# Luka bezpieczeństwa na stronie gminy: poradnik dla administracji

> PHP2Shell i gmina: jak urzędy zabezpieczają stronę TYPO3 i formularze dla mieszkańców, wyjaśniają odpowiedzialność i rzeczowo informują mieszkańców.

Źródło: https://phpsos.de/pl/branchen/kommunen-verwaltung/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Luka bezpieczeństwa na stronie gminy to incydent z udziałem opinii publicznej. Proszę ustalić, kto prowadzi serwer, kazać potwierdzić poprawkę PHP i restart oraz mieć w gotowości stronę awaryjną na wypadek, gdyby serwis musiał na jakiś czas zniknąć z sieci. Komunikacja do mieszkańców i prasy powinna być uzgodniona, zanim pojawią się pytania.

## Jakie systemy PHP gminy zwykle prowadzą

Wiele komunalnych stron internetowych działa na [TYPO3](https://phpsos.de/pl/plattformen/typo3/), obok tego na innych systemach PHP. Wokół głównego serwisu powstają kolejne aplikacje: formularze online do wniosków i zgłoszeń, zgłaszanie usterek, kalendarze wydarzeń, udział mieszkańców, portale ofert pracy, zapisy do żłobków i przedszkoli, strony turystyczne, katalogi bibliotek i strony poszczególnych placówek, takich jak szkoła muzyczna czy zakład komunalny.

Niektóre z tych aplikacji prowadzi sama gmina, inne komunalne centrum danych, związek celowy lub producent oprogramowania dziedzinowego. Kto chce zamknąć lukę w PHP, musi najpierw wiedzieć, na czyich serwerach działa która aplikacja.

Mniejsze gminy często nie mają własnego działu IT. Tam pracownik urzędu centralnego (Hauptamt) obsługuje serwis przy okazji, technikę prowadzi agencja, a umowy pochodzą z czasów, gdy nikt nie myślał o krytycznych lukach w języku programowania. Większe miasta mają problem odwrotny: tak wiele serwisów urzędów, projektów i placówek, że prawie nikt nie zna pełnej listy.

## Co jest stawką na stronach komunalnych

W formularzach i portalach znajdują się dane mieszkańców: adresy, daty urodzenia, informacje o dzieciach przy zapisach do żłobków i szkół, zdjęcia i lokalizacje przy zgłoszeniach usterek, aplikacje o pracę. Dla podmiotów publicznych obowiązują RODO i krajowa ustawa o ochronie danych (niemiecka ustawa kraju związkowego), właściwy jest zwykle organ nadzorczy ds. ochrony danych danego kraju związkowego.

Co najmniej tak samo ważna jest integralność: serwis gminy jest źródłem urzędowym. Zmanipulowane treści, sfałszowane obwieszczenia lub przekierowania na strony oszukańcze pod nazwą miasta niszczą zaufanie daleko poza szkodę techniczną.

Domeny komunalne cieszą się zaufaniem mieszkańców i wyszukiwarek. Właśnie to czyni je atrakcyjnymi dla atakujących: jako nadawcy spamu, jako składnicy stron oszukańczych lub jako platformy dla fałszywych komunikatów, na przykład o wyborach, burzach czy opłatach.

## Gmina i luka bezpieczeństwa strony: kto o czym decyduje?

| Rola | Typowe zadanie w incydencie |
|---|---|
| Komunalne centrum danych lub dostawca usług IT | Serwer, pakiety PHP, restart, odłączenie od sieci |
| Urząd centralny lub koordynacja IT | Ogólne kierowanie, zlecenia, plan awaryjny |
| Rzecznik prasowy | Informowanie mieszkańców i mediów |
| Urzędowy inspektor ochrony danych | Ocena obowiązku zgłoszenia |
| Agencja internetowa | CMS, rozszerzenia, treści |

Luka powstaje często między centrum danych a agencją: centrum danych prowadzi serwer, agencja utrzymuje TYPO3, a każda ze stron zakłada, że PHP zajmuje się druga. Aktualizacja TYPO3 nie zamyka PHP2Shell.

> **Działać natychmiast:**
> BSI oceniło sytuację poziomem ostrzeżenia 3 / pomarańczowy i zaleca natychmiastową aktualizację. Jeśli komunalnego serwera WWW nie można od razu załatać, proszę tymczasowo odłączyć go od sieci i włączyć statyczną stronę awaryjną.

