Ukratko: Ugovor o održavanju web-stranice sa sigurnosnim naglaskom brine da ažuriranja, sigurnosne kopije i nadzor ne ovise o slučaju. Trajno skrbimo o Vašim web-stranicama i PHP poslužiteljima, održavamo stanje aktualnim, testiramo oporavak i postupamo prema dogovorenom tijeku kad postane poznata nova ranjivost. Redovito dobivate razumljivo izvješće.
Zašto sigurnost pripada u ugovor o održavanju web-stranice
Mnogi ugovori o održavanju pokrivaju ažuriranja CMS-a i tu završavaju. PHP2Shell je pokazao da to nije dovoljno: ranjivosti CVE-2026-109618 i CVE-2026-109619 nalaze se u samom PHP-u, a ne u CMS-u. Ažuriranje WordPressa ili Shopwarea ih ne zatvara. Tko održava samo CMS, nema na vidiku stvarnu opasnost.
Tome se pridodaje čimbenik vremena. Između prethodne najave php.net-a 20. 10. 2026. i objave zakrpa 21. 10. prošao je jedan dan, a prema medijskim izvješćima već je 17. 10. bio uočen prvi pokušaj napada. U takvim situacijama pomaže samo tijek koji je unaprijed utvrđen i netko tko ima pristup i zna koji su sustavi pogođeni. Tko tek u ozbiljnom slučaju traži pristupne podatke, zove davatelje usluga i razjašnjava odgovornosti, gubi upravo vrijeme koje napadači koriste.
Jedna se točka često podcjenjuje: sigurnosne kopije koje nikad nisu vraćene su obećanje bez dokaza. Tek test oporavka pokazuje je li kopija potpuna i koliko stvarno traje povratak u rad.
Za koga se isplati sigurnosni ugovor o održavanju
Ugovor o održavanju sa sigurnosnim naglaskom odgovara prije svega tvrtkama čija je web-stranica ili shop poslovno kritičan, a nemaju vlastitu administraciju poslužitelja i PHP-a. Tipični su internetski trgovci, ordinacije, odvjetnički uredi i srednje tvrtke s portalima za klijente, ali i javna tijela s više web-nastupa.
Jednako je smislen kad je odgovornost danas raspodijeljena na mnoga ramena: agencija je izradila web-stranicu, pružatelj hostinga daje poslužitelj, bivši zaposlenik poznavao je pristupe. U takvim se konstelacijama u situacijama poput PHP2Shella brzo pokaže da nitko nije jednoznačno odgovoran. Ugovor stvara stalno mjesto koje zna i smije djelovati.
Za jednu manju web-stranicu bez obrazaca ili podataka klijenata može biti dovoljan skromniji opseg. To razjašnjavamo pri popisu stanja.
Što sigurnosni ugovor o održavanju sadrži
- Ažuriranja: operacijski sustav, web-poslužitelj, PHP, CMS, proširenja i ovisnosti, po utvrđenom ritmu i dodatno kod kritičnih ranjivosti
- Ponovno pokretanje i dokaz: nakon PHP ažuriranja ponovno pokretanje svih workera s kontrolom da ne rade stari procesi
- Sigurnosne kopije: prema pravilu 3-2-1, s redovitim testom oporavka. Osnove su na stranici Sigurnosne kopije prema pravilu 3-2-1.
- Nadzor: cjelovitost datoteka, prijave, procesi i zapisnici, kako je opisano u Sigurnosni nadzor web-poslužitelja
- Životni ciklus: rano planiranje prije nego što verzija PHP-a dosegne kraj podrške, primjerice PHP 8.2 dana 31. 12. 2026.
- Postupak za hitne slučajeve: usklađeni koraci za ozbiljan slučaj, pristupi i kontakt osobe koji su u incidentu odmah poznati
- Izvješće: redoviti sažetak s instaliranim ažuriranjima, događajima i preporukama
Tko je za što odgovoran?
