Röviden: Egy önkormányzat weboldalán lévő biztonsági rés nyilvánosságot érintő incidens. Tisztázza, ki üzemelteti a szervert, igazoltassa a PHP-javítást és az újraindítást, és tartson készenlétben egy vészoldalt arra az esetre, ha a megjelenést átmenetileg le kell kapcsolni a hálózatról. A lakosság és a sajtó felé irányuló kommunikációt még azelőtt egyeztetni kell, hogy kérdések érkeznének.
Milyen PHP-rendszereket üzemeltetnek tipikusan az önkormányzatok
Sok önkormányzati weboldal TYPO3-on fut, emellett más PHP-rendszereken is. A fő megjelenés körül további alkalmazások keletkeznek: online űrlapok kérelmekhez és bejelentkezésekhez, hibabejelentők, rendezvénynaptárak, lakossági részvétel, álláshirdetési portálok, óvodai előjegyzés, turisztikai oldalak, könyvtári katalógusok, valamint egyes intézmények, például a zeneiskola vagy a közművek weboldalai.
Ezek egy részét maga az önkormányzat üzemelteti, másokat egy önkormányzati adatközpont, egy önkormányzati társulás vagy egy szakrendszer-gyártó. Aki le akar zárni egy PHP-rést, annak először tudnia kell, kinek a szerverén melyik alkalmazás fut.
A kisebb településeknek gyakran nincs saját IT-részlegük. Ott a belső igazgatási osztály (Hauptamt) egy munkatársa mellékesen gondozza a megjelenést, a technika egy ügynökségnél van, a szerződések pedig olyan időből származnak, amikor senki sem gondolt a programozási nyelv kritikus réseire. A nagyobb városoknak fordított a gondjuk: annyi hivatali, projekt- és intézményi weboldaluk van, hogy alig valaki ismeri a teljes listát.
Mi forog kockán az önkormányzati weboldalakon
Az űrlapokban és portálokon polgárok adatai vannak: lakcímek, születési adatok, gyermekekre vonatkozó adatok az óvodai és iskolai beiratkozásoknál, fotók és helyszínek a hibabejelentéseknél, jelentkezések. A közfeladatot ellátó szervekre a GDPR és a tartományi adatvédelmi törvény vonatkozik, illetékes általában a tartomány adatvédelmi felügyelete.
Legalább ennyire súlyos az integritás: egy önkormányzat weboldala hivatalos forrás. A manipulált tartalmak, hamisított közlemények vagy a város nevében csaló oldalakra irányító átirányítások a technikai kárnál messze nagyobb mértékben ássák alá a bizalmat.
Az önkormányzati domainek bizalmat élveznek a lakosság és a keresőmotorok körében. Éppen ez teszi őket vonzóvá a támadóknak: spam feladójaként, csalóoldalak tárolójaként vagy hamis hírek platformjaként, például választásokról, viharokról vagy díjakról.
Önkormányzat és weboldal-biztonsági rés: ki mit dönt?
| Szerep | Tipikus feladat az incidensben |
|---|---|
| Önkormányzati adatközpont vagy IT-szolgáltató | szerver, PHP-csomagok, újraindítás, hálózati leválasztás |
| Belső igazgatási osztály vagy IT-koordináció | átfogó irányítás, megbízás, vészhelyzeti terv |
| Sajtóosztály | a lakosság és a média tájékoztatása |
| Hatósági adatvédelmi felelős | a bejelentési kötelezettség értékelése |
| Webügynökség | CMS, bővítmények, tartalmak |
A rés gyakran az adatközpont és az ügynökség között keletkezik: az adatközpont üzemelteti a szervert, az ügynökség gondozza a TYPO3-at, és mindkét fél azt feltételezi, hogy a másik foglalkozik a PHP-val. A TYPO3 frissítése nem zárja le a PHP2Shell-t.
A BSI a helyzetet a 3. riasztási szinttel / narancs jelzéssel értékelte, és azonnali frissítést javasol. Ha egy önkormányzati webszervert nem lehet azonnal javítani, kapcsolja le átmenetileg a hálózatról, és kapcsoljon be egy statikus vészoldalt.
