Trumpai: Svetainės priežiūros sutartis su saugumo akcentu užtikrina, kad atnaujinimai, atsarginės kopijos ir stebėsena nepriklausytų nuo atsitiktinumo. Nuolat prižiūrime jūsų svetaines ir PHP serverius, išlaikome naujausią būklę, bandome atkūrimą ir reaguojame pagal sutartą eigą, kai paaiškėja nauja spraga. Reguliariai gaunate suprantamą ataskaitą.
Kodėl saugumas turi priklausyti svetainės priežiūros sutarčiai
Daugelis priežiūros sutarčių apima CMS atnaujinimus ir ties tuo baigiasi. PHP2Shell parodė, kad to nepakanka: spragos CVE-2026-109618 ir CVE-2026-109619 glūdi pačiame PHP, o ne CMS. WordPress ar Shopware atnaujinimas jų neuždaro. Kas prižiūri tik CMS, tikrosios grėsmės nemato.
Be to, svarbus laiko veiksnys. Tarp išankstinio php.net pranešimo 2026 m. spalio 20 d. ir pataisų paskelbimo spalio 21 d. praėjo diena, o pagal žiniasklaidos pranešimus pirmas stebėtas atakos bandymas buvo jau spalio 17 d. Tokiose situacijose padeda tik iš anksto nustatyta eiga ir žmogus, turintis prieigą ir žinantis, kurios sistemos paveiktos. Kas tik kritiniu atveju ieško prieigos duomenų, skambina paslaugų teikėjams ir aiškinasi atsakomybes, praranda būtent tą laiką, kurį naudoja užpuolikai.
Dar vienas dažnai nuvertinamas dalykas: atsarginės kopijos, kurios niekada nebuvo atkurtos, yra pažadas be įrodymo. Tik atkūrimo bandymas parodo, ar kopija išsami ir kiek laiko tikrai trunka grįžimas į veiklą.
Kam apsimoka saugumo priežiūros sutartis
Priežiūros sutartis su saugumo akcentu labiausiai tinka įmonėms, kurių svetainė ar parduotuvė yra verslui kritinė, bet kurios neturi savo serverių ir PHP administravimo. Tipiški pavyzdžiai: internetiniai prekeiviai, praktikos, advokatų kontoros ir vidutinės įmonės su klientų portalais, taip pat viešosios įstaigos su keliomis internetinėmis svetainėmis.
Ji prasminga ir tada, kai atsakomybė šiandien paskirstyta daugeliui pečių: agentūra sukūrė svetainę, talpintojas teikia serverį, buvęs darbuotojas žinojo prieigas. Tokiose situacijose esant padėčiai kaip PHP2Shell greitai paaiškėja, kad niekas aiškiai neatsakingas. Sutartis sukuria pastovią vietą, kuri žino ir gali veikti.
Vienai mažai svetainei be formų ar klientų duomenų gali pakakti lengvesnės apimties. Tai išsiaiškiname inventorizacijos metu.
Ką apima saugumo priežiūros sutartis
- Atnaujinimai: operacinė sistema, žiniatinklio serveris, PHP, CMS, plėtiniai ir priklausomybės pagal nustatytą ritmą ir papildomai esant kritinėms spragoms
- Paleidimas iš naujo ir įrodymas: po PHP atnaujinimų visų darbinių procesų (worker) paleidimas iš naujo su kontrole, kad neveikia seni procesai
- Atsarginės kopijos: pagal 3-2-1 taisyklę, su reguliariu atkūrimo bandymu. Pagrindai pateikti puslapyje Atsarginės kopijos pagal 3-2-1 taisyklę.
- Stebėsena: failų vientisumas, prisijungimai, procesai ir žurnalai, kaip aprašyta puslapyje Saugumo stebėsena žiniatinklio serveriams
- Gyvavimo ciklas: ankstyvas planavimas, kol PHP versija nepasiekė palaikymo pabaigos, pavyzdžiui, PHP 8.2 2026 m. gruodžio 31 d.
- Avarinė eiga: suderinti žingsniai kritiniam atvejui, prieigos ir kontaktiniai asmenys, kurie incidento metu iš karto žinomi
- Ataskaita: reguliari santrauka su įdiegtais atnaujinimais, įvykiais ir rekomendacijomis
Kas už ką atsakingas?
