Fil-qosor: Vulnerabbiltà fuq il-websajt ta' muniċipalità hija inċident bi dwal pubbliku. Iċċaraw min iħaddem is-server, ħallu l-patch ta' PHP u r-restart jiġu kkonfermati u żommu paġna ta' emerġenza lesta f'każ li l-preżenza trid titneħħa temporanjament min-netwerk. Il-komunikazzjoni miċ-ċittadini u l-istampa għandha tkun ikkoordinata qabel ma jaslu l-mistoqsijiet.
Liema sistemi tal-PHP ġeneralment iħaddmu l-muniċipalitajiet
Ħafna preżenzi muniċipali fuq l-internet jaħdmu fuq TYPO3, u oħrajn fuq sistemi tal-PHP oħra. Madwar il-preżenza ewlenija jinbtu applikazzjonijiet oħra: formoli online għal applikazzjonijiet u reġistrazzjonijiet, rapporti ta' difetti, kalendarji tal-avvenimenti, parteċipazzjoni taċ-ċittadini, portals tal-impjiegi, reġistrazzjoni għall-kindergarten, paġni tat-turiżmu, katalgi tal-bibljoteki u websajts ta' istituzzjonijiet individwali bħall-iskola tal-mużika jew l-utilitajiet muniċipali.
Xi wħud minn dawn l-applikazzjonijiet iħaddimhom il-muniċipalità stess, oħrajn ċentru tad-data muniċipali, assoċjazzjoni ta' skop speċifiku jew manifattur ta' proċeduri speċjalizzati. Min irid jagħlaq vulnerabbiltà f'PHP irid l-ewwel ikun jaf fuq is-servers ta' min taħdem liema applikazzjoni.
Muniċipalitajiet iżgħar ħafna drabi m'għandhomx dipartiment tal-IT proprju. Hemmhekk impjegat tal-uffiċċju ewlieni jieħu ħsieb il-preżenza biss bħala xogħol sekondarju, it-teknoloġija tinsab għand aġenzija, u l-kuntratti ġejjin minn żmien meta ħadd ma ħaseb f'vulnerabbiltajiet kritiċi fil-lingwa tal-ipprogrammar. Bliet akbar għandhom il-problema opposta: tant preżenzi ta' dipartimenti, proġetti u istituzzjonijiet li bilkemm xi ħadd jaf il-lista sħiħa.
X'inhu f'riskju fuq websajts muniċipali
Fil-formoli u l-portals tinsab data taċ-ċittadini: indirizzi, dati tat-twelid, dettalji dwar it-tfal fir-reġistrazzjonijiet għall-kindergarten u l-iskola, ritratti u postijiet fir-rapporti ta' difetti, applikazzjonijiet. Għall-entitajiet pubbliċi japplikaw il-GDPR u l-liġi tal-protezzjoni tad-data tal-Land, u ġeneralment hija responsabbli l-awtorità tal-protezzjoni tad-data tal-Land.
Mill-inqas daqshekk jiżen l-integrità: il-preżenza ta' muniċipalità hija sors uffiċjali. Kontenut manipulat, avviżi uffiċjali foloz jew ridirezzjonijiet lejn paġni ta' frodi f'isem il-belt jagħmlu ħsara lill-fiduċja ferm lil hinn mill-ħsara teknika.
Id-dominji muniċipali jgawdu fiduċja miċ-ċittadini u mill-magni tat-tiftix. Eżattament dan jagħmilhom attraenti għall-attakkanti: bħala mittenti tal-ispam, bħala ħażna għal paġni ta' frodi jew bħala pjattaforma għal aħbarijiet foloz, pereżempju dwar elezzjonijiet, maltempati jew tariffi.
Muniċipalità u vulnerabbiltà fil-websajt: min jiddeċiedi x'inhu?
| Rwol | Kompitu tipiku fl-inċident |
|---|---|
| Ċentru tad-data muniċipali jew fornitur tal-IT | Server, pakketti PHP, restart, separazzjoni tan-netwerk |
| Uffiċċju ewlieni jew koordinazzjoni tal-IT | Tmexxija ġenerali, kummissjoni, pjan ta' emerġenza |
| Uffiċċju tal-istampa | Informazzjoni liċ-ċittadini u lill-midja |
| Uffiċjal tal-protezzjoni tad-data tal-amministrazzjoni | Valutazzjoni tal-obbligu ta' notifika |
| Aġenzija tal-web | CMS, estensjonijiet, kontenut |
Il-lakuna ħafna drabi tinqala' bejn iċ-ċentru tad-data u l-aġenzija: iċ-ċentru tad-data iħaddem is-server, l-aġenzija żżomm TYPO3, u kull naħa tassumi li l-oħra tieħu ħsieb PHP. Aġġornament ta' TYPO3 ma jagħlaqx PHP2Shell.