Az első órák az igazgatásban
- Listázza fel az összes webes elérésű megjelenést és szakalkalmazást, az intézményeket és a turizmust is beleértve.
- Az adott üzemeltetőnél igazoltassa írásban: a PHP 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzión áll, vagy backportot telepítettek, és minden folyamat újraindult.
- A nem igazolt rendszereket kapcsolja le a hálózatról, vagy a javításig védje virtuális javítással. A Cloudflare arra hívja fel a figyelmet, hogy a szabályok önmagukban a kérésadatok alapján nem elegendők; ez áthidalás, nem pótlék.
- Mentse a naplókat 2026. 10. 20-tól.
- Tájékoztassa a sajtóosztályt és az adatvédelmi felelőst, és egyeztessen tárgyszerű nyelvi szabályozást. Ehhez a válságkommunikációról szóló oldal nyújt segítséget.
Hogy a BSI részleteiben mit javasol, azt a BSI-ajánlások a PHP2Shell-hez oldal foglalja össze. A közbeszerzéssel és a sürgősségi megbízással kapcsolatos kérdéseket a belső szabályai szerint tisztázza.
Megelőzés: vészoldal, leltár és helyettesítés
A következő kritikus rés biztosan eljön. Három előkészület ilyenkor órákat takarít meg: egy kész statikus vészoldal telefonszámokkal, nyitva tartással és a sürgős ügyekre vonatkozó tudnivalókkal, amely PHP nélkül is kiszolgálható. Egy gondozott leltár az összes webalkalmazásról, üzemeltetővel, kapcsolattartóval és szerződéses alappal. És egy helyettesítési szabályozás, hogy az olyan döntéseket, mint a megjelenés lekapcsolása, este és hétvégén is meg lehessen hozni.
Ezek a pontok az igazgatás IT-vészhelyzeti tervébe tartoznak. Az üzemi vállalkozásoknak, közműveknek és saját weboldalú intézményeknek kifejezetten szerepelniük kell benne, mert különben hiányoznak a leltárfelvételből.
Hogyan segít konkrétan a PHP SOS?
- Támogatjuk az IT-koordinációját a leltározásban, és az adatközponttal, a gyártókkal és az ügynökséggel tisztázzuk, ki melyik rendszert javítja.
- Ahol Ön maga üzemeltet, a PHP javítási szolgáltatás keretében átvesszük a frissítést, az újraindítást és az írásos igazolást.
- Feltörés gyanúja esetén nyomokat mentünk, és a tartalmakat manipulációra ellenőrizzük, mielőtt a megjelenés újra online lenne.
- A folyamatot úgy dokumentáljuk, hogy az adatvédelmi felelős, az igazgatás vezetése és a számvizsgálat követni tudja.
Gyakori kérdések
Egyszerűen lekapcsolhatjuk a település weboldalát?
A BSI (a német szövetségi információbiztonsági hivatal) azt javasolja, hogy a webszervert átmenetileg le kell kapcsolni a hálózatról, ha a frissítés nem azonnal lehetséges. Az önkormányzatoknak érdemes statikus vészoldalt használniuk a legfontosabb elérhetőségekkel. Hogy ki dönthet erről belsőleg, azt a vészhelyzeti tervben kell rögzíteni.
Érinti a testületi információs rendszert?
Ez a technikától és az üzemeltetéstől függ. A testületi információs rendszereket és az online szolgáltatásokat gyakran szakrendszer-gyártók vagy önkormányzati adatközpontok üzemeltetik. Kérdezzen rá náluk konkrétan a PHP használatára, a javítási állapotra és az újraindításra.
Melyik adatvédelmi hatóság illetékes az önkormányzatoknál?
A tartományok és önkormányzatok közfeladatot ellátó szerveinél általában az adott tartomány adatvédelmi felügyelete az illetékes. Emellett a tartományi adatvédelmi törvények érvényesek. A hatósági adatvédelmi felelőse ismeri a bejelentési útvonalakat.