Daug saugumo spragų atsiranda ne techniškai, o organizaciškai: kiekvienas galvoja, kad kažkas kitas pasirūpins. Todėl atsakomybes užfiksuojame raštu. Tipiškas pavyzdys:
| Užduotis | Talpintojas | Agentūra | PHP SOS | Jūs |
|---|---|---|---|---|
| Aparatinė įranga, tinklas, duomenų centras | taip | |||
| Operacinės sistemos ir PHP atnaujinimai | pagal sutartį | taip | ||
| CMS ir plėtiniai | taip | pagal susitarimą | ||
| Turinys ir naudotojų paskyros | taip | |||
| Stebėsena ir avarinė eiga | taip | patvirtinimai |
Tikrasis pasiskirstymas priklauso nuo jūsų sutarčių. Ypač su valdomais (managed) serveriais verta atidžiai pažiūrėti, ką teikėjas iš tikrųjų perima, žr. Valdomas serveris: atsakomybės išaiškinimas. Agentūros su daug klientų svetainių tinkamą modelį ras puslapyje Saugumo partneris agentūroms.
Kaip PHP SOS padeda konkrečiai?
- Inventorizacija: Surašome visas svetaines, serverius, versijas, prieigas, atsargines kopijas ir esamas sutartis.
- Pirminė apsauga: Neįdiegti atnaujinimai ir žinomi pažeidžiamumai pirmiausia uždaromi, prieš prasidedant nuolatinei priežiūrai.
- Susitarimas: Raštu užfiksuojame apimtį, ritmą, atsakomybes ir avarinę eigą, taip pat klausimą, kada su jumis konsultuojamasi prieš pakeitimus.
- Nuolatinė priežiūra: Atnaujinimai, atsarginės kopijos, stebėsena ir ataskaitos pagal planą, esant kritinėms spragoms papildomai pagal sutartą avarinę eigą.
- Kasmetinė peržiūra: Kartu tikriname, ar sutartis tebetinka jūsų sistemų aplinkai.
Ko mums reikia ir ko neapsiimame
Mums reikia nuolatinių administravimo prieigų, sprendimų teisę turinčio kontaktinio asmens, kontakto su talpintoju ir agentūra bei informacijos apie planuojamus jūsų programų pakeitimus. Prieigas valdome atskirai kiekvienam klientui ir dokumentuojame, kas turi prieigą. Jei planuojate sistemų pakeitimus, pavyzdžiui, naują parduotuvę, dar vieną svetainę ar talpintojo keitimą, pranešite mums anksti, kad atnaujinimai, atsarginės kopijos ir stebėsena augtų kartu.
Neapsiimame, kad jūsų sistemos niekada nebus užpultos. Priežiūros sutartis mažina riziką ir užtikrina, kad kritiniu atveju būtų veikiama greitai ir tvarkingai. Kainų ir reagavimo laikų nenurodome bendrai, o nustatome pasiūlyme po inventorizacijos. Kaip papildomai organizaciškai pasiruošti kritiniam atvejui, aprašo IT avarinio plano žiniatinklio serveriams parengimas.
Dažni klausimai
Kas turi būti svetainės priežiūros sutartyje su saugumo akcentu?
Bent jau serverio, PHP, CMS ir plėtinių atnaujinimai, reguliarios atsarginės kopijos su atkūrimo bandymu, saugumo stebėsena ir aiški avarinių atvejų tvarka. Svarbu raštu užfiksuoti ir tai, kas už ką atsakingas.
Ar priežiūros sutartis pakeičia mano agentūrą ar talpintoją?
Nebūtinai. Dažnai dirbame kartu su agentūra ir talpintoju ir perimame saugumo dalį. Svarbu, kad atsakomybės būtų paskirstytos be spragų ir niekas nelaukų tarp dalyvių.
Kas vyksta paaiškėjus kritinei spragai, tokiai kaip PHP2Shell?
Tuomet tikriname, kurios jūsų sistemos paveiktos, diegiame atnaujinimus pagal sutartą eigą arba taikome pereinamąsias priemones ir informuojame jus apie būklę. Kaip greitai tai vyksta, kartu nustatome sutartyje.
Ar yra fiksuota kaina?
Apimtis priklauso nuo jūsų sistemų skaičiaus ir rūšies. Po inventorizacijos parengiame pasiūlymą, tiksliai aprašantį, kas įeina.