# Menedzselt szerver: a felelősség tisztázása > Menedzselt szerver biztonsága a PHP2Shell után: mit vállal át általában a tárhelyszolgáltató, mi marad Önnél, és mely kérdéseket tisztázza most írásban. Forrás: https://phpsos.de/hu/server/managed-server/ Állapot: 2026. 10. 25. Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6 **Röviden:** Menedzselt szervernél a szolgáltató a biztonság egy részét átveszi, jellemzően az operációs rendszert, a PHP-csomagokat és a szabványos szolgáltatásokat. Az alkalmazás, a bővítmények, a hozzáférések és az adatvédelmi jogi felelősség többnyire Önnél marad. A PHP2Shell után mindkettőt érdemes írásban tisztázni: mit tett a szolgáltató, és mi van még Önnél? ## Mit jelent a „menedzselt”, és mit nem A kifejezés nem védett. Az egyik szolgáltató alatta talán csak az operációs rendszer frissítéseinek telepítését érti, egy másik a webszervert, a PHP-t, az adatbázist és a mentéseket is gondozza. Egyes díjcsomagok a nap 24 órájában felügyeletet tartalmaznak, mások csak egy kapcsolattartót munkaidőben. Éppen egy olyan helyzetben, mint a PHP2Shell, derül ki, mennyire pontos a szolgáltatásleírás. A CVE-2026-109618 és a CVE-2026-109619 rés magában a PHP-ban van. Hogy a szolgáltatója a PHP-t a platformja részeként gondozza-e, vagy a PHP „az Ön szoftverének” számít, azt a szerződés tartalmazza. Ne támaszkodjon arra a feltevésre, hogy valaki már úgyis foglalkozik vele. ## Menedzselt szerver biztonsága: tipikus feladatmegosztás A következő táblázat egy gyakori megoszlást mutat. Nem helyettesíti a szerződés áttekintését, de segít a megfelelő kérdések feltevésében. | Terület | Többnyire a szolgáltatónál | Többnyire Önnél | |---|---|---| | Hardver, hálózat, virtualizáció | igen | nem | | Operációs rendszer frissítései | igen | nem | | A platform PHP-csomagjai | gyakran | ha saját maga telepítette | | A PHP-FPM és a webszerver újraindítása | gyakran | saját szolgáltatásoknál | | Szerverszintű PHP-konfiguráció | gyakran | különleges kéréseknél | | CMS, webshop, bővítmények, saját kód | nem | igen | | Az alkalmazás adminisztrátori fiókjai | nem | igen | | Mentések | gyakran | a helyreállítás ellenőrzése | | Adatvédelmi incidensek értékelése és bejelentése | nem | igen | | Támadások felügyelete | díjcsomagtól függően | díjcsomagtól függően | A tisztázatlan mezők jelentik az igazi kockázatot. Ahol „díjcsomagtól függően” vagy „gyakran” kellene beírnia, ott hiányzik a szabályozás. ## Milyen kérdéseket tegyen fel most Küldjön a szolgáltatójának egy rövid, tárgyszerű megkeresést. Kérjen szöveges formájú választ, hogy később be tudja mutatni. A következő pontokat érdemes belefoglalni: 1. Milyen PHP-verziók futnak a szerverünkön, és védettek-e a CVE-2026-109618 és a CVE-2026-109619 ellen? 2. Mióta áll fenn ez, és utána újraindították-e az összes PHP-folyamatot és a webszervert? 3. A javítást backportként telepítették? Ha igen, melyik csomagverzió igazolja ezt? 4. Voltak-e jelek támadási kísérletekre vagy gyanús folyamatokra a szerverünkön? 5. Megőrzik-e a webszerver naplóit 2026. október 20-tól, és hogyan kapjuk meg őket? Kész mintát talál itt: [A javítási állapot megkérdezése a tárhelyszolgáltatótól](https://phpsos.de/hu/ratgeber/hoster-patch-status-erfragen/). Az ügyfélmenüben látható verziószám nem bizonyíték: backportoknál gyakran változatlan marad, például 8.2.34. > **Fontos:** > Akkor is ellenőrizni kell az alkalmazást, ha a szolgáltató kijavította a PHP-t. A javítás nem távolítja el a frissítés előtt bejuttatott kártevőt, és nem bizonyítja, hogy nem történt semmi. ## Ami Önnél marad Az Ön része elsősorban az alkalmazás. Ellenőrizze a CMS-t, a webshopot és a bővítményeket aktuális állapotra, távolítsa el a már nem használt kiterjesztéseket, és ellenőrizze az adminisztrátorok listáját. Figyeljen az új fájlokra a feltöltési