# Tinklaraštis: PHP2Shell, serverio sauga ir avarinė pagalba

> Tinklaraštis apie PHP2Shell ir serverio saugą: padėtis, hostingas, aptikimas, sutvirtinimas, saugus programavimas, vadyba ir sprendimų pagalba.

Šaltinis: https://phpsos.de/lt/blog/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

Padėties vertinimas, instrukcijos administratoriams ir sprendimų pagalba vadovybei. Išdėstyta pagal temas, kiekvienas straipsnis su šaltiniais.

- [PHP2Shell: kas įrodyta, o kas ne](https://phpsos.de/lt/blog/php2shell-was-belegt-ist/): PHP2Shell faktų patikra: kurie teiginiai kyla iš pirminių šaltinių, kurie iš žiniasklaidos pranešimų ir kurių teiginių nepavyksta pagrįsti.
- [Kodėl PHP spraga paaiškėjo prieš pataisą](https://phpsos.de/lt/blog/php-luecke-vorzeitig-bekannt/): Pasak pranešimų, PHP2Shell detalės paviešintos, nesibaigus embargui. Paaiškiname eigą ir ką ji reiškia jūsų pataisų planavimui.
- [Institucijos atjungia svetaines nuo tinklo: ko iš to gali pasimokyti įmonės](https://phpsos.de/lt/blog/behoerden-webseiten-offline/): Mainco miestas, Heseno žemės vyriausybė ir BKA atsargumo sumetimais atjungė svetaines. Ko iš to gali pasimokyti įmonės savo sprendimui.
- [BSI oranžinis įspėjimo lygis: ką šis vertinimas reiškia](https://phpsos.de/lt/blog/bsi-warnstufe-orange-erklaert/): BSI PHP2Shell vertina 3 / oranžiniu lygiu. Ką skalė sako, ko nesako ir kaip įmonės gali vertinimą paversti sprendimais.
- [Ką CERT-EU ir CERT-Bund pataria dėl PHP2Shell](https://phpsos.de/lt/blog/cert-eu-empfehlungen-php/): Oficialios institucijos sutaria: nedelsiant taisyti, kitaip izoliuoti. Palyginame rekomendacijas ir parodome, kaip izoliavimas atrodo praktiškai.
- [Cloudflare apsaugos taisyklės nuo PHP2Shell: ką jos duoda ir ko neduoda](https://phpsos.de/lt/blog/cloudflare-waf-php2shell/): Cloudflare anksti išleido apsaugos taisykles nuo PHP2Shell. Kodėl tai padeda, kodėl PHP atnaujinimo vis tiek nepakeičia ir kokius nustatymus patikrinti.
- [22,6 milijono viešai pasiekiamų egzempliorių: kaip teisingai vertinti skaičius](https://phpsos.de/lt/blog/exponierte-instanzen-einordnen/): Unit 42, CybelAngel ir kiti PHP2Shell nurodo labai skirtingus skaičius. Paaiškiname, kas buvo skaičiuojama ir kuris skaičius jums iš tikrųjų svarbus.
- [PHP2Shell per penkias minutes: apžvalga įmonės vadovybei](https://phpsos.de/lt/blog/php2shell-briefing-geschaeftsfuehrung/): PHP saugumo spraga PHP2Shell viename puslapyje sprendimų priėmėjams: padėtis, rizika, penki klausimai IT ir šiandienos sprendimai.
- [PHP saugumo spraga paprastai paaiškinta](https://phpsos.de/lt/blog/php-luecke-einfach-erklaert/): PHP2Shell ne technikams: su kasdieniais pavyzdžiais, nedideliu žodynėliu ir trimis tipinėmis pradinėmis situacijomis, ką turėtumėte daryti kaip svetainės savininkas.
- [PHP2Shell: 15 talpinimo klientų klausimų](https://phpsos.de/lt/blog/fragen-von-hosting-kunden/): Jūsų svetainė pas talpintoją ir norite žinoti, ką dėl PHP2Shell turite daryti patys? Čia 15 dažniausių klausimų su trumpais atsakymais.
- [Kodėl WordPress atnaujinimas nepadeda nuo PHP2Shell](https://phpsos.de/lt/blog/warum-wordpress-update-nicht-hilft/): Po antraščių daugelis operatorių atnaujino WordPress ir jaučiasi saugūs. Kodėl dėl PHP2Shell tai nieko nedaro ir kas vietoj to svarbu.
- [PHP2Shell ir Log4Shell: ką spragos turi bendro](https://phpsos.de/lt/blog/php2shell-und-log4shell/): Daugelis PHP2Shell lygina su 2021 m. Log4Shell. Ką palyginimas duoda, kur jis šlubuoja ir kurios tų laikų pamokos padeda šiandien.
- [Masinis nepataisyto PHP skenavimas: kaip vyksta automatizuotos atakos](https://phpsos.de/lt/blog/automatisierte-massenscans/): Po PHP2Shell užpuolikai automatizuotai skenuoja internetą ieškodami pažeidžiamų serverių. Kaip tai vyksta, kodėl dydis nesvarbus ir kas jus saugo.
- [Laiko langas tarp pataisos ir atakos](https://phpsos.de/lt/blog/zeitfenster-patch-angriff/): Su PHP2Shell atakos bandymų būta jau prieš pataisą. Paaiškiname laiko lango fazes, kaip išmatuoti savo langą ir kaip jį sutrumpinti.