## Pierwsze godziny w administracji

1. Wypisać wszystkie serwisy i aplikacje dziedzinowe z dostępem przez sieć, łącznie z placówkami i turystyką.
2. Kazać każdemu operatorowi potwierdzić na piśmie: PHP w wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo wprowadzony backport, wszystkie procesy zrestartowane.
3. Niepotwierdzone systemy odłączyć od sieci lub do czasu poprawki zabezpieczyć [wirtualnym łataniem](https://phpsos.de/pl/leistungen/waf-virtuelles-patching/). Cloudflare zwraca uwagę, że same reguły oparte na danych żądania nie wystarczają; to most, a nie zamiennik.
4. Zabezpieczyć logi od 20.10.2026.
5. Poinformować rzecznika prasowego i inspektora ochrony danych oraz uzgodnić rzeczowe stanowisko. Pomoc w tym zakresie oferuje strona o [komunikacji kryzysowej](https://phpsos.de/pl/compliance/krisenkommunikation/).

Co BSI zaleca w szczegółach, podsumowuje strona [Zalecenia BSI dotyczące PHP2Shell](https://phpsos.de/pl/compliance/bsi-empfehlungen/). Pytania dotyczące zamówień publicznych i zlecenia awaryjnego wyjaśniają Państwo według swoich wewnętrznych zasad.

## Prewencja: strona awaryjna, inwentarz i zastępstwo

Następna krytyczna luka na pewno nadejdzie. Trzy przygotowania oszczędzają wtedy godziny: gotowa statyczna strona awaryjna z numerami telefonów, godzinami otwarcia i wskazówkami dla pilnych spraw, którą można udostępniać bez PHP. Utrzymywany inwentarz wszystkich aplikacji internetowych z operatorem, osobą kontaktową i podstawą umowną. Oraz uregulowanie zastępstw, aby decyzje, takie jak wyłączenie serwisu, można było podejmować także wieczorem i w weekend.

Te punkty należą do [awaryjnego planu IT](https://phpsos.de/pl/compliance/notfallplan-erstellen/) administracji. Zakłady komunalne, przedsiębiorstwa miejskie i placówki z własnymi stronami powinny w nim wyraźnie występować, ponieważ inaczej brakuje ich przy inwentaryzacji.

## Jak PHP SOS pomaga w praktyce?

- Wspieramy Państwa koordynację IT przy inwentarzu i ustalamy z centrum danych, producentami i agencją, kto który system łata.
- Tam, gdzie prowadzą Państwo systemy sami, przejmujemy w ramach [serwisu poprawek PHP](https://phpsos.de/pl/leistungen/php-patch-service/) aktualizację, restart i pisemny dowód.
- Przy podejrzeniu kompromitacji zabezpieczamy ślady i sprawdzamy treści pod kątem manipulacji, zanim serwis wróci do sieci.
- Dokumentujemy przebieg tak, aby inspektor ochrony danych, kierownictwo urzędu i kontrola rachunkowa mogli go prześledzić.


## Częste pytania

**Czy możemy po prostu wyłączyć stronę gminy?**  
BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) zaleca tymczasowe odłączenie serwerów WWW od sieci, jeśli aktualizacja nie jest od razu możliwa. Dla gmin dobrym rozwiązaniem jest statyczna strona awaryjna z najważniejszymi drogami kontaktu. Kto może o tym decydować wewnątrz urzędu, powinno wynikać z planu awaryjnego.

**Czy system informacji rady jest dotknięty?**  
Zależy to od technologii i sposobu prowadzenia. Systemy informacji rady i usługi online są często prowadzone przez producentów oprogramowania dziedzinowego lub komunalne centra danych. Proszę tam konkretnie zapytać o użycie PHP, stan poprawek i restart.

**Który organ ochrony danych jest właściwy dla gmin?**  
Dla podmiotów publicznych krajów związkowych i gmin w Niemczech właściwy jest zwykle organ nadzorczy ds. ochrony danych danego kraju związkowego. Obok tego obowiązują krajowe ustawy o ochronie danych (niemieckie ustawy krajów związkowych). Urzędowy inspektor ochrony danych zna ścieżki zgłoszeń.

## Źródła

- [BSI: ostrzeżenia i zalecenia](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: komunikaty bezpieczeństwa](https://www.php.net/)
- [TYPO3](https://typo3.org/)