Trumpai: Valdomame serveryje teikėjas perima dalį saugumo darbų, paprastai operacinę sistemą, PHP paketus ir standartines tarnybas. Programa, įskiepiai, prieigos ir duomenų apsaugos atsakomybė dažniausiai lieka jums. Po PHP2Shell abu dalykus išsiaiškinkite raštu: ką teikėjas jau padarė ir kas dar yra jūsų?
Ką reiškia „valdomas“ ir ko nereiškia
Ši sąvoka nėra saugoma. Vienas teikėjas ją supranta tik kaip operacinės sistemos atnaujinimų diegimą, kitas prižiūri ir žiniatinklio serverį, PHP, duomenų bazę bei atsargines kopijas. Kai kuriuose tarifuose yra visą parą veikianti stebėsena, kituose tik kontaktinis asmuo darbo valandomis.
Būtent tokioje padėtyje kaip PHP2Shell paaiškėja, kiek tiksliai parengtas paslaugos aprašymas. Abu pažeidžiamumai, CVE-2026-109618 ir CVE-2026-109619, yra pačiame PHP. Ar jūsų teikėjas PHP prižiūri kaip savo platformos dalį, ar PHP laikomas „jūsų programine įranga“, nurodyta sutartyje. Nesiremkite prielaida, kad kažkas tikrai pasirūpins.
Valdomo serverio sauga: tipinis užduočių pasiskirstymas
Toliau pateiktoje lentelėje parodytas dažnas pasiskirstymas. Ji nepakeičia jūsų sutarties peržiūros, bet padeda užduoti tinkamus klausimus.
| Sritis | Dažniausiai pas teikėją | Dažniausiai pas jus |
|---|---|---|
| Techninė įranga, tinklas, virtualizacija | taip | ne |
| Operacinės sistemos atnaujinimai | taip | ne |
| PHP paketai iš platformos | dažnai | jei įdiegėte patys |
| PHP-FPM ir žiniatinklio serverio paleidimas iš naujo | dažnai | savoms tarnyboms |
| Visam serveriui galiojanti PHP konfigūracija | dažnai | esant ypatingiems pageidavimams |
| CMS, parduotuvė, įskiepiai, savas kodas | ne | taip |
| Programos administratorių paskyros | ne | taip |
| Atsarginės kopijos | dažnai | atkūrimo patikra |
| Duomenų saugumo pažeidimų vertinimas ir pranešimas | ne | taip |
| Atakų stebėsena | pagal tarifą | pagal tarifą |
Neaiškūs laukai ir yra tikroji rizika. Kur turėtumėte įrašyti „pagal tarifą“ ar „dažnai“, tvarkos nėra.
Kokius klausimus dabar užduoti
Nusiųskite teikėjui trumpą, dalykišką užklausą. Paprašykite atsakymo tekstine forma, kad vėliau galėtumėte ją pateikti. Joje turėtų būti šie punktai:
- Kokios PHP versijos veikia mūsų serveryje ir ar jos apsaugotos nuo CVE-2026-109618 ir CVE-2026-109619?
- Nuo kada tai galioja ir ar po to visi PHP procesai bei žiniatinklio serveris buvo paleisti iš naujo?
- Ar pataisa įdiegta kaip backport? Jei taip, kuri paketo versija tai įrodo?
- Ar buvo požymių apie bandymus pulti ar įtartinų procesų mūsų serveryje?
- Ar žiniatinklio serverio žurnalai saugomi nuo 2026-10-20 ir kaip juos gauti?
Parengtą šabloną rasite puslapyje Paklauskite hostingo teikėjo apie pataisų būseną. Versijos numeris kliento meniu nėra įrodymas: esant backport jis dažnai lieka nepakitęs, pavyzdžiui, 8.2.34.
Net jei teikėjas PHP pataisė, jūsų programą vis tiek reikia patikrinti. Pataisa nepašalina kenkėjiškos programinės įrangos, įterptos prieš atnaujinimą, ir neįrodo, kad nieko neįvyko.
