Lühidalt: Hallatava serveri puhul võtab pakkuja üle osa turvalisusest, tavaliselt operatsioonisüsteemi, PHP paketid ja standardteenused. Rakendus, pistikprogrammid, ligipääsud ja andmekaitseõiguslik vastutus jäävad enamasti teie kanda. Pärast PHP2Shelli peaksite mõlemad kirjalikult selgitama: mida pakkuja on teinud ja mis on veel teie käes?
Mida „hallatud“ tähendab ja mida mitte
Mõiste ei ole kaitstud. Üks pakkuja mõistab selle all võib-olla ainult operatsioonisüsteemi uuenduste paigaldamist, teine hooldab ka veebiserverit, PHP-d, andmebaasi ja varukoopiaid. Mõned tariifid sisaldavad ööpäevaringset seiret, teised ainult kontaktisikut tööajal.
Just PHP2Shelli-taolises olukorras selgub, kui täpne on teenuse kirjeldus. Kaks turvaauku CVE-2026-109618 ja CVE-2026-109619 asuvad PHP-s endas. Kas teie pakkuja hooldab PHP-d oma platvormi osana või loetakse PHP „teie tarkvaraks“, on kirjas lepingus. Ärge lootke eeldusele, et keegi juba hoolitseb.
Hallatava serveri turvalisus: tüüpiline ülesannete jaotus
Järgmine tabel näitab sagedast jaotust. See ei asenda pilku teie lepingusse, kuid aitab esitada õigeid küsimusi.
| Valdkond | Enamasti pakkuja juures | Enamasti teie juures |
|---|---|---|
| Riistvara, võrk, virtualiseerimine | jah | ei |
| Operatsioonisüsteemi uuendused | jah | ei |
| PHP paketid platvormilt | sageli | kui ise paigaldatud |
| PHP-FPM-i ja veebiserveri taaskäivitus | sageli | oma teenuste puhul |
| Serveri tasemel PHP seadistus | sageli | erisoovide korral |
| CMS, pood, pistikprogrammid, oma kood | ei | jah |
| Rakenduse administraatorikontod | ei | jah |
| Varukoopiad | sageli | taastamise kontroll |
| Andmeõnnetuste hindamine ja teavitamine | ei | jah |
| Rünnakute seire | tariifist sõltuvalt | tariifist sõltuvalt |
Ebaselged lahtrid on tegelik risk. Kus peaksite kirjutama „tariifist sõltuvalt“ või „sageli“, puudub reegel.
Milliseid küsimusi peaksite nüüd esitama
Saatke oma pakkujale lühike ja asjalik päring. Paluge vastust tekstivormis, et saaksite seda hiljem esitada. Need punktid peaksid sisalduma:
- Millised PHP versioonid meie serveris töötavad ja kas need on kaitstud turvaaukude CVE-2026-109618 ja CVE-2026-109619 vastu?
- Millest alates see kehtib ja kas pärast seda käivitati uuesti kõik PHP protsessid ja veebiserver?
- Kas parandus paigaldati backportina? Kui jah, milline paketiversioon seda tõendab?
- Kas meie serveris oli märke rünnakukatsetest või kahtlastest protsessidest?
- Kas veebiserveri logisid säilitatakse alates 20.10.2026 ja kuidas me need kätte saame?
Valmis näidise leiate lehelt Veebimajutajalt paikamise seisu küsimine. Versiooninumber klienditeenindusmenüüs ei ole tõend: backportide korral jääb see sageli samaks, näiteks 8.2.34.
Ka siis, kui pakkuja on PHP paiganud, tuleb teie rakendust kontrollida. Paik ei eemalda pahavara, mis toodi sisse enne uuendust, ega tõesta, et midagi ei juhtunud.
Mis jääb teie kanda
Teie osa hõlmab eelkõige rakendust. Kontrollige CMS-i, poodi ja pistikprogramme ajakohaste seisude suhtes, eemaldage enam kasutamata laiendused ja vaadake üle administraatorite loend. Jälgige uusi faile üleslaadimiskaustades, võõraid ümbersuunamisi ja ebatavalisi ajastatud ülesandeid rakenduses.