mappákban, az idegen átirányításokra és az alkalmazás szokatlan ütemezett feladataira. Ehhez jön a jogi oldal. Ha egy incidensnél személyes adatok idegen kezekbe kerülnek, általában az Ön vállalkozása mint adatkezelő bejelentésre köteles, nem a szolgáltató. A szolgáltatónak mint adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell Önt. Az alapokat a [GDPR-bejelentési kötelezettség: 72 óra](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/) oldal magyarázza. Ez általános tájékoztatás, nem jogi tanácsadás; az egyedi esetet adatvédelmi tisztviselők vagy ügyvédek értékelik. Egy további pontot gyakran figyelmen kívül hagynak: a szoftver, amelyet Ön vagy az ügynöksége maga telepített a menedzselt szerverre, például egy külső forrásból származó további PHP-verzió, egy konténer vagy egy segédprogram, többnyire nem tartozik a szolgáltató gondozása alá. Kérdezze meg ezért azt is, tudja-e a szolgáltató, mi fut a szabványos felszerelés mellett. És tisztázza, ki végzi a vizsgálatot gyanú esetén. Sok szolgáltató helyreállítja a platformot, de nem vizsgálja meg, érintettek-e adatok, és melyek. Pontosan erre a válaszra van szüksége az esetleges bejelentési kötelezettségek értékeléséhez. ## A szerződések javítása a jövőre nézve Használja ki a helyzetet a feladatmegosztás rögzítésére. Értelmesek a szabályozások a biztonsági frissítésekről az újraindítással együtt, a kritikus rések esetén történő tájékoztatásról, a naplók megőrzéséről és kiadásáról, valamint az incidensek során nyújtott támogatásról. Kérdezze meg azt is, hogy a szolgáltató aktívan értesíti-e Önt, vagy magának kell rákérdeznie. A gondozás nélküli saját szerver az alternatíva, de ez a teljes munkát Önre hárítja. Hogy ez mit jelent, azt a következő oldal írja le: [Root szerver és vServer saját védelme](https://phpsos.de/hu/server/root-server-vserver/). ## Hogyan segít konkrétan a PHP SOS? - Elolvassuk a szolgáltatásleírását, és feladatmátrixot állítunk fel, amely láthatóvá teszi a hiányosságokat. - Megfogalmazzuk a műszaki kérdéseket a szolgáltatójának, és értékeljük a válaszait. - Ellenőrizzük az Önnél lévő alkalmazásrészt nyomokra és elavult összetevőkre. - Amit a szolgáltató nem fed le, azt kérésre átvesszük [biztonsági karbantartási szerződéssel](https://phpsos.de/hu/leistungen/security-wartungsvertrag/), vagy kiegészítjük [biztonsági monitoringgal](https://phpsos.de/hu/leistungen/security-monitoring/). ## Gyakori kérdések **Menedzselt szervernél automatikusan minden védett?** Nem. A menedzselt azt jelenti, hogy a szolgáltató bizonyos, szerződésben rögzített feladatokat átvesz, többnyire az operációs rendszert és a szabványos szolgáltatásokat. Az alkalmazás, a bővítmények, a hozzáférések és a saját szoftver gyakran az Ön felelőssége marad. **Hol áll, miért felel a szolgáltatóm?** A szolgáltatásleírásban és a szerződési feltételekben, gyakran egy külön feladatmegosztási dokumentumban is. Személyes adatok esetén ehhez jön az adatfeldolgozási szerződés. Ha a biztonsági frissítésekre nincs egyértelmű szabályozás, kérdezzen rá írásban. **Menedzselt szerver mellett is nekem kell tennem valamit a PHP2Shell miatt?** Igen. Kérjen megerősítést arról, hogy az összes PHP-verzió javítva van, és a folyamatokat újraindították. Ellenőrizze emellett az alkalmazását nyomokra, és tisztázza, áll-e fenn bejelentési kötelezettség. **Ki jelenti be az adatvédelmi incidenst, ha a szolgáltató volt érintett?** A felügyeleti hatóság felé általában az adatkezelő, vagyis az Ön vállalkozása bejelentésre köteles. A szolgáltatónak mint adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell Önt. Az egyedi esetet értékeltesse az adatvédelmi tisztviselővel. ## Források - [php.net: biztonsági közlemények](https://www.php.net/) - [BSI](https://www.bsi.bund.de/) - [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)