Īsi sakot: Drošības ievainojamība pašvaldības vietnē ir incidents ar sabiedrības uzmanību. Noskaidrojiet, kas darbina serveri, likiet apstiprināt PHP ielāpu un pārstartēšanu un sagatavojiet ārkārtas lapu gadījumam, ja vietne uz laiku jāatvieno no tīkla. Komunikācijai ar iedzīvotājiem un presi jābūt saskaņotai, pirms nāk jautājumi.
Kādas PHP sistēmas pašvaldības parasti darbina
Daudzas pašvaldību interneta vietnes darbojas uz TYPO3, līdzās tam uz citām PHP sistēmām. Ap galveno vietni rodas citas lietojumprogrammas: tiešsaistes veidlapas iesniegumiem un reģistrācijām, bojājumu paziņošanas rīki, pasākumu kalendāri, iedzīvotāju līdzdalība, vakanču portāli, pirmsskolas rindas, tūrisma lapas, bibliotēku katalogi un atsevišķu iestāžu vietnes, piemēram, mūzikas skolas vai komunālo uzņēmumu.
Dažas no šīm lietojumprogrammām darbina pati pašvaldība, citas pašvaldību datu centrs, pašvaldību apvienība vai specializēto procesu ražotājs. Kas grib aizvērt ievainojamību PHP, vispirms jāzina, kuras lietojumprogrammas uz kuru serveriem darbojas.
Mazākām pašvaldībām bieži nav savas IT nodaļas. Tur vietni blakus pienākumiem kopj kāds galvenās pārvaldes darbinieks, tehnika ir pie aģentūras, un līgumi nāk no laika, kad neviens nedomāja par kritiskām ievainojamībām programmēšanas valodā. Lielākām pilsētām ir pretējā problēma: tik daudz iestāžu, projektu un iestāžu vietņu, ka pilnu sarakstu zina vien daži.
Kas pašvaldību vietnēs ir uz spēles
Veidlapās un portālos atrodas iedzīvotāju dati: adreses, dzimšanas dati, ziņas par bērniem pirmsskolas un skolas reģistrācijā, foto un atrašanās vietas bojājumu paziņojumos, pieteikumi. Publiskajām iestādēm ir spēkā VDAR un federālo zemju datu aizsardzības likumi, atbildīga parasti ir zemes datu aizsardzības uzraudzības iestāde.
Vismaz tikpat smaga ir integritāte: pašvaldības vietne ir oficiāls avots. Manipulēts saturs, viltoti paziņojumi vai pāradresācijas uz krāpnieciskām lapām pilsētas vārdā bojā uzticību tālu aiz tehniskā zaudējuma robežām.
Pašvaldību domēniem ir iedzīvotāju un meklētājprogrammu uzticība. Tieši tas padara tos pievilcīgus uzbrucējiem: kā surogātpasta sūtītājus, krāpniecisku lapu glabātuves vai viltotu ziņu platformas, piemēram, par vēlēšanām, nelaikiem vai nodevām.
Pašvaldība un vietnes drošības ievainojamība: kurš ko lemj?
| Loma | Tipiskais uzdevums incidentā |
|---|---|
| Pašvaldības datu centrs vai IT pakalpojumu sniedzējs | Serveris, PHP pakotnes, pārstartēšana, tīkla atdalīšana |
| Galvenā pārvalde vai IT koordinācija | Kopējā vadība, uzdevumu došana, ārkārtas rīcības plāns |
| Preses nodaļa | Iedzīvotāju un mediju informēšana |
| Iestādes datu aizsardzības speciālists | Ziņošanas pienākuma vērtēšana |
| Tīmekļa aģentūra | CMS, paplašinājumi, saturs |
Sprauga bieži rodas starp datu centru un aģentūru: datu centrs darbina serveri, aģentūra kopj TYPO3, un katra puse pieņem, ka par PHP rūpējas otra. TYPO3 atjauninājums PHP2Shell neaizver.
BSI situāciju ir novērtējis ar 3. brīdinājuma līmeni / oranžs un iesaka nekavējoties atjaunināt. Ja pašvaldības tīmekļa serveri nevar ielāpot nekavējoties, uz laiku atvienojiet to no tīkla un ieslēdziet statisku ārkārtas lapu.