- [Po PHP2Shell: kodėl tolesni pranešimai tikėtini](https://phpsos.de/lt/blog/weitere-php-meldungen/): PHP2Shell su spalio 21 d. pataisa nesibaigė. Kodėl tikėtini tolesni pranešimai ir kaip į juos nustatyti savo komandą.
- [PHP2Shell: pirmos savaitės padėties vaizdas](https://phpsos.de/lt/blog/lagebild-erste-woche/): Savaitė po pirmo pastebėto atakos bandymo: pataisų, institucijų įspėjimų, atakų ir išjungimų būsena, tvarkingai suskirstyta pagal šaltinius.
- [Pavojingi klaidingi PHP2Shell patarimai, kurie šiuo metu plinta](https://phpsos.de/lt/blog/gefaehrliche-falschtipps/): Blokuoti slapukus, slėpti klaidų pranešimus, atnaujinti tik CMS: devyni PHP2Shell patarimai, kurie kuria klaidingą saugumo jausmą, ir kas iš tikrųjų svarbu.
- [PHP versijos keitimas talpinimo kliento zonoje](https://phpsos.de/lt/blog/php-version-hosting-aendern/): Kaip talpintojo kliento zonoje perjungti PHP versiją, kurią versiją rinktis ir ką tikrinti prieš tai ir po to.
- [Debian ir Ubuntu: ar mano PHP paketas pataisytas?](https://phpsos.de/lt/blog/debian-ubuntu-paket-gepatcht/): Kuriuos PHP paketus Debian ir Ubuntu ištaisė nuo PHP2Shell, kaip tiksliai palyginti įdiegtą būseną ir dėl ko strigia įrodymas.
- [RHEL, AlmaLinux ir Rocky Linux: PHP pataisos patikra](https://phpsos.de/lt/blog/rhel-almalinux-rocky-php/): Ką Red Hat paskelbė dėl PHP2Shell, kaip RHEL ir jo kopijose įrodyti paketų būseną ir kodėl perkrovimo (reload) nepakanka.
- [sury.org saugykla: PHP paketai iš trečiojo šaltinio](https://phpsos.de/lt/blog/sury-repository-php/): Daug Debian ir Ubuntu serverių PHP gauna iš sury saugyklos. Ką tai reiškia atnaujinimams, įrodymams ir senoms PHP versijoms po PHP2Shell.
- [Remi saugykla: PHP RHEL sistemose išlaikyti aktualų](https://phpsos.de/lt/blog/remi-repository-php/): Remi teikia aktualias PHP versijas RHEL šeimai, kaip modulį arba lygiagrečiai diegiamas. Kaip patikrinti būseną po PHP2Shell ir išvengti pamirštų šakų.
- [Kodėl php -v po atnaujinimo rodo tą patį numerį](https://phpsos.de/lt/blog/php-v-zeigt-alte-nummer/): Atnaujinimas praėjo, bet php -v rodo seną versiją. Dažniausiai tai atgalinis perkėlimas, o ne klaida. Kaip atskirti nekenksmingą atvejį nuo tikrų problemų.
- [CVE numerių įrodymas paketo pakeitimų žurnale](https://phpsos.de/lt/blog/cve-im-changelog-nachweisen/): Kas turi PHP pataisą įrodyti vadovybei, auditoriams ar draudikams, tam reikia daugiau nei versijos numerio. Štai kaip pakeitimų žurnalo įrašas tampa įrodymu.
- [Hostingo teikėjo keitimas po saugumo incidento: į ką atkreipti dėmesį?](https://phpsos.de/lt/blog/hoster-wechseln-nach-vorfall/): Po incidento noras keisti hostingo teikėją suprantamas. Kad su juo nepersikeltų ir užpuolikas, svarbi eilės tvarka ir pasirinkimas.
- [Kelios PHP versijos viename serveryje: kiekvieną pataisyti atskirai](https://phpsos.de/lt/blog/mehrere-php-versionen-server/): Daugelyje serverių greta veikia trys, keturi ar daugiau PHP diegimų. Po PHP2Shell kiekvieną reikia surasti, atnaujinti ir paleisti iš naujo.
- [Senų PHP versijų išjungimas hostingo valdymo skydelyje](https://phpsos.de/lt/blog/alte-php-versionen-abschalten/): PHP2Shell yra gera proga atsikratyti senų PHP versijų. Elkitės trimis etapais, kad nepastebimai nenustotų veikti jokia svetainė ar cron užduotis.
- [Plesk: PHP tvarkyklių supratimas (FPM, FastCGI, Apache modulis)](https://phpsos.de/lt/blog/plesk-php-handler/): Kokią PHP tvarkyklę Plesk naudoja svetainei, lemia izoliaciją, konfigūraciją ir riziką. Palyginimas atsižvelgiant į PHP2Shell.
- [CloudLinux ir alt-php: ką turėtų žinoti hostingo klientai](https://phpsos.de/lt/blog/cloudlinux-alt-php/): CloudLinux serveriuose svetainės dažnai veikia su savo alt-php paketais. Kiekvienai iš šių versijų reikia savo pataisos, o ją įdiegti gali tik serverio operatorius.
