Röviden: A biztonsági súlypontú weboldal-karbantartási szerződés gondoskodik róla, hogy a frissítések, a mentések és a felügyelet ne a véletlenen múljanak. Tartósan gondozzuk a weboldalait és PHP-szervereit, naprakészen tartjuk az állapotot, teszteljük a visszaállítást, és megállapodott folyamat szerint reagálunk, amikor új rés válik ismertté. Rendszeresen érthető jelentést kap.
Miért tartozik a biztonság a weboldal-karbantartási szerződésbe
Sok karbantartási szerződés a CMS-frissítéseket fedi le, és ott véget is ér. A PHP2Shell megmutatta, hogy ez nem elég: a CVE-2026-109618 és a CVE-2026-109619 rések magában a PHP-ban vannak, nem a CMS-ben. Egy WordPress- vagy Shopware-frissítés nem zárja le őket. Aki csak a CMS-t gondozza, a tényleges veszélyt nem tartja szem előtt.
Ehhez jön az idő tényezője. A php.net 2026. 10. 20-i előzetes bejelentése és a javítások 10. 21-i közzététele között egy nap telt el, a médiabeszámolók szerint pedig már 10. 17-én megfigyeltek egy első támadási kísérletet. Ilyen helyzetekben csak az segít, ha a folyamat előre adott, és van valaki, akinek van hozzáférése, és tudja, mely rendszerek érintettek. Aki csak vészhelyzetben keresi a hozzáférési adatokat, hívja a szolgáltatókat és tisztázza a felelősségeket, éppen azt az időt veszíti el, amelyet a támadók kihasználnak.
Egy további pontot gyakran alábecsülnek: az olyan mentések, amelyeket soha nem állítottak vissza, bizonyíték nélküli ígéretek. Csak egy visszaállítási teszt mutatja meg, hogy a mentés teljes-e, és valójában mennyi ideig tart az üzemhez való visszatérés.
Kinek éri meg a biztonsági karbantartási szerződés
A biztonsági súlypontú karbantartási szerződés elsősorban azoknak a vállalkozásoknak való, amelyeknek a weboldala vagy webshopja üzletkritikus, de nincs saját rendszergazdájuk a szerverekhez és a PHP-hez. Tipikusak az online kereskedők, a rendelők, az ügyvédi irodák és az ügyfélportálokkal rendelkező közepes vállalkozások, de több webes megjelenéssel rendelkező közintézmények is.
Ugyanígy értelmes, ha a felelősség ma sok vállra oszlik: egy ügynökség építette a weboldalt, egy tárhelyszolgáltató biztosítja a szervert, egy volt munkatárs ismerte a hozzáféréseket. Ilyen felállásokban a PHP2Shell-hez hasonló helyzeteknél gyorsan kiderül, hogy senki sem egyértelműen felelős. A szerződés létrehoz egy állandó helyet, amely tudja a dolgát, és cselekedhet.
Egyetlen, kis weboldalnál, űrlapok vagy ügyféladatok nélkül elég lehet egy szerényebb terjedelem. Ezt az állapotfelmérésnél tisztázzuk.
Mit tartalmaz a biztonsági karbantartási szerződés
- Frissítések: operációs rendszer, webszerver, PHP, CMS, bővítmények és függőségek, rögzített ritmusban, kritikus réseknél emellett soron kívül
- Újraindítás és igazolás: PHP-frissítések után az összes worker újraindítása annak ellenőrzésével, hogy nem fut régi folyamat
- Mentések: a 3-2-1 szabály szerint, rendszeres visszaállítási teszttel. Az alapok a Mentések a 3-2-1 szabály szerint oldalon vannak.
- Felügyelet: fájlintegritás, bejelentkezések, folyamatok és naplók, ahogy a Biztonsági monitoring webszerverekhez oldalon le van írva
- Életciklus: korai tervezés, mielőtt egy PHP-verzió eléri a támogatás végét, például a PHP 8.2 2026. 12. 31-én
- Vészhelyzeti folyamat: összehangolt lépések az éles helyzetre, hozzáférések és kapcsolattartók, amelyek egy incidensben azonnal ismertek
- Jelentés: rendszeres összefoglaló a telepített frissítésekkel, eseményekkel és javaslatokkal
Ki miért felel?
