Ukratko: White-label IT sigurnost za Vašu agenciju znači: Vi zadržavate odnos s klijentima, a mi u pozadini obavljamo sigurnosni posao. Kod PHP2Shella to znači inventar svih web-stranica klijenata, prioritete prema riziku, zakrpu i ponovno pokretanje po poslužitelju te dokaz po klijentu koji možete proslijediti.
Zašto su agencije kod PHP2Shella pod osobitim pritiskom
Agencija s mnogo klijenata rijetko održava jedinstveni krajolik. Dio stranica nalazi se na vlastitim poslužiteljima s Pleskom, dio kod pružatelja hostinga klijenata, a neki stari projekti na verzijama PHP-a koje odavno ne dobivaju službena ažuriranja. Uz to dolaze različiti sustavi: WordPress, TYPO3, Shopware, Craft CMS, vlastiti razvoji na Laravelu.
Kod ranjivosti u samom PHP-u pogođeni su svi projekti istodobno. Klijenti očekuju odgovor je li njihova stranica sigurna, a projektni tim je zauzet tekućim narudžbama. Mnogi ugovori o održavanju uređuju CMS, ali ne i poslužitelj ispod njega.
Pridodaju se sustavi koji se više ne pojavljuju ni na jednom popisu projekata: staging okruženja na poddomenama, stranice kampanja iz zaključenih projekata, testne instalacije programera na vlastitim vServerima. Često rade na starijim verzijama PHP-a, ne nadziru se, a ipak nose ime Vaše agencije ili Vašeg klijenta. Automatiziranim skeniranjima jednako su vidljivi kao i glavna stranica.
Koja pitanja Vaši klijenti sada postavljaju
- Je li moja web-stranica pogođena i je li u međuvremenu zakrpana?
- Je li prije zakrpe već nešto ubačeno?
- Vrijedi li ažuriranje CMS-a kao zaštita? Ne, ažuriranje CMS-a ne zatvara PHP ranjivost.
- Moram li svoju web-stranicu odspojiti s mreže? BSI (njemački Savezni ured za informacijsku sigurnost) to preporučuje za poslužitelje koji se ne mogu odmah ažurirati.
Na svako od tih pitanja Vaša agencija treba dokazivi odgovor po klijentu, a ne zbirnu poruku s općenitim izjavama.
Kako teče white-label IT sigurnost za agencije
Radimo kao dio Vašeg tima, ali bez vlastitog kontakta s klijentima. Podjela je jasna:
| Zadatak | Vaša agencija | PHP SOS |
|---|---|---|
| Komunikacija s klijentima i obračun | da | ne |
| Inventar svih web-stranica klijenata sa stanjem PHP-a | isporučuje pristupe | izrađuje i održava |
| Zakrpa, ponovno pokretanje, provjera po poslužitelju | odobrava prozor održavanja | izvodi ili koordinira s pružateljima hostinga |
| Provjera kompromitacije | prima nalaz | traži web shellove i neobičnosti |
| Dokaz po klijentu | prosljeđuje | izrađuje neutralno ili u Vašem formatu |
Kod stranica na tuđim pružateljima hostinga pribavljamo potvrdu stanja paketa. Sam prikazani broj verzije nije dovoljan jer ga backportovi mogu ostaviti nepromijenjenim.
Prvo dajte prednost poslužiteljima s Apacheom i mod_php, gdje PHP tim rizik ocjenjuje najvišim, zatim shopovima i stranicama s prijavama, potom projektima na PHP-u 8.1 i starijem. Statične stare projekte koje nitko više ne treba bolje isključite nego zakrpavate.
Više web-stranica klijenata na jednom poslužitelju: provjeriti izolaciju
Na poslužiteljima agencija mnogo se stranica klijenata često dijeli jedan stroj. Ako se jedna kompromitira, razdvajanje odlučuje može li napadač doći i do ostalih. Važni su zasebni sistemski korisnici i PHP-FPM poolovi po web-stranici, uredna prava datoteka i ograničenja poput open_basedir. Na Plesk poslužiteljima te se postavke mogu provjeriti po pretplati.