- [PHP NAS, ugniasienėse ir įrenginiuose: pamirštos sistemos](https://phpsos.de/lt/blog/php-auf-nas-und-appliances/): PHP naudoja ne tik žiniatinklio serveriai. Paveikti gali būti ir NAS sistemos, ugniasienės bei specializuoti įrenginiai su žiniatinklio sąsaja. Pataisyti ten dažniausiai gali tik gamintojas, pasiekiamumą reguliuojate jūs patys.
- [PHP debesų ir PaaS teikėjų platformose: kas taiso vykdymo aplinką?](https://phpsos.de/lt/blog/paas-php-laufzeit/): Platformų paslaugose PHP pataisa priklauso nuo veikimo modelio. Lemiama yra vykdymo aplinka, kuri iš tikrųjų pateikia turinį, o ne vietinė aplinka ar programos kodas.
- [Oficialūs PHP Docker atvaizdai: žymės, santraukos ir perkūrimas](https://phpsos.de/lt/blog/offizielle-php-docker-images/): Oficialaus PHP atvaizdo žymė yra rodyklė, kuri laikui bėgant keliauja į naujas būsenas. Kas supranta, ką reiškia žymė, variantas ir santrauka, pasirenka tinkamą atvaizdą ir gali įrodyti pataisų būseną.
- [CI/CD: automatinis PHP atvaizdų perkūrimas](https://phpsos.de/lt/blog/php-images-in-ci-neu-bauen/): Atvaizdas pasensta ir be kodo pakeitimų. Su pagal grafiką vykdomais kūriniais, versijos patikra ir diegimu pagal santrauką PHP pataisos patikimai patenka į gamybą.
- [Ilgalaikis senų PHP versijų palaikymas: galimybės ir ribos](https://phpsos.de/lt/blog/langzeitsupport-alte-php-versionen/): Kas negali nedelsdamas pereiti nuo PHP 8.1 ar senesnės, ilgalaikį palaikymą randa distribucijose, trečiųjų šalių teikėjuose ir komerciniuose sprendimuose. Ką šie keliai duoda, ką reikia gauti raštu ir kur jų ribos.
- [PHP atnaujinimas Windows sistemoje](https://phpsos.de/lt/blog/php-unter-windows-aktualisieren/): Windows sistemoje automatinio PHP atnaujinimo nėra. Kas pasirenka tinkamą variantą, patikrina atsisiuntimą ir paleidžia visus procesus iš naujo, PHP2Shell pataisą tvarkingai įdiegia kiekviename kompiuteryje.
- [Įspėjamasis ženklas: žiniatinklio serveris paleidžia apvalkalą (shell)](https://phpsos.de/lt/blog/webserver-startet-shell/): Jei PHP-FPM ar žiniatinklio serverio procesas paleidžia apvalkalą (shell), tai vienas stipriausių įsilaužimo įspėjamųjų ženklų. Kaip patikrinti procesų medį, įvertinti išimtis ir šį šabloną nuolat stebėti.
- [Įtartinų procesų radimas Linux serveriuose](https://phpsos.de/lt/blog/verdaechtige-prozesse-linux/): Kenkėjiški procesai maskuojasi nekenksmingais pavadinimais, veikia iš laikinųjų aplankų arba iš ištrintų failų. Keliomis tik skaitančiomis komandomis rasite neįprastus dalykus ir juos įvertinsite.
- [Paslėptų cron užduočių kaip užpakalinių durų atpažinimas](https://phpsos.de/lt/blog/cronjobs-als-hintertuer/): Užpuolikai suplanuotas užduotis naudoja, kad po išvalymo sugrįžtų. Kaip visiškai patikrinti crontab, cron katalogus, systemd laikmačius ir at užduotis bei atpažinti įtartinus įrašus.
- [Neseniai pakeistų failų radimas žiniatinklio serveryje](https://phpsos.de/lt/blog/geaenderte-dateien-finden/): Po galimo įsilaužimo svarbu, kas serveryje pasikeitė. Kaip ieškoti pagal laiko langus, teisingai naudoti mtime ir ctime bei lyginti su paketais, Git ir atsarginėmis kopijomis.
- [PHP failai įkėlimų aplanke: kaip teisingai suprasti radinius](https://phpsos.de/lt/blog/php-dateien-im-upload-ordner/): PHP failas įkėlimų aplanke yra beveik visada pavojaus ženklas, bet ne kiekvienas jų yra kenkėjiškas kodas. Kaip įvertinti radinį nesunaikinant pėdsakų ir išsiaiškinti, ar kas nors jį iškvietė.
- [Užmaskuoto PHP kodo atpažinimas](https://phpsos.de/lt/blog/verschleierter-php-code/): Neįskaitomas PHP kodas su eval ir base64_decode yra klasikinis įterpto kenkėjiško kodo ženklas. Kokių šablonų ieškoti, kaip juos rasti nepavojingai ir kada maskavimas yra teisėtas.
- [Serverio išeinančių ryšių patikra](https://phpsos.de/lt/blog/ausgehende-verbindungen-pruefen/): Žiniatinklio serveris daugiausia atsako į užklausas. Jei jis pats užmezga ryšius su nežinomais tikslais, tai gali reikšti užpuolikų valdymą ar duomenų nutekėjimą. Kaip tikrinti ir riboti išeinantį srautą.
- [Svetimų administratoriaus paskyrų radimas CMS ir serveryje](https://phpsos.de/lt/blog/fremde-admin-konten-finden/): Nežinomas administratorius dažnai yra paprasčiausios užpakalinės durys. Kaip lygmuo po lygmens ieškoti svetimų paskyrų, taip pat tų, kurias sąsaja slepia.
