Ukratko: IT popis web-poslužitelja je popis svih web-stranica, portala, shopova i poslužitelja s podacima koji su odmah potrebni uz sigurnosnu obavijest: gdje radi, s kojom verzijom i načinom rada PHP-a, koja aplikacija, tko je odgovoran i koji bi podaci bili pogođeni. Bez tog popisa svaka reakcija počinje traženjem. S njim usporedba uz obavijest poput PHP2Shella traje minute, a ne dane.
Prvo pitanje bilo je: gdje se kod nas uopće izvodi PHP?
Kad je PHP projekt 21. 10. 2026. objavio zakrpe, a BSI (njemački Savezni ured za informacijsku sigurnost) preporučio trenutačno djelovanje, uputa je bila jasna: ažurirati PHP, ponovno pokrenuti sve procese. Za mnoge tvrtke prvi korak ipak nije bilo ažuriranje, nego inventura. Glavna web-stranica bila je poznata. Ali portal za trgovce? Stranica za karijere kod drugog pružatelja? Odredišna stranica iz kampanje prije tri godine? Interni wiki?
Stručni tisak i mjerne službe učinili su razmjere problema vidljivima. Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. Među njima je vjerojatno mnogo sustava na koje njihovi operateri naprosto više ne misle.
Što pripada u IT popis web-poslužitelja
Upotrebljiv popis je tablica s jednim retkom po web-stranici ili aplikaciji. Ovi su se stupci pokazali dobrima:
| Stupac | Primjer | Čemu služi |
|---|---|---|
| Adresa | shop.primjer.hr | jednoznačno pridruživanje |
| Namjena i važnost | web-shop, ključan za prihod | određivanje prioriteta |
| Pružatelj hostinga ili lokacija | upravljani poslužitelj kod pružatelja X | koga nazvati |
| Poslužitelj i operacijski sustav | vServer, Debian | put ažuriranja, sigurnosni izvori |
| Web-poslužitelj i način rada PHP-a | Nginx s PHP-FPM-om | rizik, npr. mod_php |
| Verzija PHP-a i stanje paketa | 8.3, paket s datumom | usporedba s obavijestima |
| Aplikacija i verzija | Shopware, dodaci | obavijesti proizvođača |
| Odgovorni interno / eksterno | voditelj IT-a / agencija Y | tko djeluje |
| Obrađivani podaci | korisnički računi, narudžbe | obveze prijave, hitnost |
| Sigurnosne kopije | dnevno, eksterno, zadnji put testirano dana … | oporavak |
| Zadnji dokaz o zakrpi | datum i dokaz | dokaz prema trećima |
Način rada zaslužuje posebnu pozornost. Kod PHP2Shella PHP tim je rizik najvišim ocijenio kod Apachea s mod_php-om. Tko zna koji se sustavi tako koriste, može ih prvo obraditi. Stupac sa stanjem paketa važan je jer prikazani broj verzije nakon backportova često ostaje isti; napomene o tome nalaze se u članku Kako ispravno provjeriti verziju PHP-a i stanje zakrpe.
Pronalaženje zaboravljenih sustava: kako postupiti
Poznati sustavi upisuju se brzo. Pravi posao su nepoznati. Ovi izvori pomažu da ih pronađete:
- Domene i DNS: Prođite sve domene tvrtke i njihove poddomene. Svaki unos koji pokazuje na web-poslužitelj je kandidat.
- Računi: Računovodstvo poznaje svakog pružatelja hostinga, registrara i cloud pružatelja koji prima novac. To je često najcjelovitiji popis.
- Agencije i odjeli: Marketing, prodaja i kadrovska služba rado izravno naručuju web-stranice. Pitajte ih.
- Poznati poslužitelji: Na svakom poslužitelju konfiguracija pokazuje koje web-stranice on stvarno poslužuje.
- Uređaji s web-sučeljem: NAS, usmjerivači i appliancei djelomično donose vlastiti PHP, vidi PHP na NAS uređajima, usmjerivačima i appliancima.
Za korak 4 na Linux poslužiteljima pomaže nekoliko naredbi koje samo čitaju. Prikazuju konfigurirane web-stranice, PHP usluge i FPM poolove:
# Konfigurirane web-stranice (Apache odnosno Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Pokrenute PHP usluge i procesi
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# FPM poolovi na Debianu i Ubuntuu
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Ako na jednom poslužitelju paralelno radi više verzija PHP-a, svaka pripada na popis. Svaku treba zasebno ažurirati i ponovno pokrenuti.