Nakon zakrpe vrijedi: ponovno pokrenuti sve poolove i workere. Tek tada u memoriji više ne rade stari PHP procesi. Zapisnike od 20. 10. 2026. trebalo bi čuvati za svaku web-stranicu klijenta.
Informiranje klijenata: što je dokazano, a što nije
Najveće iskušenje u ovoj situaciji je umirujuća zbirna poruka. Sigurnija je izjava po klijentu koja sadrži samo ono što je dokazano: koji poslužitelj, koje stanje PHP paketa, kada je ponovno pokrenuto, je li provedena provjera kompromitacije i s kojim rezultatom. Što je još otvoreno, također stoji u njoj.
Formulacije poput „Vaša je stranica sigurna“ bolje izbjegavajte. Zakrpa zatvara ranjivost, ali ne dokazuje da se prije nije ništa dogodilo. Tko to pošteno razdvoji, kasnije nije prisiljen objašnjavati ako se ipak pojavi nalaz.
Ugovore o održavanju nakon PHP2Shella preoblikovati
Mnogi ugovori agencija uređuju ažuriranja CMS-a i proširenja, a o poslužitelju šute. Iskoristite situaciju da za svakog klijenta utvrdite tko ažurira PHP, tko je odgovoran za ponovna pokretanja, tko odlučuje pri incidentu i koje se usluge posebno naručuju. U to spada i ugovor o obradi podataka sa svim uključenim pružateljima usluga. Ugovorno oblikovanje razjasnite sa svojim pravnim savjetnikom.
Kako PHP SOS konkretno pomaže?
- Preuzimamo popis svih web-stranica klijenata s verzijom PHP-a, načinom rada, pružateljem hostinga i odgovornošću.
- Preko naše usluge PHP zakrpa zakrpamo Vaše vlastite poslužitelje, ponovno pokrećemo sve workere i to dokazujemo po klijentu.
- Prioritetne stranice provjeravamo na kompromitaciju i pri nalazu čistimo dok incident nije zaključen i dokumentiran.
- Isporučujemo tekstualne blokove za informiranje Vaših klijenata koje možete prilagoditi i sami poslati.
- Zatim, na želju, uz ugovor o sigurnosnom održavanju preuzimamo stalnu sigurnosnu skrb u pozadini.
Česta pitanja
Nastupate li prema našim klijentima?
Samo ako to želite. U white-label modelu radimo isključivo u pozadini, a sva komunikacija ide preko Vaše agencije. Svoju dokumentaciju isporučujemo neutralno ili u Vašem formatu.
Treba li nam za to ugovor o obradi podataka?
Ako pristupamo sustavima s osobnim podacima Vaših klijenata, u pravilu je potreban ugovor o obradi podataka, često kao podobrada. Kako se to uklapa u Vaše postojeće ugovore, razjasnite sa svojim pravnim savjetnikom. Potrebne podatke o našim aktivnostima stavljamo na raspolaganje.
Što je s web-stranicama klijenata čije poslužitelje uopće ne vodimo?
Ako su web-stranice klijenata kod tuđih pružatelja hostinga, u Vaše ime ili prema Vašim predlošcima pribavljamo potvrde o stanju zakrpe i ponovnom pokretanju. Gdje postoji samo FTP ili CMS pristup, provjeravamo što je odatle moguće i otvoreno označavamo što može dokazati samo pružatelj hostinga.
Možemo li to nakon PHP2Shella trajno prepustiti vama?
Da. Mnogi se zadaci ponavljaju kod svake ranjivosti: voditi inventar, instalirati zakrpe, dokazati ponovna pokretanja, prijaviti neobičnosti. Taj se rad može organizirati kao stalna skrb u pozadini.