- [Nežinomų SSH raktų radimas ir šalinimas](https://phpsos.de/lt/blog/ssh-schluessel-pruefen/): Įterptas SSH raktas atveria užpuolikams duris net pakeitus visus slaptažodžius. Kaip rasti kiekvieną authorized_keys failą ir patikrinti kiekvieną įrašą.
- [Kriptokasėjas žiniatinklio serveryje: požymiai ir veiksmai](https://phpsos.de/lt/blog/kryptominer-auf-dem-server/): Nuolat pilnas procesorius, nors lankytojų nedaugėja: tai gali būti kriptokasėjas. Kaip patikrinti apkrovą, rasti procesą ir jo paleidimo iš naujo mechanizmus bei elgtis tvarkingai.
- [Serveris siunčia šlamštą: kaip rasti priežastis](https://phpsos.de/lt/blog/server-verschickt-spam/): Neįteikiami laiškai, juodieji sąrašai, skundai: kai pats serveris siunčia šlamštą, už to dažniausiai slypi skriptas arba užgrobta pašto dėžutė. Kaip rasti šaltinį.
- [SEO šlamštas ir svetimi puslapiai Google indekse](https://phpsos.de/lt/blog/seo-spam-im-google-index/): Staiga jūsų domene aukštai rodomi puslapiai apie vaistus ar prekių ženklų kopijas. Sužinokite, iš kur atsirado SEO šlamštas, ir kaip jį pašalinti iš indekso.
- [Svetainė nukreipia į svetimus puslapius](https://phpsos.de/lt/blog/website-leitet-um/): Lankytojai patenka į loterijas ar abejotinas parduotuves, o jūs patys nieko nematote? Sužinokite, kuriame sluoksnyje slypi nukreipimas, ir kaip jį pašalinti.
- [Išsaugokite įrodymus, prieš iš naujo įdiegdami serverį](https://phpsos.de/lt/blog/beweise-sichern-vor-neuinstallation/): Naujas įdiegimas pašalina užpuoliką, bet ir visus pėdsakus. Kas prieš tai skiria valandą įrodymų išsaugojimui, vėliau gali pasakyti, kas įvyko.
- [Incidento laiko juostos sudarymas](https://phpsos.de/lt/blog/zeitleiste-eines-vorfalls/): Kada atėjo užpuolikas, ką jis darė, kada tai pastebėta? Tvarkinga laiko juosta atsako į šiuos klausimus ir yra pranešimų, draudimo ir ataskaitos pagrindas.
- [CMS branduolio failų palyginimas su originalu](https://phpsos.de/lt/blog/cms-kerndateien-vergleichen/): Palyginimas su švariu originalu parodo kiekvieną pakeistą failą, nepriklausomai nuo to, ar skeneris jį pažįsta. Taip sukuriate palyginimą WordPress, Composer projektams ir sistemos paketams.
- [Duomenų bazės patikra dėl įterpto kodo](https://phpsos.de/lt/blog/datenbank-auf-schadcode-pruefen/): Kas tikrina tik failus, praleidžia pusę problemos. Sužinokite, kaip skaitymo režimu ir kopijoje peržiūrėti duomenų bazės turinį, nustatymus, trigerius ir paskyras dėl įterpto kodo.
- [Kenkėjiškų programų skeneriai svetainėms: ką jie randa ir ko ne](https://phpsos.de/lt/blog/grenzen-von-malware-scannern/): Skeneris nieko nepraneša, vadinasi, viskas gerai? Nebūtinai. Kokių rūšių svetainių skenerių yra, ką mato kiekvienas ir ko iš principo matyti negali.
- [PHP-FPM baseinų izoliavimas kiekvienai svetainei](https://phpsos.de/lt/blog/php-fpm-pools-isolieren/): Atskiras baseinas kiekvienai svetainei yra pradžia, ne pabaiga. Sužinokite, kaip patikrinti esamus baseinus ir sutvirtinti lizdus, plėtinius, būsenos puslapius, resursus ir žurnalus.
- [memory_limit teisingas nustatymas](https://phpsos.de/lt/blog/memory-limit-richtig-setzen/): memory_limit riboja atmintį vienai PHP užklausai. Po PHP2Shell php.net laikinai pataria priešingai. Kas galioja įprastu režimu, pereinamuoju laikotarpiu ir po atnaujinimo.
- [post_max_size ir upload_max_filesize prasmingas ribojimas](https://phpsos.de/lt/blog/post-max-size-upload-limits/): Įkėlimo ribos veikia trijose vietose: žiniatinklio serveryje, PHP ir programoje. Taip nustatysite reikšmes darniai, taip pat su php.net pereinamosiomis reikšmėmis dėl PHP2Shell.
- [session.upload_progress išjungimas: teisingai ir visam laikui](https://phpsos.de/lt/blog/session-upload-progress-abschalten/): Priemonė nuo CVE-2026-115560 ir viena iš PHP2Shell pereinamųjų priemonių nustatoma greitai. Kad ji išliktų, ji turi būti tinkamoje vietoje, užrakinta ir po kiekvieno atnaujinimo patikrinama iš naujo.
