Krótko: Luka bezpieczeństwa na stronie gminy to incydent z udziałem opinii publicznej. Proszę ustalić, kto prowadzi serwer, kazać potwierdzić poprawkę PHP i restart oraz mieć w gotowości stronę awaryjną na wypadek, gdyby serwis musiał na jakiś czas zniknąć z sieci. Komunikacja do mieszkańców i prasy powinna być uzgodniona, zanim pojawią się pytania.
Jakie systemy PHP gminy zwykle prowadzą
Wiele komunalnych stron internetowych działa na TYPO3, obok tego na innych systemach PHP. Wokół głównego serwisu powstają kolejne aplikacje: formularze online do wniosków i zgłoszeń, zgłaszanie usterek, kalendarze wydarzeń, udział mieszkańców, portale ofert pracy, zapisy do żłobków i przedszkoli, strony turystyczne, katalogi bibliotek i strony poszczególnych placówek, takich jak szkoła muzyczna czy zakład komunalny.
Niektóre z tych aplikacji prowadzi sama gmina, inne komunalne centrum danych, związek celowy lub producent oprogramowania dziedzinowego. Kto chce zamknąć lukę w PHP, musi najpierw wiedzieć, na czyich serwerach działa która aplikacja.
Mniejsze gminy często nie mają własnego działu IT. Tam pracownik urzędu centralnego (Hauptamt) obsługuje serwis przy okazji, technikę prowadzi agencja, a umowy pochodzą z czasów, gdy nikt nie myślał o krytycznych lukach w języku programowania. Większe miasta mają problem odwrotny: tak wiele serwisów urzędów, projektów i placówek, że prawie nikt nie zna pełnej listy.
Co jest stawką na stronach komunalnych
W formularzach i portalach znajdują się dane mieszkańców: adresy, daty urodzenia, informacje o dzieciach przy zapisach do żłobków i szkół, zdjęcia i lokalizacje przy zgłoszeniach usterek, aplikacje o pracę. Dla podmiotów publicznych obowiązują RODO i krajowa ustawa o ochronie danych (niemiecka ustawa kraju związkowego), właściwy jest zwykle organ nadzorczy ds. ochrony danych danego kraju związkowego.
Co najmniej tak samo ważna jest integralność: serwis gminy jest źródłem urzędowym. Zmanipulowane treści, sfałszowane obwieszczenia lub przekierowania na strony oszukańcze pod nazwą miasta niszczą zaufanie daleko poza szkodę techniczną.
Domeny komunalne cieszą się zaufaniem mieszkańców i wyszukiwarek. Właśnie to czyni je atrakcyjnymi dla atakujących: jako nadawcy spamu, jako składnicy stron oszukańczych lub jako platformy dla fałszywych komunikatów, na przykład o wyborach, burzach czy opłatach.
Gmina i luka bezpieczeństwa strony: kto o czym decyduje?
| Rola | Typowe zadanie w incydencie |
|---|---|
| Komunalne centrum danych lub dostawca usług IT | Serwer, pakiety PHP, restart, odłączenie od sieci |
| Urząd centralny lub koordynacja IT | Ogólne kierowanie, zlecenia, plan awaryjny |
| Rzecznik prasowy | Informowanie mieszkańców i mediów |
| Urzędowy inspektor ochrony danych | Ocena obowiązku zgłoszenia |
| Agencja internetowa | CMS, rozszerzenia, treści |
Luka powstaje często między centrum danych a agencją: centrum danych prowadzi serwer, agencja utrzymuje TYPO3, a każda ze stron zakłada, że PHP zajmuje się druga. Aktualizacja TYPO3 nie zamyka PHP2Shell.
BSI oceniło sytuację poziomem ostrzeżenia 3 / pomarańczowy i zaleca natychmiastową aktualizację. Jeśli komunalnego serwera WWW nie można od razu załatać, proszę tymczasowo odłączyć go od sieci i włączyć statyczną stronę awaryjną.
Pierwsze godziny w administracji
- Wypisać wszystkie serwisy i aplikacje dziedzinowe z dostępem przez sieć, łącznie z placówkami i turystyką.
- Kazać każdemu operatorowi potwierdzić na piśmie: PHP w wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo wprowadzony backport, wszystkie procesy zrestartowane.
- Niepotwierdzone systemy odłączyć od sieci lub do czasu poprawki zabezpieczyć wirtualnym łataniem. Cloudflare zwraca uwagę, że same reguły oparte na danych żądania nie wystarczają; to most, a nie zamiennik.
- Zabezpieczyć logi od 20.10.2026.
- Poinformować rzecznika prasowego i inspektora ochrony danych oraz uzgodnić rzeczowe stanowisko. Pomoc w tym zakresie oferuje strona o komunikacji kryzysowej.
Co BSI zaleca w szczegółach, podsumowuje strona Zalecenia BSI dotyczące PHP2Shell. Pytania dotyczące zamówień publicznych i zlecenia awaryjnego wyjaśniają Państwo według swoich wewnętrznych zasad.
Prewencja: strona awaryjna, inwentarz i zastępstwo
Następna krytyczna luka na pewno nadejdzie. Trzy przygotowania oszczędzają wtedy godziny: gotowa statyczna strona awaryjna z numerami telefonów, godzinami otwarcia i wskazówkami dla pilnych spraw, którą można udostępniać bez PHP. Utrzymywany inwentarz wszystkich aplikacji internetowych z operatorem, osobą kontaktową i podstawą umowną. Oraz uregulowanie zastępstw, aby decyzje, takie jak wyłączenie serwisu, można było podejmować także wieczorem i w weekend.
Te punkty należą do awaryjnego planu IT administracji. Zakłady komunalne, przedsiębiorstwa miejskie i placówki z własnymi stronami powinny w nim wyraźnie występować, ponieważ inaczej brakuje ich przy inwentaryzacji.
Jak PHP SOS pomaga w praktyce?
- Wspieramy Państwa koordynację IT przy inwentarzu i ustalamy z centrum danych, producentami i agencją, kto który system łata.
- Tam, gdzie prowadzą Państwo systemy sami, przejmujemy w ramach serwisu poprawek PHP aktualizację, restart i pisemny dowód.
- Przy podejrzeniu kompromitacji zabezpieczamy ślady i sprawdzamy treści pod kątem manipulacji, zanim serwis wróci do sieci.
- Dokumentujemy przebieg tak, aby inspektor ochrony danych, kierownictwo urzędu i kontrola rachunkowa mogli go prześledzić.
Częste pytania
Czy możemy po prostu wyłączyć stronę gminy?
BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) zaleca tymczasowe odłączenie serwerów WWW od sieci, jeśli aktualizacja nie jest od razu możliwa. Dla gmin dobrym rozwiązaniem jest statyczna strona awaryjna z najważniejszymi drogami kontaktu. Kto może o tym decydować wewnątrz urzędu, powinno wynikać z planu awaryjnego.
Czy system informacji rady jest dotknięty?
Zależy to od technologii i sposobu prowadzenia. Systemy informacji rady i usługi online są często prowadzone przez producentów oprogramowania dziedzinowego lub komunalne centra danych. Proszę tam konkretnie zapytać o użycie PHP, stan poprawek i restart.
Który organ ochrony danych jest właściwy dla gmin?
Dla podmiotów publicznych krajów związkowych i gmin w Niemczech właściwy jest zwykle organ nadzorczy ds. ochrony danych danego kraju związkowego. Obok tego obowiązują krajowe ustawy o ochronie danych (niemieckie ustawy krajów związkowych). Urzędowy inspektor ochrony danych zna ścieżki zgłoszeń.