Röviden: A középvállalkozások kiberbiztonsága a PHP2Shell esetében ritkán a javításon bukik, hanem az áttekintésen. A weboldal mellett kereskedői portálok, konfigurátorok, karrieroldalak és belső wikik futnak különböző szolgáltatóknál. Csak egy teljes lista teszi kezelhetővé a kockázatot, és igazolhatóvá az ügyfelek és a felügyelet felé.
Tipikus PHP-rendszerek a középvállalkozásoknál
Az évek során a gyártó cégeknél sok webalapú alkalmazás gyűlik össze: B2B-shopok pótalkatrészekhez, árlistás kereskedői és partnerportálok, termékkonfigurátorok, letöltési területek műszaki dokumentációhoz és CAD-adatokhoz, reklamációs és szervizportálok, jelentkezéskezelős karrieroldalak. Belsőleg ide jönnek a wikik, például a MediaWiki, a hibajegy-eszközök és a webanalitika.
Ennek nagy része PHP-n fut. A rendszereket gyakran a szakterületek rendelték meg, ügynökségek építették, és olyan tárhelyszolgáltatóknál üzemelnek, amelyeket a központi IT nem ismer. Éppen itt van egy PHP2Shell-szerű rés esetén az igazi probléma.
Mely adatok és kapcsolatok lehetnek érintettek
A portálokban vevői feltételek, kereskedői kapcsolattartók, ajánlati és megrendelési adatok, valamint titoktartási megállapodások alá eső rajzok vannak. A jelentkezési portálok önéletrajzokat és bizonyítványokat tartalmaznak. A versenytársak és a zsarolók számára a konstrukciós adatok és az árszerkezetek gyakran értékesebbek a személyes adatoknál.
Kritikusak a kapcsolatok: sok portál adatot cserél az ERP-vel, az árukészlet-kezelővel vagy a PIM-mel. Aki kódot futtat egy ilyen webszerveren, ott interfészekhez, adatbázisokhoz vagy VPN-hez tartozó hozzáférési adatokat talál. Egy feltört portál így a vállalati hálózatba való belépő lehet.
Középvállalkozások és kiberbiztonság: ellátási lánc és NIS2
A NIS2 révén sok vállalkozásra kibővített kötelezettségek vonatkoznak a kockázatkezelésre és a jelentős biztonsági incidensek bejelentésére. Hogy az Ön cége közvetlenül érintett-e, az ágazattól és a mérettől függ. Közvetve sokkal többen érintettek, mert az ügyfelek szerződéseken keresztül továbbadják a biztonsági követelményeket a beszállítóiknak.
A vezetőség számára ehhez jön a saját felelősségének kérdése. Hogy ezzel kapcsolatban általában mi érvényes, azt a vezetők felelősségéről szóló oldal magyarázza. Az egyedi esetben történő értékelés a jogi tanácsadójára tartozik.
A Palo Alto Networks (Unit 42) több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt össze. Egy ügynökség elfelejtett tesztrendszere ugyanúgy látható az automatizált szkennelések számára, mint az Ön fő weboldala.
A tipikus felelősségi rés a középvállalkozásoknál
| Terület | Ki dönt gyakran | Mi hiányzik |
|---|---|---|
| Céges weboldal | marketing, ügynökséggel | PHP-javítás igazolása |
| Kereskedői portál, B2B-shop | értékesítés, szolgáltatóval | beépítés az IT-biztonsági koncepcióba |
| Karrieroldal | személyzeti osztály, szolgáltatóval | tisztánlátás a tárhelyről és az adatokról |
| Belső eszközök | egyes osztályok | leltár és felelősök |
A központi IT a hálózatért, a munkaállomásokért és az ERP-ért felel, de gyakran nincs hozzáférése a külsőleg üzemeltetett rendszerekhez. Ez a minta minden kritikus résnél szűk keresztmetszetté válik. Segít egy egyszerű szabály: minden olyan webalkalmazást, amely céges adatokat dolgoz fel, az üzemeltetővel és a kapcsolattartóval együtt be kell jelenteni az IT-nek, mielőtt élesbe lép.