Upišite i sustave koji bi zapravo trebali biti ugašeni. Upravo oni često još rade, godinama nisu ažurirani i bivaju zaboravljeni. Unosom „ugasiti do …“ zadatak ostaje vidljiv.
Održavanje popisa ažurnim
Popis vrijedi koliko i njegovo zadnje ažuriranje. Tri pravila drže ga živim. Prvo: jedna osoba je odgovorna i obavještava se o svakoj novoj web-stranici, svakoj selidbi i svakom gašenju, čak i kad posao obavlja agencija. Drugo: jednom u tromjesečju popis se uspoređuje s DNS-om, računima i konfiguracijom poslužitelja. Treće: popis je dio plana za hitne slučajeve i postoji i izvan vlastitog IT-a, primjerice ispisan.
Za tvrtke s mnogo raspoređenih sustava, primjerice portala za trgovce, konfiguratora i pristupa za dobavljače, IT sigurnost za srednje tvrtke i industriju opisuje tipična mjesta nalaza. Kako se popis uklapa u plan za hitne slučajeve, piše u članku Izrada IT plana za hitne slučajeve za web-poslužitelje.
Česte pogreške kod popisa web-poslužitelja
Mnogi popisi postoje, ali u kritičnom trenutku ne pomažu. Uzroci su slični:
- Samo poslužitelji, bez web-stranica: Popis navodi strojeve, ali ne i koje web-stranice na njima rade i tko je za njih stručno odgovoran. Kod ranjivosti tada nitko ne zna koji je odjel pogođen.
- Verzija umjesto stanja paketa: „PHP 8.3“ nakon PHP2Shella govori malo. Tek stanje paketa i datum pokazuju sadrži li ispravak.
- Nedostaju vanjski sustavi: Ono što radi kod agencije ili platformskog pružatelja izostavlja se jer se „tamo nije odgovoran“. Odgovornost za podatke ipak ostaje u kući.
- Nema kontakata: Unos bez imena i telefonskog broja nadležne službe u hitnom slučaju gubi vrijeme.
- Jednokratna akcija: Popis se izradi u kriznom tjednu i nakon toga se nikad više ne otvori. Nakon godine dana velik dio više ne vrijedi.
Tko izbjegne ovih pet točaka, kod sljedeće će obavijesti imati popis s kojim se doista može raditi.
Kako PHP SOS konkretno pomaže?
- Zajedno s Vama evidentiramo sve web-stranice i poslužitelje, i zaboravljene, putem DNS-a, računa, pružatelja usluga i konfiguracije poslužitelja.
- Za svaki sustav utvrđujemo način rada, verziju PHP-a i stvarno stanje paketa.
- Sustave razvrstavamo prema dostupnosti, podacima i načinu rada te kažemo gdje se prvo mora djelovati.
- Gdje je PHP2Shell još otvoren, zatvaramo ranjivost putem PHP2Shell hitne pomoći i unosimo dokaz u popis.
Zaključak: Popis je najneupadljivija i ujedno najučinkovitija sigurnosna mjera. Tko zna što radi, kod sljedeće obavijesti može odmah djelovati, umjesto da prvo traži.
Česta pitanja
Koje podatke popis web-poslužitelja minimalno treba sadržavati?
Adresu web-stranice, poslužitelj ili pružatelja hostinga, način rada PHP-a, verziju PHP-a sa stanjem paketa, aplikaciju s verzijom, odgovornu osobu interno i eksterno, vrstu obrađivanih podataka i mjesto sigurnosnih kopija. S tim podacima svaka se nova sigurnosna obavijest brzo usporedi.
Kako pronaći web-stranice za koje više nitko ne zna?
Istodobno na više načina: upravljanjem domenama i DNS zonama, računima pružatelja hostinga i registrara, upitima agencijama i odjelima te konfiguracijom poznatih poslužitelja. Stare stranice kampanja, testni sustavi i poddomene tako se obično pojave.
Tko bi trebao održavati popis?
Imenovana osoba, najčešće u IT-u ili kod voditelja IT-a. Važno je da se tamo prijavljuje svaka promjena na web-stranicama i poslužiteljima, čak i kad je pokrene odjel ili agencija.
Je li dovoljna tablica ili je potreban softver?
Za većinu srednjih tvrtki dovoljna je dobro održavana tablica. Softver se isplati kad se mnogo sustava želi evidentirati automatski. Odlučujuća je ažurnost, a ne alat.