# Tijela vlasti isključuju web-stranice: što tvrtke iz toga uče

> Tijela vlasti preventivno su isključila web-stranice zbog PHP2Shella. Što stoji iza toga, kada je isključenje smisleno i kako ga tvrtke mogu pripremiti.

Izvor: https://phpsos.de/hr/blog/behoerden-webseiten-offline/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Nakon upozorenja o PHP2Shellu u Njemačkoj su isključene web-stranice, među njima prema medijima web-portal grada Mainza te stranice hesenske zemaljske vlade i BKA-a (njemački Savezni ured kriminalističke policije). Radilo se o mjeri opreza prema preporuci BSI-ja (njemački Savezni ured za informacijsku sigurnost), a ne o potvrđenim napadima. Tvrtke iz toga mogu naučiti: isključenje je legitimna opcija kad zakrpa nije odmah moguća, a najbolje uspijeva kad je pripremljeno.

## Web-stranice isključene zbog PHP-a: što se zbilo 21. listopada

Na dan PHP sigurnosnih ažuriranja u Njemačkoj brojne javne web-stranice nisu bile dostupne. Prema medijskim izvješćima grad Mainz preventivno je isključio svoj središnji web-portal. Uredi su ostali dostupni telefonom i e-poštom.

U Hessenu su prema hessenschauu, među ostalim, stranice zemaljske vlade, Saveznog ureda kriminalističke policije te gradova Kassela i Wiesbadena privremeno bile izvan mreže. Državna kancelarija govorila je o tehničkim prilagodbama i nije prijavila napad. Zemaljske su stranice navečer ponovno bile dostupne. Prema izvješćima i druge su općine, visoka učilišta i klinike preventivno isključile svoje usluge.

Pozadina je BSI-jeva preporuka o PHP2Shellu: odmah ažurirati, a ako to ne ide odmah, pogođene web-poslužitelje privremeno odspojiti s mreže. Što BSI pojedinačno savjetuje, sažima stranica [Što BSI preporučuje o PHP2Shellu](https://phpsos.de/hr/compliance/bsi-empfehlungen/).

## Isključeno ne znači hakirano

U komentarima i na društvenim mrežama „offline“ se brzo pretvorilo u „hakirano“. Prema svemu što je poznato to je pogrešno. Isključenja su bila zaštitna mjera u trenutku kad mnogi operateri još nisu sigurno znali razinu zakrpe svojih poslužitelja.

Za tvrtke je ta razlika dvostruko važna. Prvo prema van: tko sam preventivno isključuje, treba to tako i imenovati, a ne šutjeti. Drugo prema unutra: isključenje ne odgovara na pitanje je li poslužitelj prije bio napadnut. Ono samo zaustavlja daljnje pokušaje. Provjera tragova i dalje je potrebna.

Treća se točka često previđa: isključenje ne smije uništiti tragove. Tko poslužitelj radi isključivanja jednostavno ponovno instalira ili briše logove da oslobodi prostor, oduzima si mogućnost da kasnije razjasni što se zbivalo prije isključenja. Bolje je web-poslužitelj preusmjeriti na stranicu za hitne slučajeve ili izvana blokirati pristup, a sam poslužitelj sa svim logovima ostaviti nepromijenjenim.

## Zašto su baš javna tijela tako reagirala

Tijela vlasti često paralelno vode mnogo web-stranica: glavni portal, specijalizirane portale, usluge obrazaca, stranice pojedinih ureda i ustanova. U tome često sudjeluje više pružatelja usluga. Na dan upozorenja mnogim upravama jednostavno nije bilo moguće u nekoliko sati za svaki sustav dobiti dokazanu razinu zakrpe. Preventivno isključenje bilo je u toj situaciji najbrži način da se slijedi BSI-jeva preporuka.

Za tvrtke s poraslom IT-krajolikom situacija je često slična. Pitanje „Je li sve zakrpano?“ ne pada na tehnici, nego na nedostatku pregleda.

Zapaženo je i koliko su se brzo hesenske zemaljske stranice prema izvješćima vratile: još navečer istoga dana. To pokazuje da preventivno isključenje ne mora trajati danima. Tko poznaje svoje sustave i vlada putem ažuriranja, može u nekoliko sati zakrpati, provjeriti i ponovno ići na mrežu. Isključenje tada samo premošćuje vrijeme do jasnoće.

## Kada je preventivno isključenje smisleno za tvrtke

Tijela vlasti imaju posebnu situaciju: mnogo web-stranica, često raspodijeljeno održavanih, i veliku javnu vidljivost. Odvagivanje pred kojim su stajala ipak je isto kao u svakoj tvrtki. Sljedeći pregled pomaže pri odluci:

| Situacija | Radije isključiti | Radije ostaviti na mreži |
|---|---|---|
| Razina zakrpe | nejasna ili nepotvrđena | ispravljeno i dokazano, procesi ponovno pokrenuti |
| PHP verzija | 8.1 ili starija bez potvrđenog backporta | podržana grana na aktualnom stanju |
| Način rada | Apache s mod_php | zakrpani PHP-FPM s postavljenim prijelaznim mjerama |
| Podaci na poslužitelju | podaci o kupcima, prijave, podaci o plaćanju | isključivo statični sadržaj |
| Dostupnost pružatelja usluga | zakrpa moguća tek za nekoliko dana | zakrpa uskoro zakazana |

Odvagivanje između zakrpe, isključenja i čekanja produbljuje članak [Zakrpati, isključiti ili pričekati?](https://phpsos.de/hr/blog/patchen-abschalten-abwarten/). Što je tehnički moguće kao prijelaz dok ažuriranja još nema, navodi stranica [Hitne mjere bez zakrpe](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/).