Lisandub õiguslik pool. Kui intsidendi korral satuvad isikuandmed võõrastesse kätesse, on teavitamiskohustus reeglina teie ettevõttel vastutava töötlejana, mitte pakkujal. Viimane peab teid volitatud töötlejana viivitamata teavitama. Põhijooned selgitab leht IKÜM-i teavitamiskohustus: 72 tundi. See on üldine teave, mitte õigusnõustamine; üksikjuhtumit hindavad andmekaitsespetsialistid või advokaadid.
Üht punkti jäetakse sageli tähelepanuta: tarkvara, mille olete teie või teie agentuur ise hallatavasse serverisse paigaldanud, näiteks täiendav PHP versioon võõrast allikast, konteiner või abiprogramm, ei kuulu enamasti pakkuja hoolduse alla. Küsige seetõttu ka, kas pakkuja teab, mis lisaks standardvarustusele töötab. Ja selgitage, kes võtab kahtluse korral uurimise üle. Paljud pakkujad taastavad platvormi, kuid ei uuri, kas ja millised andmed olid mõjutatud. Just seda vastust vajate te aga võimalike teavitamiskohustuste hindamiseks.
Parandage lepinguid tuleviku jaoks
Kasutage olukorda ülesannete jaotuse kirjalikuks fikseerimiseks. Mõistlikud on sätted turvauuenduste kohta koos taaskäivitusega, teavitamise kohta kriitiliste turvaaukude korral, logide säilitamise ja väljastamise kohta ning toe kohta intsidentide korral. Küsige ka, kas pakkuja teavitab teid aktiivselt või peate ise järele küsima.
Alternatiiv on oma server ilma hoolduseta, mis nihutab aga kogu töö teie kanda. Mida see tähendab, kirjeldab leht Root-serveri ja vServeri turvamine omal jõul.
Kuidas PHP SOS konkreetselt aitab?
- Loeme läbi teie teenuse kirjelduse ja koostame ülesannete maatriksi, mis teeb lüngad nähtavaks.
- Sõnastame tehnilised küsimused teie pakkujale ja hindame tema vastuseid.
- Kontrollime rakenduse osa, mis on teie käes, jälgede ja aegunud komponentide suhtes.
- Mida pakkuja ei kata, selle võtame soovi korral üle turvahoolduslepinguga või täiendame turvaseirega.
Korduma kippuvad küsimused
Kas hallatava serveri puhul on kõik automaatselt turvatud?
Ei. Hallatud tähendab, et pakkuja võtab üle teatud lepingus kindlaks määratud ülesanded, enamasti operatsioonisüsteemi ja standardteenused. Rakendus, pistikprogrammid, ligipääsud ja oma tarkvara jäävad sageli teie kanda.
Kust on näha, mille eest minu pakkuja vastutab?
Teenuse kirjelduses ja lepingutingimustes, sageli ka ülesannete jaotuse dokumendis. Isikuandmete puhul lisandub andmetöötluse leping. Kui turvauuenduste kohta puudub selge reegel, küsige kirjalikult.
Kas pean hallatava serveri korral PHP2Shelli pärast siiski ise midagi tegema?
Jah. Hankige kinnitus, et kõik PHP versioonid on paigatud ja protsessid uuesti käivitatud. Kontrollige lisaks oma rakendust jälgede suhtes ja selgitage, kas esineb teavitamiskohustus.
Kes teavitab andmeõnnetusest, kui majutaja oli mõjutatud?
Järelevalveasutusele teavitamise kohustus on reeglina vastutaval töötlejal, see tähendab teie ettevõttel. Majutaja peab teid kui volitatud töötlejat viivitamata teavitama. Laske üksikjuhtumit hinnata oma andmekaitsespetsialistil.