Pirmās stundas administrācijā
- Uzskaitīt visas vietnes un specializētās lietojumprogrammas ar tīmekļa piekļuvi, ieskaitot iestādes un tūrismu.
- Pie katra darbinātāja likt rakstiski apstiprināt: PHP uz 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 vai ieviests backport, visi procesi pārstartēti.
- Neapstiprinātas sistēmas atvienot no tīkla vai līdz ielāpam nodrošināt ar virtuālo ielāpošanu. Cloudflare norāda, ka noteikumi, kas balstīti tikai uz pieprasījuma datiem, nepietiek; tas ir tilts, nevis aizstājējs.
- Saglabāt žurnālus no 20.10.2026.
- Informēt preses nodaļu un datu aizsardzības speciālistu un saskaņot lietišķu formulējumu. Palīdzību piedāvā lapa par krīzes komunikāciju.
Ko BSI iesaka sīkāk, apkopo lapa BSI ieteikumi par PHP2Shell. Jautājumus par iepirkumu un ārkārtas uzdevumu došanu noskaidrojiet pēc savas iekšējās kārtības.
Profilakse: ārkārtas lapa, inventārs un aizvietošana
Nākamā kritiskā ievainojamība noteikti pienāks. Trīs sagatavošanās pasākumi tad ietaupa stundas: gatava statiska ārkārtas lapa ar tālruņu numuriem, darba laikiem un norādēm steidzamiem jautājumiem, ko var piegādāt bez PHP. Uzturēts visu tīmekļa lietojumprogrammu inventārs ar darbinātāju, kontaktpersonu un līguma pamatu. Un aizvietošanas kārtība, lai lēmumus, piemēram, par vietnes izslēgšanu, varētu pieņemt arī vakaros un nedēļas nogalēs.
Šie punkti pieder pašvaldības IT ārkārtas rīcības plānam. Pašvaldību uzņēmumiem, komunālajiem uzņēmumiem un iestādēm ar savām vietnēm tajā vajadzētu būt skaidri minētiem, jo citādi tie inventarizācijā pietrūkst.
Kā PHP SOS palīdz konkrēti?
- Mēs atbalstām jūsu IT koordināciju inventāra veidošanā un kopā ar datu centru, ražotājiem un aģentūru noskaidrojam, kurš kuru sistēmu ielāpo.
- Kur darbināt paši, mēs ar PHP ielāpu pakalpojumu uzņemamies atjauninājumu, pārstartēšanu un rakstisku apliecinājumu.
- Aizdomu gadījumā par kompromitāciju mēs saglabājam pēdas un pārbaudām saturu uz manipulācijām, pirms vietne atkal iet tiešsaistē.
- Mēs dokumentējam norisi tā, lai datu aizsardzības speciālists, administrācijas vadība un revīzijas iestāde to varētu izsekot.
Biežāk uzdotie jautājumi
Vai mēs drīkstam pagasta vietni vienkārši izslēgt?
BSI (Vācijas Federālais informācijas drošības birojs) iesaka tīmekļa serverus uz laiku atvienot no tīkla, ja atjaunināšana nav iespējama nekavējoties. Pašvaldībām piemērota ir statiska ārkārtas lapa ar svarīgākajiem sazināšanās ceļiem. Kas to iekšēji drīkst lemt, vajadzētu būt norādītam ārkārtas rīcības plānā.
Vai domes informācijas sistēma ir skarta?
Tas atkarīgs no tehnikas un darbības. Domes informācijas sistēmas un tiešsaistes pakalpojumus bieži darbina specializēto procesu ražotāji vai pašvaldību datu centri. Tur konkrēti pajautājiet par PHP izmantošanu, ielāpa stāvokli un pārstartēšanu.
Kura datu aizsardzības iestāde ir atbildīga par pašvaldībām?
Par federālo zemju un pašvaldību publiskajām iestādēm parasti atbild attiecīgās federālās zemes datu aizsardzības uzraudzības iestāde. Līdzās tam ir spēkā federālo zemju datu aizsardzības likumi. Jūsu iestādes datu aizsardzības speciālists zina ziņošanas ceļus.