Sok biztonsági rés nem technikai, hanem szervezeti okból keletkezik: mindenki azt hiszi, hogy egy másik foglalkozik vele. Ezért írásban rögzítjük a felelősségeket. Egy tipikus példa:
| Feladat | Tárhelyszolgáltató | Ügynökség | PHP SOS | Ön |
|---|---|---|---|---|
| Hardver, hálózat, adatközpont | igen | |||
| Operációs rendszer és PHP-frissítések | szerződéstől függően | igen | ||
| CMS és bővítmények | igen | egyeztetés szerint | ||
| Tartalmak és felhasználói fiókok | igen | |||
| Felügyelet és vészhelyzeti folyamat | igen | jóváhagyások |
A tényleges elosztás a szerződéseitől függ. Különösen menedzselt szervereknél érdemes pontosan megnézni, mit vesz át valójában a szolgáltató, lásd Menedzselt szerver: a felelősség tisztázása. A sok ügyfél-weboldallal rendelkező ügynökségek megfelelő modellt találnak a Biztonsági partner ügynökségeknek oldalon.
Hogyan segít konkrétan a PHP SOS?
- Állapotfelmérés: Felmérjük az összes weboldalt, szervert, verziót, hozzáférést, mentést és a meglévő szerződéseket.
- Első biztosítás: A nyitott frissítéseket és az ismert sebezhetőségeket előbb lezárjuk, mielőtt a folyamatos gondozás megkezdődik.
- Megállapodás: Írásban rögzítjük a terjedelmet, a ritmust, a felelősségeket és a vészhelyzeti folyamatot, azt is, hogy mikor kérdezzük meg Önt a változtatások előtt.
- Folyamatos gondozás: Frissítések, mentések, felügyelet és jelentések terv szerint, kritikus réseknél emellett a megállapodott vészhelyzeti folyamat szerint.
- Éves felülvizsgálat: Közösen megvizsgáljuk, hogy a szerződés még illeszkedik-e a rendszertájához.
Amire szükségünk van, és amit nem ígérünk
Tartós rendszergazdai hozzáférésekre, döntési jogkörrel rendelkező kapcsolattartóra, kapcsolatra a tárhelyszolgáltatóval és az ügynökséggel, valamint tájékoztatásra az alkalmazásai tervezett változtatásairól van szükségünk. A hozzáféréseket ügyfelenként elkülönítve kezeljük, és dokumentáljuk, kinek van hozzáférése. Ha változtatásokat tervez a rendszerein, például új webshopot, további weboldalt vagy tárhelyszolgáltató-váltást, szóljon nekünk korán, hogy a frissítések, mentések és a felügyelet együtt nőhessenek.
Nem ígérjük, hogy a rendszereit soha nem támadják meg. A karbantartási szerződés csökkenti a kockázatot, és gondoskodik róla, hogy éles helyzetben gyorsan és rendezetten cselekedjenek. Árakat és reakcióidőket nem általánosan adunk meg, hanem az állapotfelmérés után az ajánlatban rögzítjük. Hogyan készülhet fel szervezetileg is az éles helyzetre, azt az IT-vészhelyzeti terv készítése webszerverekhez írja le.
Gyakori kérdések
Mit tartalmaz egy biztonsági súlypontú weboldal-karbantartási szerződés?
Legalább a szerver, a PHP, a CMS és a bővítmények frissítéseit, rendszeres mentéseket visszaállítási teszttel, biztonsági felügyeletet és világos szabályozást vészhelyzetekre. Fontos az is, hogy írásban rögzítsék, ki miért felel.
Kiváltja a karbantartási szerződés az ügynökségemet vagy a tárhelyszolgáltatómat?
Nem feltétlenül. Gyakran az ügynökséggel és a tárhelyszolgáltatóval együttműködve dolgozunk, és mi vesszük át a biztonsági részt. Az a döntő, hogy a felelősségek hézagmentesen legyenek elosztva, és a résztvevők között semmi ne maradjon félúton.
Mi történik, ha egy kritikus rés, például a PHP2Shell válik ismertté?
Ilyenkor megvizsgáljuk, mely rendszerei érintettek, a megállapodott folyamat szerint telepítjük a frissítéseket vagy átmeneti intézkedéseket hajtunk végre, és tájékoztatjuk az állapotról. Hogy ez milyen gyorsan történik, azt a szerződésben közösen rögzítjük.
Van fix ár?
A terjedelem a rendszerei számától és fajtájától függ. Az állapotfelmérés után ajánlatot készítünk, amely pontosan leírja, mi tartozik bele.