Εν ολίγοις: Μια απογραφή IT για διακομιστές ιστού είναι μια λίστα όλων των ιστότοπων, πυλών, e-shops και διακομιστών με τα στοιχεία που χρειάζεστε αμέσως όταν έρχεται μια ανακοίνωση ασφαλείας: πού λειτουργεί το σύστημα, με ποια έκδοση PHP και ποιον τρόπο λειτουργίας, ποια εφαρμογή, ποιος είναι αρμόδιος και ποια δεδομένα θα επηρεάζονταν. Χωρίς αυτή τη λίστα κάθε αντίδραση ξεκινά με αναζήτηση. Με αυτήν, η αντιπαραβολή για μια ανακοίνωση όπως το PHP2Shell διαρκεί λεπτά αντί για ημέρες.
Η πρώτη ερώτηση ήταν: πού λειτουργεί καν PHP στην επιχείρησή μας;
Όταν το έργο PHP δημοσίευσε τα patches στις 21/10/2026 και η BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) συνέστησε άμεση δράση, η οδηγία ήταν σαφής: ενημερώστε την PHP, επανεκκινήστε όλες τις διεργασίες. Για πολλές επιχειρήσεις, ωστόσο, το πρώτο βήμα δεν ήταν η ενημέρωση, αλλά μια καταμέτρηση. Ο κύριος ιστότοπος ήταν γνωστός. Η πύλη εμπόρων όμως; Η σελίδα καριέρας σε άλλον πάροχο; Η σελίδα προορισμού (landing page) μιας καμπάνιας πριν από τρία χρόνια; Το εσωτερικό wiki;
Ο τεχνικός τύπος και οι υπηρεσίες μετρήσεων έκαναν ορατό το μέγεθος του προβλήματος. Η Palo Alto Networks (Unit 42) κατέγραψε περισσότερες από 22,6 εκατομμύρια εκτεθειμένες, δυνητικά ευάλωτες εγκαταστάσεις. Ανάμεσά τους θα υπάρχουν πολλά συστήματα που οι διαχειριστές τους απλώς δεν θυμούνται πια.
Τι περιλαμβάνει μια IT απογραφή διακομιστών ιστού
Μια χρήσιμη απογραφή είναι ένας πίνακας με μία γραμμή για κάθε ιστότοπο ή εφαρμογή. Αυτές οι στήλες έχουν αποδειχθεί χρήσιμες:
| Στήλη | Παράδειγμα | Σκοπός |
|---|---|---|
| Διεύθυνση | shop.beispiel.de | σαφής αντιστοίχιση |
| Σκοπός και σημασία | ηλεκτρονικό κατάστημα, κρίσιμο για τον τζίρο | ιεράρχηση |
| Πάροχος ή τοποθεσία | managed server στον πάροχο Χ | ποιον καλείτε |
| Διακομιστής και λειτουργικό σύστημα | vServer, Debian | δρόμος ενημέρωσης, πηγές ασφαλείας |
| Διακομιστής ιστού και τρόπος λειτουργίας PHP | Nginx με PHP-FPM | κίνδυνος, π.χ. mod_php |
| Έκδοση PHP και επίπεδο πακέτου | 8.3, πακέτο με ημερομηνία | αντιπαραβολή με ανακοινώσεις |
| Εφαρμογή και έκδοση | Shopware, πρόσθετα | ανακοινώσεις κατασκευαστών |
| Αρμόδιος εσωτερικά / εξωτερικά | υπεύθυνος πληροφορικής / πρακτορείο Υ | ποιος δρα |
| Δεδομένα που επεξεργάζονται | λογαριασμοί πελατών, παραγγελίες | υποχρεώσεις γνωστοποίησης, επείγουσα ανάγκη |
| Αντίγραφα ασφαλείας | καθημερινά, εξωτερικά, τελευταία δοκιμή στις … | επαναφορά |
| Τελευταία απόδειξη patch | ημερομηνία και τεκμήριο | απόδειξη προς τρίτους |
Ο τρόπος λειτουργίας αξίζει ιδιαίτερη προσοχή. Στο PHP2Shell η ομάδα της PHP εκτίμησε τον υψηλότερο κίνδυνο στον Apache με mod_php. Όποιος γνωρίζει ποια συστήματα λειτουργούν έτσι, μπορεί να τα αντιμετωπίσει πρώτα. Η στήλη για το επίπεδο πακέτου είναι σημαντική, επειδή ο αριθμός έκδοσης που εμφανίζεται συχνά παραμένει ο ίδιος μετά από backports· υποδείξεις υπάρχουν στο Σωστός έλεγχος της έκδοσης PHP και του επιπέδου patch.