Mnoge sigurnosne ranjivosti ne nastaju tehnički nego organizacijski: svatko misli da se netko drugi brine. Zato odgovornosti bilježimo pisano. Tipičan primjer:
| Zadatak | Pružatelj hostinga | Agencija | PHP SOS | Vi |
|---|---|---|---|---|
| Hardver, mreža, podatkovni centar | da | |||
| Operacijski sustav i PHP ažuriranja | prema ugovoru | da | ||
| CMS i proširenja | da | prema dogovoru | ||
| Sadržaji i korisnički računi | da | |||
| Nadzor i postupak za hitne slučajeve | da | odobrenja |
Stvarna raspodjela ovisi o Vašim ugovorima. Osobito kod upravljanih poslužitelja isplati se točno pogledati što pružatelj stvarno preuzima, vidi Upravljani poslužitelj: razjasniti odgovornost. Agencije s mnogo stranica klijenata pronaći će odgovarajući model na stranici Sigurnosni partner za agencije.
Kako PHP SOS konkretno pomaže?
- Popis stanja: Bilježimo sve web-stranice, poslužitelje, verzije, pristupe, sigurnosne kopije i postojeće ugovore.
- Početno osiguravanje: Otvorena ažuriranja i poznate slabe točke prvo se zatvaraju prije nego što počne trajna skrb.
- Dogovor: Pisano utvrđujemo opseg, ritam, odgovornosti i postupak za hitne slučajeve, uključujući pitanje kada Vas pitamo prije promjena.
- Trajna skrb: Ažuriranja, sigurnosne kopije, nadzor i izvješća prema planu, kod kritičnih ranjivosti dodatno prema dogovorenom postupku za hitne slučajeve.
- Godišnja provjera: Zajedno provjeravamo odgovara li ugovor još Vašem sistemskom okruženju.
Što trebamo i što ne obećavamo
Trebamo trajne administrativne pristupe, kontakt osobu s ovlastima za odlučivanje, kontakt s pružateljem hostinga i agencijom te informacije o planiranim promjenama Vaših aplikacija. Pristupima upravljamo odvojeno za svakog klijenta i dokumentiramo tko ima pristup. Ako planirate promjene na svojim sustavima, primjerice novi shop, dodatnu web-stranicu ili promjenu pružatelja hostinga, javite nam rano kako bi ažuriranja, sigurnosne kopije i nadzor rasli zajedno s njima.
Ne obećavamo da Vaši sustavi nikada neće biti napadnuti. Ugovor o održavanju smanjuje rizik i brine da se u ozbiljnom slučaju djeluje brzo i uredno. Cijene i vremena odgovora ne navodimo paušalno, nego ih utvrđujemo nakon popisa stanja u ponudi. Kako ozbiljan slučaj dodatno organizacijski pripremiti, opisuje Izrada IT plana za slučaj nužde za web-poslužitelje.
Česta pitanja
Što pripada u ugovor o održavanju web-stranice sa sigurnosnim naglaskom?
Najmanje ažuriranja poslužitelja, PHP-a, CMS-a i proširenja, redovite sigurnosne kopije s testom oporavka, sigurnosni nadzor i jasna regulacija za hitne slučajeve. Važno je i pisano utvrditi tko je za što odgovoran.
Zamjenjuje li ugovor o održavanju moju agenciju ili pružatelja hostinga?
Ne nužno. Često radimo zajedno s agencijom i pružateljem hostinga te preuzimamo sigurnosni dio. Odlučujuće je da su odgovornosti raspoređene bez praznina i da ništa ne ostane ležati između sudionika.
Što se događa kad postane poznata kritična ranjivost poput PHP2Shella?
Tada provjeravamo koji su Vaši sustavi pogođeni, instaliramo ažuriranja prema dogovorenom postupku ili postavljamo privremene mjere i obavještavamo Vas o stanju. Koliko brzo se to događa, zajednički utvrđujemo u ugovoru.
Postoji li fiksna cijena?
Opseg ovisi o broju i vrsti Vaših sustava. Nakon popisa stanja izrađujemo ponudu koja točno opisuje što je uključeno.