A webszerver és a termelési hálózat tiszta szétválasztása
Az iparban olyan webalkalmazások is vannak, amelyek gépekkel és berendezésekkel kommunikálnak: szerviz- és távkarbantartási portálok, gépadatokat mutató dashboardok, portálok olyan ügyfeleknek, akik a szállított berendezéseik állapotát kérdezik le. Ezek egy része PHP-ra épül, és olyan hálózati szegmensben áll, amelynek több kapcsolata van, mint amennyi a feladathoz szükséges.
A feltört webszerver nem lehet ugródeszka a termelésbe. Ellenőrizze, milyen kapcsolatok állnak fenn a webszerverek hálózati szegmenseiből az irodai és termelési hálózatokba, és korlátozza őket a szükségesre. A webszervereken tárolt hozzáférési adatoknak csak azokat a jogokat szabad tartalmazniuk, amelyekre az alkalmazásnak valóban szüksége van. Távkarbantartási hozzáféréseknél ez különösen érvényes.
Az első órák az IT-vezetésnek és a vezetőségnek
- Készítsen leltárt az összes kívülről elérhető PHP-rendszerről: domain, üzemeltető, PHP-verzió, üzemmód, kapcsolattartó.
- Először a mod_php-t használó és a PHP 8.1-es vagy régebbi verzión futó rendszereket kezelje. A mod_php esetében a PHP-csapat a kockázatot a legmagasabbra értékeli.
- Minden rendszerhez igazoltassa írásban a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra való javítást, illetve a backportot és az újraindítást. Amit nem lehet igazolni, azt kapcsolja le átmenetileg a hálózatról.
- Mentse a naplókat 2026. 10. 20-tól, és ellenőrizze a webszerverek belső hálózatba vezető kapcsolatait.
- Dokumentálja tömören az állapotot, hogy igazolhatóan válaszolhasson az ügyfeleknek, a biztosítónak és adott esetben a hatóságoknak.
Hogyan segít konkrétan a PHP SOS?
- Az IT-vel és a szakterületekkel közösen elkészítjük a PHP-rendszerek leltárát, és kockázat szerint priorizáljuk.
- Koordináljuk a javításokat és újraindításokat az ügynökségekkel és tárhelyszolgáltatókkal, és egy helyen gyűjtjük az igazolásokat.
- Gyanú esetén átvesszük a strukturált incidenskezelést nyomrögzítéssel és a céges hálózatba vezető kapcsolatok vizsgálatával.
- Ezután biztonsági auditot vagy penetrációs tesztet ajánlunk szakosodott partnerek által, amelynek eredményét bemutathatja az ügyfeleknek.
- Kívánságra folyamatosan felügyeljük a rendszereket, hogy a leltár naprakész maradjon.
Gyakori kérdések
Vonatkozik ránk a NIS2?
Ez az ágazattól, a vállalkozás méretétől és a forgalomtól függ, és esetenként kell megvizsgálni. Aki nem tartozik közvetlenül a NIS2 hatálya alá, az is gyakran az ellátási láncban lévő ügyfelein keresztül érzi a követelményeket. A kötelező besorolást jogi tanácsadójával tisztázza.
Vezethet egy feltört webszerver a céges hálózatba?
Lehetséges, ha a webszervernek van kapcsolata a belső hálózattal, például ERP-interfészek, közös hozzáférési adatok vagy VPN-alagút révén. Hogy ez Önnél fennáll-e, a hálózati kapcsolatok és a tárolt hozzáférési adatok vizsgálata mutatja meg.
Hogyan találjuk meg a cég összes PHP-alkalmazását?
A kiindulópont a DNS-bejegyzések, a tanúsítványok, a tárhelyszámlák és az ügynökségekkel kötött szerződések. Kiegészítésként a marketingben, az értékesítésben, a szervizben és a személyzeti területen végzett kikérdezések segítenek. Ilyenkor többnyire olyan rendszerek bukkannak fel, amelyekről az IT-osztály nem is tudott.
Mit várnak tőlünk az ügyfelek a PHP2Shell után beszállítóként?
Egyes ügyfelek aktívan rákérdeznek, érintettek voltak-e a beszállítóik, és hogyan reagáltak. Hasznos egy tömör, igazolható bemutatás: mely rendszerek, milyen javítási állapot, mikor indították újra, milyen vizsgálatok történtek feltörés kimutatására. Többet ígérni, mint ami igazolt, árt.