restart, oddělení sítě |
| Hlavní úřad nebo koordinace IT | celkové řízení, zadávání, nouzový plán |
| Tisková mluvčí | informování občanů a médií |
| Pověřenec pro ochranu osobních údajů při úřadu | posouzení oznamovací povinnosti |
| Webová agentura | CMS, rozšíření, obsah |

Mezera často vzniká mezi datacentrem a agenturou: datacentrum provozuje server, agentura spravuje TYPO3 a každá strana předpokládá, že se o PHP stará ta druhá. Aktualizace TYPO3 PHP2Shell neuzavře.

> **Jednejte ihned:**
> BSI ohodnotilo situaci výstražným stupněm 3 / oranžový a doporučuje okamžitou aktualizaci. Pokud obecní webový server nelze okamžitě záplatovat, dočasně ho odpojte od sítě a zapněte statickou nouzovou stránku.

## První hodiny ve správě

1. Sepsat všechny prezentace a odborné aplikace s webovým přístupem, včetně zařízení a turistiky.
2. U příslušného provozovatele nechat písemně potvrdit: PHP ve verzi 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. nasazený backport, všechny procesy restartovány.
3. Nepotvrzené systémy odpojit od sítě nebo do záplaty zabezpečit [virtuálním záplatováním](https://phpsos.de/cs/leistungen/waf-virtuelles-patching/). Cloudflare upozorňuje, že pravidla jen podle dat požadavku nestačí; je to most, ne náhrada.
4. Zajistit logy od 20. 10. 2026.
5. Informovat tiskovou mluvčí a pověřence pro ochranu osobních údajů a dohodnout věcné znění sdělení. Pomůže stránka o [krizové komunikaci](https://phpsos.de/cs/compliance/krisenkommunikation/).

Co BSI doporučuje v jednotlivostech, shrnuje stránka [Doporučení BSI k PHP2Shell](https://phpsos.de/cs/compliance/bsi-empfehlungen/). Otázky zadávání a nouzového pověření řešte podle svých interních pravidel.

## Prevence: nouzová stránka, inventář a zastupování

Další kritická zranitelnost určitě přijde. Tři přípravy pak ušetří hodiny: hotová statická nouzová stránka s telefonními čísly, úředními hodinami a pokyny k naléhavým záležitostem, kterou lze doručit bez PHP. Udržovaný inventář všech webových aplikací s provozovatelem, kontaktní osobou a smluvním základem. A úprava zastupování, aby bylo možné rozhodnutí, jako je vypnutí prezentace, učinit i večer a o víkendu.

Tyto body patří do [IT nouzového plánu](https://phpsos.de/cs/compliance/notfallplan-erstellen/) správy. Podniky zřízené obcí, městské podniky a zařízení s vlastními weby by v něm měly být výslovně uvedeny, protože jinak při soupisu chybějí.

## Jak konkrétně pomáhá PHP SOS?

- Podporujeme vaši koordinaci IT při inventáři a s datacentrem, výrobci a agenturou ujasníme, kdo který systém záplatuje.
- Tam, kde provozujete sami, převezmeme prostřednictvím [služby záplatování PHP](https://phpsos.de/cs/leistungen/php-patch-service/) aktualizaci, restart a písemný doklad.
- Při podezření na napadení zajistíme stopy a zkontrolujeme obsah na manipulaci, než bude prezentace opět online.
- Postup zdokumentujeme tak, aby ho pověřenec pro ochranu osobních údajů, vedení správy i kontrola hospodaření mohli dohledat.


## Časté dotazy

**Smíme web obce prostě vypnout?**  
BSI (německý spolkový úřad pro informační bezpečnost) doporučuje webové servery dočasně odpojit od sítě, pokud aktualizace není okamžitě možná. Pro obce se nabízí statická nouzová stránka s nejdůležitějšími kontakty. Kdo o tom smí uvnitř úřadu rozhodnout, by mělo stát v nouzovém plánu.

**Týká se to i informačního systému zastupitelstva?**  
Záleží na technice a provozu. Informační systémy zastupitelstva a online služby často provozují výrobci odborných agendových systémů nebo komunální datacentra. Zeptejte se tam konkrétně na nasazení PHP, stav záplat a restart.

**Který úřad pro ochranu osobních údajů je pro obce příslušný?**  
Pro veřejné orgány spolkových zemí a obcí je v Německu zpravidla příslušný dozorový úřad pro ochranu údajů dané spolkové země. Vedle toho platí zemské zákony o ochraně údajů. Cesty hlášení zná váš pověřenec pro ochranu osobních údajů při úřadu.

## Zdroje

- [BSI: varování a doporučení](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [TYPO3](https://typo3.org/)