# Kibernetička sigurnost za srednja poduzeća i industriju: PHP sustavi pod kontrolom

> Portal za trgovce, B2B shop, konfigurator: kako srednja poduzeća i industrija pronalaze raštrkane PHP sustave, zakrpaju ih protiv PHP2Shella i dokumentiraju za NIS2.

Izvor: https://phpsos.de/hr/branchen/mittelstand-industrie/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Kibernetička sigurnost u srednjim poduzećima kod PHP2Shella rijetko pada na zakrpanju, a češće na nedostatku pregleda. Uz web-stranicu rade portali za trgovce, konfiguratori, stranice o karijerama i interni wikiji kod različitih pružatelja usluga. Tek potpun popis čini rizik savladivim te dokazivim klijentima i nadzoru.

## Tipični PHP sustavi u srednjim poduzećima

Tijekom godina u proizvodnim se poduzećima nakuplja mnogo web-aplikacija: B2B shopovi za rezervne dijelove, portali za trgovce i partnere s cjenicima, konfiguratori proizvoda, područja za preuzimanje tehničke dokumentacije i CAD podataka, portali za reklamacije i servis, stranice o karijerama s upravljanjem kandidatima. Interno se pridodaju wikiji poput [MediaWikija](https://phpsos.de/hr/plattformen/mediawiki/), alati za tikete i web-analitika.

Velik dio toga radi na PHP-u. Sustave su često naručili stručni odjeli, izgradile agencije, a vode ih pružatelji hostinga koje središnji IT ne poznaje. Upravo je tu kod ranjivosti poput PHP2Shella pravi problem.

## Koji podaci i veze mogu biti pogođeni

U portalima se nalaze uvjeti klijenata, kontakt osobe kod trgovaca, podaci o ponudama i narudžbama te crteži koji podliježu ugovorima o povjerljivosti. Portali za kandidate sadrže životopise i svjedodžbe. Konkurenciji i ucjenjivačima konstrukcijski podaci i strukture cijena često su vrjedniji od osobnih podataka.

Kritične su veze: mnogi portali razmjenjuju podatke s ERP-om, sustavom za upravljanje robom ili PIM-om. Tko izvršava kod na takvom web-poslužitelju, tamo nalazi pristupne podatke za sučelja, baze podataka ili VPN. Kompromitirani portal tako može postati ulaz u mrežu tvrtke.

## Srednja poduzeća i kibernetička sigurnost: lanac opskrbe i NIS2

Uz [NIS2](https://phpsos.de/hr/compliance/nis2/) za mnoge tvrtke vrijede proširene obveze upravljanja rizicima i prijave značajnih sigurnosnih incidenata. Je li Vaša tvrtka izravno pogođena, ovisi o sektoru i veličini. Posredno je pogođeno mnogo više njih jer klijenti sigurnosne zahtjeve ugovorima prenose na svoje dobavljače.

Za poslovodstvo se pridodaje pitanje vlastite odgovornosti. Što u tom pogledu općenito vrijedi, objašnjava stranica o [odgovornosti uprave](https://phpsos.de/hr/compliance/geschaeftsfuehrer-haftung/). Procjena u pojedinačnom slučaju pripada Vašem pravnom savjetniku.

> **Važno:**
> Palo Alto Networks (Unit 42) izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. Zaboravljeni testni sustav agencije automatiziranim je skeniranjima jednako vidljiv kao i Vaša glavna web-stranica.

## Tipična praznina u odgovornosti u srednjim poduzećima

| Područje | Tko često odlučuje | Što nedostaje |
|---|---|---|
| Web-stranica tvrtke | Marketing s agencijom | Dokaz o zakrpi PHP-a |
| Portal za trgovce, B2B shop | Prodaja s pružateljem usluga | Uključenost u sigurnosni koncept IT-a |
| Stranica o karijerama | Kadrovska služba s pružateljem | Jasnoća o hostingu i podacima |
| Interni alati | pojedini odjeli | Inventar i odgovorne osobe |

Središnji IT odgovoran je za mrežu, radna mjesta i ERP, ali često nema pristup izvana hostiranim sustavima. Taj obrazac pri svakoj kritičnoj ranjivosti postaje usko grlo. Pomaže jednostavno pravilo: svaka web-aplikacija koja obrađuje podatke tvrtke prijavljuje se IT-u s operaterom i kontakt osobom prije nego što ode online.

