Pe scurt: Un inventar IT pentru servere web este o listă a tuturor site-urilor, portalurilor, magazinelor online și serverelor, cu datele de care aveți nevoie imediat la o avertizare de securitate: unde rulează, cu ce versiune PHP și ce mod de operare, ce aplicație, cine este responsabil și ce date ar fi afectate. Fără această listă, fiecare reacție începe cu căutarea. Cu ea, compararea la o avertizare precum PHP2Shell durează minute în loc de zile.
Prima întrebare a fost: unde rulează la noi, de fapt, PHP?
Când proiectul PHP a publicat patchurile la 21.10.2026, iar BSI (Oficiul Federal German pentru Securitatea Informațiilor) a recomandat acțiune imediată, indicația era clară: actualizați PHP, reporniți toate procesele. Pentru multe companii, primul pas nu a fost totuși actualizarea, ci o inventariere. Site-ul principal era cunoscut. Dar portalul pentru parteneri comerciali? Pagina de cariere de la un alt furnizor? Pagina de destinație dintr-o campanie de acum trei ani? Wiki-ul intern?
Presa de specialitate și serviciile de măsurare au făcut vizibilă amploarea problemei. Palo Alto Networks (Unit 42) a numărat peste 22,6 milioane de instanțe expuse, potențial vulnerabile. Printre ele se află probabil multe sisteme la care operatorii lor pur și simplu nu se mai gândesc.
Ce intră într-un inventar IT pentru servere web
Un inventar util este un tabel cu un rând pentru fiecare site sau aplicație. Aceste coloane s-au dovedit utile:
| Coloană | Exemplu | La ce servește |
|---|---|---|
| Adresă | shop.exemplu.ro | atribuire clară |
| Scop și importanță | magazin online, critic pentru cifra de afaceri | prioritizare |
| Furnizor de hosting sau locație | server administrat la furnizorul X | pe cine sunați |
| Server și sistem de operare | server virtual, Debian | calea de actualizare, surse de securitate |
| Server web și modul de operare PHP | Nginx cu PHP-FPM | risc, de exemplu mod_php |
| Versiune PHP și starea pachetului | 8.3, pachet cu dată | comparație cu avertizările |
| Aplicație și versiune | Shopware, pluginuri | avertizările producătorului |
| Responsabil intern / extern | conducerea IT / agenția Y | cine acționează |
| Date prelucrate | conturi de clienți, comenzi | obligații de notificare, urgență |
| Copii de rezervă | zilnic, externe, testate ultima dată la … | restaurare |
| Ultima dovadă de patch | dată și document justificativ | dovadă față de terți |
Modul de operare merită o atenție specială. La PHP2Shell, echipa PHP a încadrat riscul ca fiind cel mai ridicat la Apache cu mod_php. Cine știe care sisteme sunt operate astfel le poate aborda primele. Coloana privind starea pachetului este importantă, deoarece numărul de versiune afișat rămâne adesea același după backporturi; indicații în acest sens găsiți la Verificarea corectă a versiunii PHP și a nivelului de patch.
Găsirea sistemelor uitate: cum procedați
Sistemele cunoscute se înregistrează repede. Munca propriu-zisă o reprezintă cele necunoscute. Aceste surse ajută la depistarea lor:
- Domenii și DNS: Parcurgeți toate domeniile companiei și subdomeniile lor. Fiecare înregistrare care indică un server web este un candidat.
- Facturi: Contabilitatea cunoaște fiecare furnizor de hosting, registrar și furnizor de cloud care primește bani. Aceasta este adesea cea mai completă listă.
- Agenții și departamente: Marketingul, vânzările și resursele umane comandă adesea site-uri direct. Întrebați.
- Servere cunoscute: Pe fiecare server, configurația arată ce site-uri livrează de fapt.
- Dispozitive cu interfață web: NAS-urile, routerele și aplianțele aduc uneori propriul PHP, vezi PHP pe NAS, routere și aplianțe.
Pentru pasul 4, pe serverele Linux ajută câteva comenzi de citire. Ele arată site-urile configurate, serviciile PHP și pool-urile FPM:
# Site-uri configurate (Apache, respectiv Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Servicii și procese PHP în execuție
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# Pool-uri FPM sub Debian și Ubuntu
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Dacă pe un server rulează mai multe versiuni PHP în paralel, fiecare își are locul în listă. Fiecare trebuie actualizată și repornită separat.