Il-BSI vvaluta s-sitwazzjoni b'livell ta' twissija 3 / oranġjo u jirrakkomanda aġġornament immedjat. Jekk server tal-web muniċipali ma jistax jiġi ppatchjat immedjatament, neħħuh temporanjament min-netwerk u attivaw paġna statika ta' emerġenza.
L-ewwel sigħat fl-amministrazzjoni
- Elenkaw il-preżenzi kollha u l-applikazzjonijiet speċjalizzati b'aċċess web, inklużi istituzzjonijiet u t-turiżmu.
- Ħallu lil kull operatur jikkonferma bil-miktub: PHP fuq 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 jew backport ġie applikat, il-proċessi kollha tqabbdu mill-ġdid.
- Sistemi mhux ikkonfermati neħħuhom min-netwerk jew issiguruhom sal-patch b'patching virtwali. Cloudflare jindika li regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed; dan huwa pont, mhux sostitut.
- Żommu l-logs mill-20/10/2026 'il quddiem.
- Informaw l-uffiċċju tal-istampa u l-uffiċjal tal-protezzjoni tad-data u kkoordinaw linja fattwali tal-kliem. Tgħin il-paġna dwar il-komunikazzjoni fi kriżi.
X'jirrakkomanda l-BSI fid-dettall jiġbru l-paġna Rakkomandazzjonijiet tal-BSI dwar PHP2Shell. Mistoqsijiet dwar l-akkwist u l-kummissjoni ta' emerġenza tiċċarawhom skont ir-regoli interni tagħkom.
Prevenzjoni: paġna ta' emerġenza, inventarju u sostituzzjoni
Il-vulnerabbiltà kritika li jmiss żgur tasal. Tliet tħejjijiet imbagħad jiffrankaw sigħat: paġna statika ta' emerġenza lesta b'numri tat-telefon, sigħat tal-ftuħ u avviżi għal kwistjonijiet urġenti, li tista' tiġi servuta mingħajr PHP. Inventarju mżomm tal-applikazzjonijiet kollha tal-web bl-operatur, il-persuna ta' kuntatt u l-bażi kuntrattwali. U regolament ta' sostituzzjoni, biex deċiżjonijiet bit-tifi tal-preżenza jkunu jistgħu jittieħdu wkoll filgħaxija u fi tmiem il-ġimgħa.
Dawn il-punti jappartjenu fil-pjan ta' emerġenza tal-IT tal-amministrazzjoni. Impriżi proprji, utilitajiet muniċipali u istituzzjonijiet b'websajts proprji għandhom jidhru fih espressament, għax inkella jonqsu fl-inventarju.
Kif tgħin PHP SOS b'mod konkret?
- Nappoġġjaw il-koordinazzjoni tal-IT tagħkom fl-inventarju u niċċaraw maċ-ċentru tad-data, mal-manifatturi u mal-aġenzija min jipatchja liema sistema.
- Fejn tħaddmu int stess, nieħdu f'idejna permezz tas-servizz ta' PHP-patch l-aġġornament, ir-restart u l-prova bil-miktub.
- F'każ ta' suspett ta' kompromess insalvaw it-traċċi u neżaminaw il-kontenut għal manipulazzjoni qabel ma l-preżenza terġa' tmur online.
- Niddokumentaw il-proċess b'mod li l-uffiċjal tal-protezzjoni tad-data, it-tmexxija tal-amministrazzjoni u l-awditjar tal-kontijiet ikunu jistgħu jsegwuh.
Mistoqsijiet frekwenti
Nistgħu sempliċement nitfu l-websajt tal-muniċipalità?
Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda li s-servers tal-web jitneħħew temporanjament min-netwerk jekk l-aġġornament ma jistax isir immedjatament. Għall-muniċipalitajiet tkun adattata paġna statika ta' emerġenza bl-aktar mogħdijiet importanti ta' kuntatt. Min jista' jiddeċiedi dan internament għandu jkun indikat fil-pjan ta' emerġenza.
Is-sistema ta' informazzjoni tal-kunsill hija affettwata?
Dan jiddependi mit-teknoloġija u mit-tħaddim. Is-sistemi ta' informazzjoni tal-kunsill u s-servizzi online ħafna drabi jitħaddmu minn manifatturi ta' proċeduri speċjalizzati jew minn ċentri tad-data muniċipali. Staqsu hemm b'mod konkret dwar l-użu ta' PHP, l-istat tal-patch u r-restart.
Liema awtorità tal-protezzjoni tad-data hija responsabbli għall-muniċipalitajiet?
Għall-entitajiet pubbliċi tal-Länder (stati federali Ġermaniżi) u tal-muniċipalitajiet ġeneralment hija responsabbli l-awtorità tal-protezzjoni tad-data tal-istat federali rispettiv. Barra minn hekk japplikaw il-liġijiet tal-protezzjoni tad-data tal-Länder. L-uffiċjal tal-protezzjoni tad-data tal-amministrazzjoni tagħkom jaf il-mogħdijiet ta' notifika.