- [expose_php ir Server antraštė: versijų duomenų slėpimas](https://phpsos.de/lt/blog/expose-php-versionsangaben/): PHP, Nginx ir Apache numatytai nurodo savo versijos numerį kiekviename atsakyme. Tai neapsaugo nuo atakų, bet skeneriams suteikia patogų taikinių sąrašą. Sužinokite, kaip tai išjungti ir vis tiek išlaikyti apžvalgą.
- [display_errors off: klaidų išvedimo išjungimas produkcijoje](https://phpsos.de/lt/blog/display-errors-produktion/): Matomi PHP klaidų pranešimai išduoda kelius, duomenų bazių pavadinimus ir versijas. Sužinokite, kaip juos išjungti PHP, karkase ir žiniatinklio serveryje neprarandant klaidų iš akių.
- [php_admin_value: nustatymų užrakinimas nuo perrašymo](https://phpsos.de/lt/blog/php-admin-value-sperren/): Saugumo nustatymas mažai naudingas, jei programa jį vėl pakeičia viena kodo eilute. Su php_admin_value ir php_admin_flag privalomai nustatote reikšmes PHP-FPM ir Apache.
- [Atminties ribų nustatymas su systemd ir cgroups](https://phpsos.de/lt/blog/speichergrenzen-systemd-cgroups/): php.net kaip PHP2Shell pereinamąją priemonę rekomenduoja memory_limit=-1 ir atminties ribą už PHP ribų. Sužinokite, kaip šią ribą nustatyti su systemd ir cgroups, kad vienas darbinis procesas nenutemptų visos paslaugos.
- [Saugi Nginx konfigūracija PHP](https://phpsos.de/lt/blog/nginx-fuer-php-absichern/): Dauguma pažeidžiamumų Nginx sąrankose PHP slypi ne Nginx, o kelių PHP location eilučių. Sužinokite, kaip sukonfigūruoti perdavimą PHP-FPM taip, kad būtų vykdomi tik norimi scenarijai.
- [Saugi Apache konfigūracija PHP](https://phpsos.de/lt/blog/apache-fuer-php-absichern/): Apache lankstus, ir būtent dėl to jautrus neteisingai konfigūracijai. Sužinokite, kaip prijungti PHP per PHP-FPM, uždaryti .htaccess kaip užpakalines duris ir saugiai nustatyti svarbiausias pagrindines parinktis.
- [PHP vykdymo įkėlimų aplankuose draudimas](https://phpsos.de/lt/blog/php-in-uploads-verbieten/): Webshell reikia dviejų dalykų: aplanko, į kurį ją galima įrašyti, ir serverio, kuris ją vykdo. Sužinokite, kaip atimti antrąjį, ir tai kiekviename įrašomame aplanke, o ne tik uploads.
- [Įkėlimo užklausų filtravimas pakraštyje: galimybės ir rizika](https://phpsos.de/lt/blog/upload-anfragen-am-rand-filtern/): Specializuoti autoriai siūlo iki PHP pataisymo tarpiniame serveryje blokuoti įkėlimo užklausas už tikrųjų įkėlimo kelių ribų. Tai gali padėti, bet gali paralyžiuoti ir formas bei užsakymus. Sužinokite, kaip elgtis kontroliuojamai.
- [ModSecurity ir OWASP Core Rule Set naudojimas](https://phpsos.de/lt/blog/modsecurity-owasp-crs/): Sava žiniatinklio programų ugniasienė su ModSecurity ir OWASP Core Rule Set yra nemokama ir galinga, bet ne savaime veikianti. Sužinokite, kaip pasirinkti variklį, pradėti be gedimų ir suderinti taisykles.
- [Fail2ban žiniatinklio serveriams: diegimas](https://phpsos.de/lt/blog/fail2ban-fuer-webserver/): Fail2ban blokuoja adresus, kurie žurnaluose atkakliai krenta į akis. Žiniatinklio serveriams jis turi paruoštus filtrus, o keliomis eilutėmis galima pridėti savų. Sužinokite, kaip jį įrengti neužblokuojant savęs ar klientų.
- [Ugniasienė žiniatinklio serveriui: atverti tik reikalingus prievadus](https://phpsos.de/lt/blog/firewall-fuer-webserver/): Žiniatinklio serveriui į išorę dažniausiai reikia tik dviejų prievadų. Vis dėlto daugelyje serverių internete klausosi duomenų bazės, PHP-FPM ar valdymo sąsajos. Sužinokite, kaip rasti atviras paslaugas ir uždaryti nereikalingas.
- [Automatiniai saugumo atnaujinimai Linux serveriuose](https://phpsos.de/lt/blog/automatische-sicherheitsupdates/): Pasak pranešimų, distribucijos PHP atgalinius pataisų perkėlimus (backport) kartais pateikė jau 2026 m. spalio 21 d., pataisų dieną. Kas naudoja automatinius saugumo atnaujinimus, juos serveryje turėjo greitai. Kad jie veiktų, reikia paleidimų iš naujo, trečiųjų šalių šaltinių ir kontrolės.
- [Least Privilege: žiniatinklio serverio naudotojo teisės](https://phpsos.de/lt/blog/rechte-des-webserver-benutzers/): Įterptas kodas veikia su žiniatinklio serverio naudotojo teisėmis. Ką ši paskyra gali daryti, lemia, kaip toli nueis užpuolikas. Štai kaip apriboti shell, sudo, cron, duomenų bazę ir failų sistemą iki būtino minimumo.