> **Važno:**
> Privremeno isključenje shopa ili portala za kupce košta prometa. Kompromitirani poslužitelj s podacima o kupcima može koštati znatno više, sve do obveza prijave. Odluku donesite svjesno i zabilježite je pisanim putem.

## Kako pripremiti isključenje

Mainz je pokazao što je važno: uprava je ostala dostupna drugim kanalima. To uspijeva samo ako je pripremljeno. Ovi koraci vrijede prije nego što nastupi sljedeći hitni slučaj:

1. **Imati spremnu stranicu za hitne slučajeve:** statična HTML stranica bez PHP-a, s kratkim objašnjenjem, telefonskim i e-mail kontaktom i, po potrebi, napomenama o tekućim narudžbama ili terminima.
2. **Odrediti put prebacivanja:** Tko može web-stranicu preusmjeriti na stranicu za hitne slučajeve, putem web-poslužitelja, DNS-a ili uslugom ispred? Koliko to traje?
3. **Razjasniti ovlast za odluku:** Tko smije naložiti isključenje, i izvan radnog vremena?
4. **Poznavati zavisne usluge:** Ovise li sučelja, aplikacije ili partneri o web-stranici? Koga treba unaprijed obavijestiti?
5. **Definirati kriterije za povratak:** zakrpa dokazana, ponovno pokretanje obavljeno, prva provjera tragova bez nalaza.
6. **Unaprijed formulirati poruku:** dvije do tri rečenice za kupce, partnere i medije.

Kako u takvoj situaciji komunicirati prema van, opisuje vodič o [kriznoj komunikaciji](https://phpsos.de/hr/compliance/krisenkommunikation/).

## Kako PHP SOS konkretno pomaže?

- **Osnova za odluku:** Utvrđujemo razinu zakrpe, način rada i stanje podataka Vaših poslužitelja te Vam dajemo jasnu procjenu je li isključenje opravdano.
- **Uredno isključenje:** Prebacujemo na statičnu stranicu za hitne slučajeve bez gubitka logova ili tragova.
- **Zakrpa i provjera:** Ažuriramo PHP, ponovno pokrećemo sve procese i provjeravamo ima li neobičnosti.
- **Kontrolirani povratak:** Web-stranicu ponovno stavljamo na mrežu tek kad su dogovoreni kriteriji ispunjeni i dokumentirani.

Postupak opisuje [PHP2Shell hitna pomoć](https://phpsos.de/hr/leistungen/php2shell-soforthilfe/).

## Zaključak

Isključenja tijela vlasti nisu bila znak gubitka kontrole, nego svjesna mjera opreza. Za tvrtke je to prava pouka: otići izvan mreže legitimna je odluka kad je razina zakrpe nejasna. Tko je pripremio stranicu za hitne slučajeve, odgovornost i kriterije povratka, donosi je u minutama, a ne u satima.


## Česta pitanja

**Zašto su web-stranice tijela vlasti isključene zbog PHP-a?**  
BSI kod PHP2Shella preporučuje trenutačno ažuriranje, a ako to nije odmah moguće, privremeno isključenje web-poslužitelja s mreže. Više je tijela vlasti preventivno slijedilo tu preporuku dok njihovi sustavi nisu bili provjereni i ažurirani.

**Znači li isključena web-stranica da je hakirana?**  
Ne. Preventivno isključenje je zaštitna mjera. Hesenska državna kancelarija, primjerice, prema izvještaju hessenschaua izričito nije prijavila nikakav napad. Je li poslužitelj prije isključenja bio pogođen, razjašnjava tek provjera.

**Koliko dugo web-stranica treba ostati izvan mreže?**  
Dok PHP ne bude na ispravljenom stanju, dok se svi PHP procesi ne pokrenu ponovno i dok prva provjera tragova ne pokaže ništa neobično. Fiksnog trajanja nema; hesenske zemaljske stranice prema izvješćima bile su ponovno dostupne navečer istoga dana.

**Što posjetiteljima prikazati dok je web-stranica izvan mreže?**  
Najbolje jednostavnu, statičnu stranicu za hitne slučajeve bez PHP-a, s kratkim objašnjenjem i kontaktima putem kojih ste dostupni. Treba je pripremiti prije nego što zatreba.

## Izvori

- [hessenschau: Brojne web-stranice tijela vlasti u Hessenu isključene](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [ZDFheute: sigurnosna ranjivost u PHP-u](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)
- [BSI: Savezni ured za informacijsku sigurnost (Njemačka)](https://www.bsi.bund.de/)