## Web-poslužitelj i proizvodnu mrežu uredno razdvojiti

U industriji se pridodaju web-aplikacije koje komuniciraju sa strojevima i postrojenjima: portali za servis i daljinsko održavanje, nadzorne ploče s podacima strojeva, portali za klijente koji dohvaćaju stanje isporučenih postrojenja. Neki su od njih izgrađeni na PHP-u i nalaze se u mrežnom segmentu s više veza nego što je za zadatak potrebno.

Kompromitirani web-poslužitelj ne smije biti odskočna daska u proizvodnju. Provjerite koje veze iz mrežnih segmenata web-poslužitelja postoje prema uredskim i proizvodnim mrežama i ograničite ih na nužno. Pohranjeni pristupni podaci na web-poslužiteljima trebali bi imati samo prava koja aplikacija stvarno treba. Kod pristupa za daljinsko održavanje to osobito vrijedi.

## Prvi sati za IT vodstvo i upravu

1. Izraditi inventar svih izvana dostupnih PHP sustava: domena, operater, verzija PHP-a, način rada, kontakt osoba.
2. Prvo obraditi sustave s mod_php i one na PHP-u 8.1 ili starijem. Kod mod_php-a PHP tim rizik ocjenjuje najvišim.
3. Za svaki sustav dati pisano potvrditi zakrpu na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 odnosno backport i ponovno pokretanje. Što se ne može potvrditi, privremeno odspojiti s mreže.
4. Osigurati zapisnike od 20. 10. 2026. i provjeriti veze web-poslužitelja s internom mrežom.
5. Stanje sažeto dokumentirati kako biste klijentima, osiguratelju i, prema potrebi, tijelima mogli dokazivo odgovoriti.

## Kako PHP SOS konkretno pomaže?

- Zajedno s IT-om i stručnim odjelima izrađujemo inventar PHP sustava i određujemo prioritete prema riziku.
- Koordiniramo zakrpe i ponovna pokretanja s agencijama i pružateljima hostinga te dokaze skupljamo na jednom mjestu.
- Pri sumnji preuzimamo strukturirani [odgovor na incidente](https://phpsos.de/hr/leistungen/incident-response/) s osiguranjem tragova i provjerom veza s mrežom tvrtke.
- Zatim nudimo [sigurnosnu reviziju ili penetracijsko testiranje](https://phpsos.de/hr/leistungen/sicherheitsaudit-penetrationstest/) putem specijaliziranih partnera, čiji rezultat možete predočiti klijentima.
- Na želju stalno nadziremo sustave kako bi inventar ostao aktualan.


## Česta pitanja

**Spada li naša tvrtka pod NIS2?**  
To ovisi o sektoru, veličini tvrtke i prometu i treba se provjeriti u pojedinačnom slučaju. Čak i tko ne spada izravno pod NIS2, zahtjeve često osjeća preko klijenata u lancu opskrbe. Obvezujuće razvrstavanje razjasnite sa svojim pravnim savjetnikom.

**Može li hakirani web-poslužitelj voditi u mrežu tvrtke?**  
To je moguće ako web-poslužitelj ima veze s internom mrežom, primjerice sučelja prema ERP-u, zajedničke pristupne podatke ili VPN tunel. Je li to kod Vas slučaj, pokazuje provjera mrežnih veza i pohranjenih pristupnih podataka.

**Kako pronalazimo sve PHP aplikacije u tvrtki?**  
Polazište su DNS zapisi, certifikati, računi za hosting i ugovori s agencijama. Dopunjuju ih razgovori u marketingu, prodaji, servisu i kadrovskoj službi. Pritom se najčešće pojavljuju sustavi za koje IT odjel uopće nije znao.

**Što klijenti nakon PHP2Shella očekuju od nas kao dobavljača?**  
Neki klijenti aktivno pitaju jesu li njihovi dobavljači bili pogođeni i kako su reagirali. Pomaže sažet, dokaziv prikaz: koji sustavi, koje stanje zakrpe, kada ponovno pokrenuti, koje provjere kompromitacije. Obećati više nego što je dokazano šteti.

## Izvori

- [BSI: upozorenja i preporuke](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: sigurnosne objave](https://www.php.net/)
- [TechTarget: PHP2Shell, 22 mil. izloženih poslužitelja](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)