- [Administravimo zonų apsauga per IP, VPN ar papildomą apsaugą](https://phpsos.de/lt/blog/admin-bereiche-abschirmen/): Kodėl svetainės užpakalinė dalis neturi būti pasiekiama visam pasauliui ir kaip ją apsaugoti per IP leidimus, VPN ar išankstinį prisijungimą neužrakinant savęs.
- [TLS ir HTTPS teisingas sukonfigūravimas](https://phpsos.de/lt/blog/tls-https-richtig-konfigurieren/): Kokias TLS versijas ir šifrų rinkinius šiandien turėtų siūlyti žiniatinklio serveris, kuo remiasi rekomendacijos ir kaip patikrinti Nginx, Apache ir išeinančius PHP ryšius.
- [CIS Benchmark ir BSI moduliai žiniatinklio serveriams](https://phpsos.de/lt/blog/cis-benchmarks-bsi-bausteine/): Kokie sutvirtinimo standartai egzistuoja Linux žiniatinklio serveriams, kuo skiriasi CIS Benchmark ir IT-Grundschutz moduliai ir kaip iš jų sukurti tikrinamą reikalavimų rinkinį savo PHP serveriams.
- [Slaptažodžių saugojimas PHP: teisingas password_hash naudojimas](https://phpsos.de/lt/blog/passwoerter-in-php-speichern/): Kaip kūrėjai PHP saugo slaptažodžius su password_hash ir password_verify, parenka tinkamą metodą ir pakeičia senus MD5 ar SHA-1 maišus (hash) neprašydami visų naudotojų atstatyti slaptažodžio.
- [CSRF apsauga PHP programose](https://phpsos.de/lt/blog/csrf-schutz-php/): Kaip kūrėjai PHP programose užkerta kelią Cross-Site Request Forgery: žetonai kiekvienai keičiančiai užklausai, kilmės tikrinimas antraštėje ir SameSite slapukai kaip papildomas sluoksnis.
- [Įvesties patikra ir filtravimas PHP su filter_var](https://phpsos.de/lt/blog/eingaben-validieren-php/): Kaip kūrėjai PHP tikrina įvestį su filter_var, filter_input_array ir leidžiamųjų sąrašais, kurie filtrai pasenę ir kodėl patikra nepakeičia parengtų užklausų (prepared statements) bei išvesties kodavimo.
- [Command Injection PHP prevencija](https://phpsos.de/lt/blog/command-injection-php/): Kaip kūrėjai PHP išvengia Command Injection: sistemines komandas keičia PHP funkcijomis, naudoja proc_open be shell, tikrina argumentus ir randa pavojingas vietas esamame kode.
- [Server-Side Request Forgery (SSRF) PHP prevencija](https://phpsos.de/lt/blog/ssrf-in-php/): Kaip kūrėjai užkerta kelią, kad PHP programa svetimų žmonių vardu nekreiptųsi į vidines sistemas: leidžiamųjų sąrašai, protokolų apribojimas, išspręsto adreso tikrinimas ir tinklo ribos.
- [XML External Entities (XXE) PHP prevencija](https://phpsos.de/lt/blog/xxe-in-php/): Kaip kūrėjai PHP saugiai apdoroja XML: libxml numatytasis elgesys, rizikingos parinktys kaip LIBXML_NOENT, apsauga su entity loader ir LIBXML_NO_XXE bei tipiniai paslėpti XML įėjimai.
- [Type Juggling PHP: laisvi palyginimai kaip saugumo rizika](https://phpsos.de/lt/blog/type-juggling-php/): Kodėl laisvi palyginimai su == PHP gali sukelti saugumo spragų, ką pakeitė PHP 8.0 ir kaip patikimai rašyti palyginimus prisijungimuose, žetonuose ir teisėse.
- [Saugūs atsitiktiniai skaičiai ir žetonai PHP su random_bytes](https://phpsos.de/lt/blog/sichere-tokens-php/): Kaip kūrėjai PHP kuria žetonus slaptažodžio atstatymo nuorodoms, API raktams ir vienkartiniams kodams: kriptografiškai saugūs šaltiniai, pakankamas ilgis, saugojimas kaip maiša (hash) ir ribotas galiojimas.
- [Prisijungimo duomenų ir .env failų teisinga apsauga](https://phpsos.de/lt/blog/env-dateien-schuetzen/): Kaip PHP projektuose apsaugoti duomenų bazės slaptažodžius, API raktus ir kitas paslaptis: .env failai už žiniatinklio šakninio katalogo, užraktai žiniatinklio serveryje, siauros teisės ir tvarkingas pakeitimas po incidento.
- [Viešas .git aplankas: nuvertinamas duomenų nutekėjimas](https://phpsos.de/lt/blog/git-ordner-oeffentlich/): Kodėl per Git paskleistas žiniatinklio šakninis katalogas gali atskleisti visą šaltinio kodą su istorija, kaip tai patikrinti, nedelsiant užrakinti ir diegimą nuolat kurti be .git aplanko.
- [Atsarginių kopijų failai žiniatinklio šakniniame kataloge: .zip, .sql ir .bak](https://phpsos.de/lt/blog/backup-dateien-im-webroot/): Kodėl duomenų bazių išklotinės (dump), archyvai ir atsarginės kopijos viešame kataloge priklauso dažniausiems duomenų nutekėjimams, kaip jas rasti, užrakinti ir išsiaiškinti, ar jos buvo kviečiamos.
