Stručne: White-label IT bezpečnosť znamená pre vašu agentúru: vy si necháte vzťah s klientom, my na pozadí vybavíme bezpečnostnú prácu. Pri PHP2Shell to znamená inventár všetkých webov klientov, prioritizáciu podľa rizika, záplatu a reštart na každom serveri a doklad pre každého klienta, ktorý môžete odovzdať ďalej.
Prečo sú agentúry pri PHP2Shell pod obzvlášť veľkým tlakom
Agentúra s mnohými klientmi len zriedka spravuje jednotné prostredie. Časť webov leží na vlastných serveroch s Plesk, časť u poskytovateľov hostingu klientov, niektoré staré projekty na verziách PHP, ktoré už dávno nedostávajú oficiálne aktualizácie. K tomu pristupujú rôzne systémy: WordPress, TYPO3, Shopware, Craft CMS, vlastné vývoje na Laravel.
Pri zraniteľnosti v samotnom PHP to zasiahne všetky projekty naraz. Klienti očakávajú odpoveď, či je ich web bezpečný, a projektový tím je vyťažený bežnými zákazkami. Mnohé zmluvy o údržbe upravujú CMS, ale nie server pod ním.
K tomu pristupujú systémy, ktoré sa už v žiadnom zozname projektov neobjavujú: staging prostredia na subdoménach, kampaňové stránky z uzavretých projektov, testovacie inštalácie vývojárov na vlastných vServeroch. Často bežia na starších verziách PHP, nemonitorujú sa a napriek tomu nesú meno vašej agentúry alebo vášho klienta. Pre automatizované skeny sú rovnako viditeľné ako hlavná stránka.
Aké otázky vám klienti teraz kladú
- Týka sa to môjho webu a je už medzitým záplatovaný?
- Bolo pred záplatou už niečo zavlečené?
- Platí aktualizácia CMS ako ochrana? Nie, aktualizácia CMS zraniteľnosť PHP neuzavrie.
- Musím web odpojiť od siete? BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) to odporúča pre servery, ktoré sa nedajú okamžite aktualizovať.
Na každú z týchto otázok potrebuje vaša agentúra doložiteľnú odpoveď pre každého klienta, nie hromadný e-mail so všeobecnými vyhláseniami.
Ako prebieha white-label IT bezpečnosť pre agentúry
Pracujeme ako súčasť vášho tímu, ale bez vlastného kontaktu s klientmi. Rozdelenie je jasné:
| Úloha | Vaša agentúra | PHP SOS |
|---|---|---|
| Komunikácia s klientmi a fakturácia | áno | nie |
| Inventár všetkých webov klientov so stavom PHP | dodá prístupy | vypracuje a udržiava |
| Záplata, reštart, kontrola na každom serveri | uvoľní okno údržby | vykoná alebo koordinuje s poskytovateľmi hostingu |
| Kontrola na kompromitáciu | dostane zistenie | hľadá webshelly a nezrovnalosti |
| Doklad pre každého klienta | odovzdá ďalej | vypracuje neutrálne alebo vo vašom formáte |
Pri weboch u cudzích poskytovateľov hostingu si vyžiadame potvrdenie stavu balíka. Samotné zobrazené číslo verzie nestačí, pretože backporty ho môžu ponechať nezmenené.
Prioritizujte najprv servery s Apache a mod_php, kde tím PHP hodnotí riziko ako najvyššie, potom obchody a weby s prihlásením, potom projekty na PHP 8.1 a staršom. Statické staré projekty, ktoré už nikto nepotrebuje, radšej vypnite, než by ste ich záplatovali.
Viac webov klientov na jednom serveri: preveriť izoláciu
Na serveroch agentúr zdieľa jeden stroj často mnoho webov klientov. Ak je jeden z nich kompromitovaný, o tom, či sa útočník dostane aj k ostatným, rozhoduje oddelenie. Dôležité sú vlastní systémoví používatelia a pooly PHP-FPM pre každý web, čisté oprávnenia k súborom a limity ako open_basedir. Na serveroch s Plesk sa tieto nastavenia dajú overiť pre každé predplatné.