Kas lieka jums
Jūsų dalis apima visų pirma programą. Patikrinkite, ar CMS, parduotuvė ir įskiepiai atnaujinti, pašalinkite nebenaudojamus plėtinius ir peržiūrėkite administratorių sąrašą. Atkreipkite dėmesį į naujus failus įkėlimų aplankuose, svetimus peradresavimus ir neįprastas suplanuotas užduotis programoje.
Prisideda ir teisinė pusė. Jei incidento metu asmens duomenys patenka į svetimas rankas, pranešti paprastai privalo jūsų įmonė kaip duomenų valdytojas, o ne teikėjas. Teikėjas kaip duomenų tvarkytojas turi nedelsdamas jus informuoti. Pagrindus paaiškina BDAR pranešimo pareiga: 72 valandos. Tai bendra informacija, o ne teisinė konsultacija; konkretų atvejį vertina duomenų apsaugos pareigūnai ar advokatai.
Dar vienas dalykas dažnai pamirštamas: programinė įranga, kurią jūs ar jūsų agentūra patys įdiegėte valdomame serveryje, pavyzdžiui, papildoma PHP versija iš trečiosios šalies šaltinio, konteineris ar pagalbinė programa, dažniausiai nepatenka į teikėjo priežiūrą. Todėl paklauskite ir to, ar teikėjui žinoma, kas veikia greta standartinės įrangos. Ir išsiaiškinkite, kas įtarimo atveju perima tyrimą. Daug teikėjų atkuria platformą, bet netiria, ar ir kokie duomenys buvo paveikti. Būtent šio atsakymo jums reikia vertinant galimas pranešimo pareigas.
Pagerinkite sutartis ateičiai
Pasinaudokite padėtimi ir užfiksuokite užduočių pasiskirstymą. Prasminga sutarti dėl saugumo atnaujinimų, įskaitant paleidimą iš naujo, informavimo apie kritinius pažeidžiamumus, žurnalų saugojimo bei išdavimo ir pagalbos incidentų metu. Paklauskite ir to, ar teikėjas jus informuoja aktyviai, ar patys turite teirautis.
Alternatyva yra savas serveris be priežiūros, bet tuomet visas darbas perkeliamas jums. Ką tai reiškia, aprašo Root serverio ir vServerio apsauga savarankiškai.
Kaip PHP SOS padeda konkrečiai?
- Perskaitome jūsų paslaugos aprašymą ir sudarome užduočių matricą, kuri parodo spragas.
- Suformuluojame technines užklausas jūsų teikėjui ir įvertiname jo atsakymus.
- Tikriname jūsų pusėje esančią programos dalį dėl pėdsakų ir pasenusių komponentų.
- To, ko teikėjas neapima, pageidaujant perimame pagal saugumo priežiūros sutartį arba papildome saugumo stebėsena.
Dažni klausimai
Ar valdomame serveryje viskas automatiškai apsaugota?
Ne. „Valdomas“ reiškia, kad teikėjas perima tam tikras sutartyje nustatytas užduotis, dažniausiai operacinę sistemą ir standartines tarnybas. Programa, įskiepiai, prieigos ir sava programinė įranga dažnai lieka jums.
Kur nurodyta, už ką atsako mano teikėjas?
Paslaugos aprašyme ir sutarties sąlygose, dažnai ir atskirame užduočių pasiskirstymo dokumente. Jei tvarkomi asmens duomenys, prisideda duomenų tvarkymo sutartis. Jei saugumo atnaujinimams nėra aiškios tvarkos, paklauskite raštu.
Ar turiu ką nors daryti dėl PHP2Shell, nors turiu valdomą serverį?
Taip. Gaukite patvirtinimą, kad visos PHP versijos pataisytos, o procesai paleisti iš naujo. Be to, patikrinkite savo programą dėl pėdsakų ir išsiaiškinkite, ar yra pranešimo pareiga.
Kas praneša apie duomenų saugumo pažeidimą, jei buvo paveiktas hostingo teikėjas?
Priežiūros institucijai pranešti paprastai privalo duomenų valdytojas, t. y. jūsų įmonė. Hostingo teikėjas kaip duomenų tvarkytojas turi nedelsdamas jus informuoti. Konkretų atvejį leiskite įvertinti savo duomenų apsaugos pareigūnui.