Εντοπισμός ξεχασμένων συστημάτων: πώς προχωράτε
Τα γνωστά συστήματα καταχωρίζονται γρήγορα. Η πραγματική δουλειά είναι τα άγνωστα. Αυτές οι πηγές βοηθούν να τα εντοπίσετε:
- Domains και DNS: Περάστε όλους τους τομείς της επιχείρησης και τους υποτομείς τους. Κάθε εγγραφή που δείχνει σε διακομιστή ιστού είναι υποψήφια.
- Τιμολόγια: Η λογιστική γνωρίζει κάθε πάροχο φιλοξενίας, καταχωρητή και πάροχο cloud που πληρώνεται. Αυτή είναι συχνά η πληρέστερη λίστα.
- Πρακτορεία και τμήματα: Το μάρκετινγκ, οι πωλήσεις και το προσωπικό αναθέτουν ευχαρίστως ιστότοπους απευθείας. Ρωτήστε.
- Γνωστοί διακομιστές: Σε κάθε διακομιστή η διαμόρφωση δείχνει ποιους ιστότοπους εξυπηρετεί πραγματικά.
- Συσκευές με διεπαφή ιστού: NAS, δρομολογητές και appliances φέρουν ορισμένες φορές δική τους PHP, δείτε PHP σε NAS, δρομολογητές και appliances.
Για το βήμα 4, σε διακομιστές Linux βοηθούν μερικές εντολές μόνο ανάγνωσης. Δείχνουν τους διαμορφωμένους ιστότοπους, τις υπηρεσίες PHP και τα pools FPM:
# Διαμορφωμένοι ιστότοποι (Apache ή Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Υπηρεσίες και διεργασίες PHP που εκτελούνται
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# Pools FPM σε Debian και Ubuntu
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Αν σε έναν διακομιστή λειτουργούν πολλές εκδόσεις PHP παράλληλα, καθεμία ανήκει στη λίστα. Καθεμία πρέπει να ενημερωθεί και να επανεκκινηθεί χωριστά.
Καταχωρίστε και συστήματα που θα έπρεπε στην πραγματικότητα να έχουν απενεργοποιηθεί. Ακριβώς αυτά συχνά λειτουργούν ακόμη, δεν έχουν ενημερωθεί εδώ και χρόνια και ξεχνιούνται. Με μια εγγραφή «απενεργοποίηση έως …» η εργασία παραμένει ορατή.
Η απογραφή παραμένει επίκαιρη
Μια απογραφή είναι τόσο καλή όσο η τελευταία της ενημέρωση. Τρεις κανόνες την κρατούν ζωντανή. Πρώτον: ένα πρόσωπο είναι υπεύθυνο και ενημερώνεται για κάθε νέο ιστότοπο, κάθε μεταφορά και κάθε απενεργοποίηση, ακόμη κι όταν τη δουλειά την κάνει ένα πρακτορείο. Δεύτερον: μία φορά το τρίμηνο η λίστα αντιπαραβάλλεται με το DNS, τα τιμολόγια και τη διαμόρφωση των διακομιστών. Τρίτον: η απογραφή αποτελεί μέρος του σχεδίου έκτακτης ανάγκης και υπάρχει και εκτός του δικού σας τμήματος πληροφορικής, για παράδειγμα εκτυπωμένη.
Για επιχειρήσεις με πολλά κατανεμημένα συστήματα, όπως πύλες εμπόρων, διαμορφωτές προϊόντων (configurators) και προσβάσεις προμηθευτών, το Ασφάλεια πληροφορικής για μεσαίες επιχειρήσεις και βιομηχανία περιγράφει τυπικά σημεία εύρεσης. Πώς εντάσσεται η απογραφή στο σχέδιο έκτακτης ανάγκης, θα βρείτε στο Δημιουργία σχεδίου έκτακτης ανάγκης IT για διακομιστές ιστού.
Συνηθισμένα λάθη στην απογραφή διακομιστών ιστού
Πολλές απογραφές υπάρχουν, αλλά δεν βοηθούν σε περίπτωση έκτακτης ανάγκης. Τα αίτια μοιάζουν μεταξύ τους:
- Μόνο διακομιστές, όχι ιστότοποι: Η λίστα αναφέρει μηχανήματα, αλλά όχι ποιοι ιστότοποι λειτουργούν σε αυτά και ποιος ευθύνεται λειτουργικά γι' αυτούς. Σε περίπτωση ευπάθειας κανείς δεν γνωρίζει ποιο τμήμα επηρεάζεται.