- [phpinfo() failai: kodėl jie turi išnykti](https://phpsos.de/lt/blog/phpinfo-dateien-entfernen/): Po PHP2Shell daugelis administratorių greitai sukuria info.php. Kodėl tokie failai yra duomenų nutekėjimas, kaip juos rasti ir kokie tikrinimo būdai geresni.
- [Priklausomybių atnaujinimas: Composer, npm ir papildiniai](https://phpsos.de/lt/blog/abhaengigkeiten-aktuell-halten/): Projektą sudaro trys paketų pasauliai: Composer, npm ir CMS papildiniai. Kaip visus tris išlaikyti atnaujintus su fiksuotu ritmu, aiškia atsakomybe ir bandymais.
- [Saugumo kodo peržiūra PHP projektams](https://phpsos.de/lt/blog/sicherheits-code-review-php/): Kaip komandos tikslingai peržiūri savo PHP kodą dėl saugumo spragų: peržiūrų rūšys, kritinės funkcijos, prasmingi įrankiai ir kontrolinis sąrašas.
- [Saugus žurnalų vedimas: klaidų fiksavimas be duomenų nutekėjimo](https://phpsos.de/lt/blog/sicher-loggen-php/): Žurnalai padeda ieškant klaidų ir forenzikoje, bet greitai patys tampa duomenų nutekėjimu. Ką PHP programos turėtų fiksuoti, ko niekada ir kaip žurnalus apsaugoti.
- [REST API apsauga PHP](https://phpsos.de/lt/blog/rest-api-php-absichern/): Sąsajos dažnai apsaugotos prasčiau nei prieš jas esanti svetainė. Svarbiausios REST API taisyklės PHP, nuo objekto teisių iki užklausų ribojimo.
- [IT paslaugų teikėjų sutartys: aiškiai nustatyti saugumo pareigas](https://phpsos.de/lt/blog/dienstleistervertrag-sicherheit/): PHP2Shell parodė, kaip dažnai neaišku, kas turi taisyti. Kokios saugumo pareigos priklauso sutartims su agentūra, talpinimo ir IT paslaugų teikėju.
- [Užsakomasis duomenų tvarkymas, kai paslaugų teikėjai prieina prie serverių](https://phpsos.de/lt/blog/auftragsverarbeitung-serverzugriff/): Kas išorės žmones įleidžia į serverius su klientų duomenimis, dažniausiai reikalinga duomenų tvarkymo sutartis (AVV). Ko reikalauja BDAR 28 straipsnis ir kaip avarijos atveju prieigas organizuoti laikantis duomenų apsaugos.
- [Pažeidžiamumų valdymas vidutinėms įmonėms](https://phpsos.de/lt/blog/schwachstellenmanagement-mittelstand/): Nė viena vidutinė įmonė negali iškart apdoroti kiekvieno pranešimo. Lengvas ciklas – registravimas, vertinimas, sprendimas ir įrodymai – užtikrina, kad svarbiausi dalykai būtų padaryti pirmiausia.
- [Žinoti, kas veikia: visų svetainių ir serverių inventorius](https://phpsos.de/lt/blog/inventar-websites-server/): Per PHP2Shell daugelis suklupo ne ties pataisa, o ties klausimu, kur apskritai veikia PHP. Štai kaip sudaryti visų svetainių ir serverių inventorių.
- [Pataisų valdymas kaip procesas, o ne gaisrininkų darbas](https://phpsos.de/lt/blog/patch-management-prozess/): Kas taiso tik tada, kai dega, kritiniu atveju praranda laiką. Kaip pataisų valdymo procesas su pastoviomis klasėmis, langais ir įrodymais sujungia rutiną ir avarinį atvejį.
- [Avariniai kontaktai: ką ir kada reikia informuoti?](https://phpsos.de/lt/blog/notfallkontakte-liste/): Kritiniu atveju svarbu, ką pavyksta pasiekti ir kada. Kaip sudaryti IT avarinių kontaktų sąrašą su aktyvavimo priežastimis, pavaduotojais ir duomenimis, kurių reikia kiekvienam skambučiui.
- [Kiek kainuoja įsilaužtas serveris: išlaidų straipsniai](https://phpsos.de/lt/blog/kostenposten-eines-hacks/): Įsilaužtas žiniatinklio serveris sukelia daugiau išlaidų nei remontas. Kokie išlaidų straipsniai atsiranda ir kaip savo skaičiais pagrįsti prevencijos biudžetą.
- [Klientų informavimas po incidento](https://phpsos.de/lt/blog/kunden-nach-vorfall-informieren/): Ar tai pareiga, ar savanoriškas žingsnis: kaip po incidento nuspręsti, ką informuoti, kurie kanalai saugūs ir kaip paruošti klientų aptarnavimą.
- [Tiekimo grandinė internete: agentūra, hostingo teikėjas, papildinių teikėjas](https://phpsos.de/lt/blog/lieferkette-agentur-hoster/): PHP2Shell parodė, kiek grandžių yra tarp pataisos ir jūsų svetainės. Kaip pažinti savo svetainės tiekimo grandinę, ją apsaugoti ir amortizuoti atskirų grandžių sutrikimus.
- [Saugumo sąmoningumas administratoriams ir redaktoriams: Security Awareness žiniatinklio komandoje](https://phpsos.de/lt/blog/sicherheitsbewusstsein-redaktion/): Kas prižiūri svetaines, kasdien sprendžia apie saugumą, dažnai to nepastebėdamas. Kaip apmokyti administratorius ir redaktorius pagal vaidmenį ir be skaidrių mūšio.