Po záplate platí: reštartovať všetky pooly a workery. Až potom v pamäti nebežia staré procesy PHP. Logy od 20. 10. 2026 by sa mali uchovať pre každý web klienta.
Informovanie klientov: čo je preukázané a čo nie
Najväčším pokušením v tejto situácii je upokojujúci hromadný e-mail. Bezpečnejšie je vyjadrenie pre každého klienta, ktoré obsahuje len to, čo je preukázané: ktorý server, aký stav balíka PHP, kedy bol reštart, či prebehla kontrola na kompromitáciu a s akým výsledkom. Uvedené je aj to, čo je ešte otvorené.
Formulácie ako „Váš web je bezpečný“ radšej nepoužívajte. Záplata zraniteľnosť uzavrie, ale nedokazuje, že sa predtým nič nestalo. Kto to čestne oddelí, nemusí sa neskôr vysvetľovať, ak sa predsa objaví zistenie.
Po PHP2Shell prepracovať zmluvy o údržbe
Mnohé zmluvy agentúr upravujú aktualizácie CMS a rozšírení, ale mlčia o serveri. Využite situáciu a pre každého klienta zaznamenajte, kto aktualizuje PHP, kto zodpovedá za reštarty, kto rozhoduje pri incidente a ktoré služby sa objednávajú osobitne. Patrí k tomu aj dohoda o spracúvaní osobných údajov so všetkými zúčastnenými dodávateľmi. Zmluvné spracovanie vyjasnite so svojím právnym poradenstvom.
Ako konkrétne pomáha PHP SOS?
- Preberáme inventarizáciu všetkých webov klientov s verziou PHP, režimom prevádzky, poskytovateľom hostingu a zodpovednosťou.
- Prostredníctvom našej služby záplatovania PHP záplatujeme vaše vlastné servery, reštartujeme všetky workery a preukážeme to pre každého klienta.
- Prioritné weby preveríme na kompromitáciu a pri zistení čistíme, kým nie je incident uzavretý a zdokumentovaný.
- Dodáme textové bloky pre vaše informovanie klientov, ktoré si prispôsobíte a odošlete sami.
- Potom na želanie prevezmeme so zmluvou o bezpečnostnej údržbe priebežnú bezpečnostnú starostlivosť na pozadí.
Časté otázky
Vystupujete voči našim klientom?
Iba ak to chcete. V modeli white-label pracujeme výlučne na pozadí a všetka komunikácia prebieha cez vašu agentúru. Našu dokumentáciu dodávame neutrálne alebo vo vašom formáte.
Potrebujeme na to zmluvu o spracúvaní osobných údajov?
Ak pristupujeme k systémom s osobnými údajmi vašich klientov, je spravidla potrebná dohoda o spracúvaní osobných údajov, často ako ďalšie spracúvanie cez subdodávateľa. Ako to zapadne do vašich existujúcich zmlúv, vyjasnite so svojím právnym poradenstvom. Potrebné údaje o našich činnostiach poskytneme.
A čo weby klientov, ktorých server vôbec nespravujeme?
Ak sú weby klientov u cudzích poskytovateľov hostingu, vo vašom mene alebo podľa vašich vzorov si vyžiadame potvrdenia o stave záplat a reštarte. Kde existuje len prístup FTP alebo do CMS, preveríme, čo je odtiaľ možné, a otvorene vyznačíme, čo môže preukázať iba poskytovateľ hostingu.
Môžeme to po PHP2Shell dlhodobo outsourcovať?
Áno. Mnohé úlohy sa pri každej zraniteľnosti opakujú: viesť inventár, nasadzovať záplaty, preukazovať reštarty, hlásiť nezrovnalosti. Túto prácu možno zorganizovať ako priebežnú starostlivosť na pozadí.