- Έκδοση αντί για επίπεδο πακέτου: Το «PHP 8.3» λέει λίγα μετά το PHP2Shell. Μόνο το επίπεδο πακέτου και η ημερομηνία δείχνουν αν περιλαμβάνεται η διόρθωση.
- Λείπουν τα εξωτερικά συστήματα: Ό,τι λειτουργεί σε πρακτορείο ή σε υπηρεσία πλατφόρμας παραλείπεται, επειδή υποτίθεται ότι «δεν είμαστε αρμόδιοι εκεί». Η ευθύνη για τα δεδομένα παραμένει ωστόσο εντός της επιχείρησης.
- Χωρίς πρόσωπα επαφής: Μια εγγραφή χωρίς όνομα και τηλέφωνο του αρμόδιου χάνει χρόνο σε περίπτωση έκτακτης ανάγκης.
- Μία και μόνη ενέργεια: Η απογραφή καταρτίζεται σε μια εβδομάδα κρίσης και ύστερα δεν ανοίγει ποτέ ξανά. Μετά από ένα χρόνο ένα καλό μέρος της δεν ισχύει πια.
Όποιος αποφύγει αυτά τα πέντε σημεία, έχει στην επόμενη ανακοίνωση μια λίστα με την οποία μπορεί πράγματι να δουλέψει.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγράφουμε μαζί σας όλους τους ιστότοπους και διακομιστές, και τους ξεχασμένους, μέσω DNS, τιμολογίων, παρόχων υπηρεσιών και διαμόρφωσης διακομιστών.
- Για κάθε σύστημα εξακριβώνουμε τον τρόπο λειτουργίας, την έκδοση PHP και το πραγματικό επίπεδο πακέτου.
- Ιεραρχούμε τα συστήματα κατά προσβασιμότητα, δεδομένα και τρόπο λειτουργίας και λέμε πού πρέπει να δράσετε πρώτα.
- Όπου το PHP2Shell παραμένει ανοιχτό, κλείνουμε την ευπάθεια μέσω της άμεσης βοήθειας PHP2Shell και καταχωρίζουμε την απόδειξη στην απογραφή.
Συμπέρασμα: Η απογραφή είναι το πιο ασήμαντο και ταυτόχρονα πιο αποτελεσματικό μέτρο ασφαλείας. Όποιος γνωρίζει τι λειτουργεί, μπορεί στην επόμενη ανακοίνωση να δράσει αμέσως, αντί να ψάχνει πρώτα.
Συχνές ερωτήσεις
Ποια στοιχεία χρειάζεται τουλάχιστον μια απογραφή διακομιστών ιστού;
Τη διεύθυνση του ιστότοπου, τον διακομιστή ή τον πάροχο φιλοξενίας, τον τρόπο λειτουργίας της PHP, την έκδοση PHP με το επίπεδο πακέτου, την εφαρμογή με την έκδοσή της, το υπεύθυνο πρόσωπο εσωτερικά και εξωτερικά, το είδος των δεδομένων που επεξεργάζονται και τη θέση των αντιγράφων ασφαλείας. Με αυτά τα στοιχεία κάθε νέα ανακοίνωση ασφαλείας ελέγχεται γρήγορα.
Πώς βρίσκω ιστότοπους για τους οποίους δεν γνωρίζει πια κανείς;
Με πολλούς δρόμους ταυτόχρονα: διαχείριση τομέων (domains) και ζώνες DNS, τιμολόγια παρόχων φιλοξενίας και καταχωρητών, ερωτήσεις σε πρακτορεία και τμήματα της επιχείρησης, καθώς και η διαμόρφωση των γνωστών διακομιστών. Παλιές σελίδες καμπάνιας, δοκιμαστικά συστήματα και υποτομείς συνήθως εμφανίζονται έτσι.
Ποιος πρέπει να συντηρεί την απογραφή;
Ένα συγκεκριμένο πρόσωπο, συνήθως στο τμήμα πληροφορικής ή ο υπεύθυνος πληροφορικής. Σημασία έχει να δηλώνεται εκεί κάθε αλλαγή σε ιστότοπους και διακομιστές, ακόμη κι όταν την προκαλεί κάποιο τμήμα ή πρακτορείο.
Αρκεί ένας πίνακας ή χρειάζεται λογισμικό;
Για τις περισσότερες μεσαίες επιχειρήσεις αρκεί ένας καλά συντηρημένος πίνακας. Το λογισμικό αξίζει όταν πρέπει να καταγράφονται πολλά συστήματα αυτόματα. Καθοριστική είναι η επικαιρότητα, όχι το εργαλείο.