Înregistrați și sistemele care ar fi trebuit de fapt oprite. Tocmai ele rulează adesea încă, nu au mai fost actualizate de ani și sunt uitate. Cu o mențiune „de oprit până la …”, sarcina rămâne vizibilă.
Menținerea la zi a inventarului
Un inventar este la fel de bun ca ultima sa actualizare. Trei reguli îl mențin viu. În primul rând: o persoană este responsabilă și este informată la fiecare site nou, fiecare mutare și fiecare oprire, chiar dacă lucrarea o execută o agenție. În al doilea rând: o dată pe trimestru, lista este confruntată cu DNS-ul, facturile și configurația serverelor. În al treilea rând: inventarul face parte din planul de urgență și există și în afara IT-ului propriu, de exemplu tipărit.
Pentru companiile cu multe sisteme distribuite, precum portaluri pentru parteneri comerciali, configuratoare și accese pentru furnizori, Securitatea IT pentru întreprinderi mijlocii și industrie descrie locurile tipice în care se găsesc. Cum se integrează inventarul în planul de urgență, aflați la Elaborarea unui plan IT de urgență pentru serverele web.
Greșeli frecvente în inventarul serverelor web
Multe inventare există, dar nu ajută în caz de urgență. Cauzele se aseamănă:
- Doar servere, fără site-uri: Lista menționează mașinile, dar nu ce site-uri rulează pe ele și cine răspunde de ele din punct de vedere funcțional. La o breșă, nimeni nu știe atunci ce departament este afectat.
- Versiune în loc de starea pachetului: „PHP 8.3” spune puțin după PHP2Shell. Abia starea pachetului și data arată dacă corecția este inclusă.
- Lipsesc sistemele externe: Ce rulează la o agenție sau la un serviciu de platformă este omis, pentru că „acolo nu suntem responsabili”. Responsabilitatea pentru date rămâne totuși în firmă.
- Fără persoane de contact: O înregistrare fără numele și numărul de telefon al celui responsabil pierde timp în caz de urgență.
- Acțiune unică: Inventarul este creat într-o săptămână de criză și apoi nu mai este deschis niciodată. După un an, o bună parte nu mai corespunde.
Cine evită aceste cinci puncte are, la următoarea avertizare, o listă cu care se poate lucra cu adevărat.
Cum ajută PHP SOS concret?
- Înregistrăm împreună cu dumneavoastră toate site-urile și serverele, inclusiv pe cele uitate, prin DNS, facturi, furnizori de servicii și configurația serverelor.
- Stabilim pentru fiecare sistem modul de operare, versiunea PHP și starea reală a pachetului.
- Prioritizăm sistemele după accesibilitate, date și mod de operare și spunem unde trebuie să se acționeze primul.
- Acolo unde PHP2Shell este încă deschis, închidem breșa prin ajutorul imediat PHP2Shell și trecem dovada în inventar.
Concluzie: Inventarul este cea mai discretă și totodată cea mai eficientă măsură de securitate. Cine știe ce rulează poate acționa imediat la următoarea avertizare, în loc să caute mai întâi.
Întrebări frecvente
Ce date are nevoie minim un inventar pentru servere web?
Adresa site-ului, serverul sau furnizorul de hosting, modul de operare al PHP, versiunea PHP cu starea pachetului, aplicația cu versiunea, persoana responsabilă intern și extern, tipul datelor prelucrate și locul copiilor de rezervă. Cu aceste date, fiecare nouă avertizare de securitate poate fi comparată rapid.
Cum găsesc site-uri despre care nu mai știe nimeni?
Pe mai multe căi în același timp: administrarea domeniilor și zonele DNS, facturile furnizorilor de hosting și ale registrarilor, întrebări adresate agențiilor și departamentelor, precum și configurația serverelor cunoscute. Paginile vechi de campanie, sistemele de test și subdomeniile ies de obicei la iveală astfel.
Cine ar trebui să țină inventarul?
O persoană desemnată, de regulă din IT sau de la conducerea IT. Important este ca orice modificare a site-urilor și serverelor să fie raportată acolo, chiar dacă a fost inițiată de un departament sau de o agenție.
Este suficient un tabel sau este nevoie de un software?
Pentru majoritatea întreprinderilor mijlocii este suficient un tabel bine întreținut. Un software merită atunci când multe sisteme trebuie înregistrate automat. Decisivă este actualitatea, nu unealta.