- [Avarinės pratybos prie stalo: išžaisti žiniatinklio serverio incidentą](https://phpsos.de/lt/blog/notfalluebung-am-tisch/): Pratybos prie stalo kainuoja vieną popietę ir parodo, ar jūsų avarinis planas veikia. Čia rasite paruoštą scenarijų incidentui PHP žiniatinklio serveryje.
- [ISO 27001 ir TISAX: ką tai reiškia žiniatinklio serveriams](https://phpsos.de/lt/blog/iso-27001-tisax-webserver/): Kas eksploatuoja ISVS pagal ISO 27001 arba turi TISAX žymę, privalo įtraukti ir žiniatinklio serverius. Čia aprašyta, kokius reikalavimus jie liečia ir kokie įrodymai svarbūs po PHP2Shell.
- [VdS 10000: informacijos saugumas mažoms ir vidutinėms įmonėms](https://phpsos.de/lt/blog/vds-10000-kmu/): VdS 10000 yra lengvas informacijos saugumo pagrindas vidutinėms įmonėms. Ko ji reikalauja, kas naujo 2025 m. ir ką tai reiškia svetainėms bei žiniatinklio serveriams.
- [Lessons Learned: tobulėti po incidento](https://phpsos.de/lt/blog/lessons-learned-nach-vorfall/): Po incidento artėja kitas. Struktūrizuotas aptarimas be kaltininkų ieškojimo iš blogos savaitės padaro išmatuojamą pažangą.
- [Pataisyti, išjungti ar laukti? Sprendimo pagalba esant PHP spragai](https://phpsos.de/lt/blog/patchen-abschalten-abwarten/): Esant kritinei PHP spragai atsakingieji turi greitai spręsti. Ši pagalba sutvarko tris variantus, nurodo kriterijus ir parodo, kada laukti yra pateisinama.
- [WAF ar atnaujinimas: kodėl reikia abiejų](https://phpsos.de/lt/blog/waf-oder-update/): Žiniatinklio programų ugniasienė gali sustabdyti atakas, bet neuždaro spragos PHP interpretatoriuje. Kada WAF padeda, kur ji baigiasi ir kaip prasmingai derinti abu.
- [Serverį perkurti ar valyti? Sprendimas po užkrėtimo](https://phpsos.de/lt/blog/neu-aufsetzen-oder-bereinigen/): Po įsilaužimo atviri du keliai: serverį išvalyti arba sukurti iš naujo. Kurie kriterijai lemia ir kodėl eilės tvarka svarbesnė už pasirinkimą.
- [Taisyti pačiam ar kviesti paslaugų teikėją? Sąžiningas svarstymas](https://phpsos.de/lt/blog/selbst-beheben-oder-dienstleister/): Ne kiekvienai saugumo situacijai reikia išorinės pagalbos. Su šiais kriterijais ir trumpa savitikra nuspręsite, ar jūsų komanda PHP2Shell įveiks pati, ar reikia paramos.
- [IT saugumo paslaugų teikėjo pasirinkimas: 12 klausimų prieš užsakymą](https://phpsos.de/lt/blog/sicherheitsdienstleister-auswaehlen/): Skubant rasti gerą saugumo paslaugų teikėją sunku. Šie dvylika klausimų padeda dalykiškai palyginti pasiūlymus nepasiduodant reklaminiams pažadams.
- [Valdomas hostingas ar savas serveris? Saugumo palyginimas](https://phpsos.de/lt/blog/managed-oder-eigener-server/): PHP2Shell buvo kiekvieno veikimo modelio streso testas. Palyginimas parodo, kada saugesnis valdomas hostingas, kada savas serveris ir kurie mišrūs variantai pasiteisina.
- [PHP atnaujinimas ar backport? Sprendimas senoms sistemoms](https://phpsos.de/lt/blog/php-upgrade-oder-backport/): Senoms PHP versijoms po PHP2Shell yra keli keliai: distribucijos backport, trečiasis šaltinis, šaltinio pataisa, ilgalaikė pagalba ar atnaujinimas. Ko vertas kiekvienas kelias ir kiek laiko jis išlaiko.
- [Po įsilaužimo keisti CMS? Kada tai padeda ir kada ne](https://phpsos.de/lt/blog/cms-wechsel-nach-hack/): Po įsilaužimo pasitikėjimas CMS dažnai dingsta. Tačiau nauja sistema retai išsprendžia tikrąją priežastį. Kada keitimas prasmingas ir kaip jį atlikti švariai.
- [Statinės svetainės: mažiau PHP, mažesnis atakos paviršius](https://phpsos.de/lt/blog/statische-website-alternative/): Statinė svetainė pateikia paruoštus HTML failus ir serveryje nereikalauja PHP. Tai gerokai sumažina atakos paviršių, bet turi savų ribų ir pareigų.
- [Pentestas, Bug Bounty ar pažeidžiamumų skenavimas? Pasirinkti tinkamą patikros būdą](https://phpsos.de/lt/blog/pentest-bugbounty-scan/): Skenavimas, įsilaužimo testas ir Bug Bounty tikrina svetaines labai skirtingai. Ką duoda kiekvienas būdas, kur nepavyksta ir kokia eilės tvarka tinka jūsų įmonei.