Na kratko: IT-popis spletnih strežnikov je seznam vseh spletnih strani, portalov, trgovin in strežnikov s podatki, ki jih ob varnostnem obvestilu takoj potrebujete: kje teče, s katero različico PHP in v katerem načinu delovanja, katera aplikacija, kdo je pristojen in kateri podatki bi bili prizadeti. Brez tega seznama se vsak odziv začne z iskanjem. Z njim traja primerjava ob obvestilu, kot je PHP2Shell, minute namesto dni.
Prvo vprašanje je bilo: kje pri nas sploh teče PHP?
Ko je projekt PHP 21. 10. 2026 objavil popravke in je BSI (nemški zvezni urad za informacijsko varnost) priporočil takojšnje ukrepanje, je bilo navodilo jasno: posodobiti PHP, znova zagnati vse procese. Za mnoga podjetja prvi korak kljub temu ni bil posodobitev, ampak popis. Glavna spletna stran je bila znana. A portal za trgovce? Kariernostran pri drugem ponudniku? Pristajalna stran iz kampanje izpred treh let? Notranji wiki?
Strokovni tisk in merilne storitve so velikost težave naredili vidno. Palo Alto Networks (Unit 42) je naštel več kot 22,6 milijona izpostavljenih, potencialno ranljivih primerkov. Med njimi je verjetno veliko sistemov, na katere njihovi upravljavci preprosto ne mislijo več.
Kaj sodi v IT-popis spletnih strežnikov
Uporaben popis je preglednica z eno vrstico na spletno stran ali aplikacijo. Ti stolpci so se obnesli:
| Stolpec | Primer | Čemu |
|---|---|---|
| Naslov | shop.primer.si | nedvoumna dodelitev |
| Namen in pomen | spletna trgovina, ključna za promet | določanje prednosti |
| Ponudnik gostovanja ali lokacija | upravljani strežnik pri ponudniku X | koga poklicati |
| Strežnik in operacijski sistem | vServer, Debian | pot posodobitev, varnostni viri |
| Spletni strežnik in način delovanja PHP | Nginx s PHP-FPM | tveganje, npr. mod_php |
| Različica PHP in stanje paketa | 8.3, paket z datumom | primerjava z obvestili |
| Aplikacija in različica | Shopware, vtičniki | obvestila proizvajalcev |
| Pristojen interno / zunanje | vodja IT / agencija Y | kdo ukrepa |
| Obdelani podatki | računi strank, naročila | obveznosti prijave, nujnost |
| Varnostne kopije | dnevno, zunanje, nazadnje preizkušeno dne … | obnovitev |
| Zadnje dokazilo o popravku | datum in dokazilo | dokazovanje tretjim osebam |
Načinu delovanja namenite posebno pozornost. Pri PHP2Shell je ekipa PHP tveganje pri Apache z mod_php ocenila kot najvišje. Kdor ve, kateri sistemi tako delujejo, jih lahko obravnava prve. Stolpec o stanju paketa je pomemben, ker prikazana številka različice po prenosih popravkov (backport) pogosto ostane enaka; napotki so na strani Pravilno preverjanje različice PHP in stanja popravkov.
Iskanje pozabljenih sistemov: tako postopate
Znani sistemi so hitro vneseni. Prava naloga so neznani. Ti viri pomagajo pri njihovem odkrivanju:
- Domene in DNS: Preglejte vse domene podjetja in njihove poddomene. Vsak vnos, ki kaže na spletni strežnik, je kandidat.
- Računi: Računovodstvo pozna vsakega ponudnika gostovanja, registrarja in ponudnika oblaka, ki prejema denar. To je pogosto najpopolnejši seznam.
- Agencije in strokovni oddelki: Trženje, prodaja in kadri radi neposredno naročajo spletne strani. Vprašajte.
- Znani strežniki: Na vsakem strežniku konfiguracija pokaže, katere spletne strani dejansko streže.
- Naprave s spletnim vmesnikom: NAS, usmerjevalniki in aparati včasih prinesejo lasten PHP, glejte PHP na NAS, usmerjevalnikih in aparatih.
Za korak 4 na strežnikih Linux pomaga nekaj ukazov samo za branje. Pokažejo konfigurirane spletne strani, storitve PHP in bazene FPM:
# Konfigurirane spletne strani (Apache oz. Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Delujoče storitve in procesi PHP
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# Bazeni FPM pod Debianom in Ubuntujem
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Če na strežniku vzporedno teče več različic PHP, vsaka sodi na seznam. Vsako je treba posodobiti in znova zagnati posebej.
Vnesite tudi sisteme, ki bi jih morali izklopiti. Prav ti pogosto še tečejo, že leta niso posodobljeni in se pozabijo. Z vnosom »izklopiti do …« naloga ostane vidna.
Popis ohranjajte ažuren
Popis je tako dober kot njegova zadnja posodobitev. Tri pravila ga ohranjajo živega. Prvič: ena oseba je odgovorna in je obveščena ob vsaki novi spletni strani, vsaki selitvi in vsakem izklopu, tudi če delo opravi agencija. Drugič: enkrat na četrtletje se seznam primerja z DNS, računi in konfiguracijo strežnikov. Tretjič: popis je del načrta za nujne primere in je na voljo tudi zunaj lastne IT, na primer natisnjen.
Za podjetja z mnogimi razpršenimi sistemi, na primer portali za trgovce, konfiguratorji in dostopi za dobavitelje, značilna mesta najdb opisuje IT-varnost za srednje velika podjetja in industrijo. Kako popis vključiti v načrt za nujne primere, je na strani Izdelava IT-načrta za nujne primere za spletne strežnike.
Pogoste napake pri popisu spletnih strežnikov
Mnogi popisi obstajajo, a v skrajnem primeru ne pomagajo. Vzroki so podobni:
- Samo strežniki, brez spletnih strani: Seznam navaja stroje, ne pa, katere spletne strani na njih tečejo in kdo jih vsebinsko vodi. Ob vrzeli potem nihče ne ve, kateri oddelek je prizadet.
- Različica namesto stanja paketa: »PHP 8.3« po PHP2Shell pove malo. Šele stanje paketa in datum pokažeta, ali je popravek vključen.
- Zunanji sistemi manjkajo: Kar teče pri agenciji ali ponudniku platforme, se izpusti, ker »tam nismo pristojni«. Odgovornost za podatke kljub temu ostane v hiši.
- Brez kontaktnih oseb: Vnos brez imena in telefonske številke pristojne službe v nujnem primeru izgubi čas.
- Enkratna akcija: Popis nastane v kriznem tednu in se nikoli več ne odpre. Po enem letu velik del ne drži več.
Kdor se teh petih točk izogne, ima ob naslednjem obvestilu seznam, s katerim je mogoče res delati.
Kako PHP SOS pomaga konkretno?
- Skupaj z vami zabeležimo vse spletne strani in strežnike, tudi pozabljene, prek DNS, računov, ponudnikov in konfiguracije strežnikov.
- Za vsak sistem ugotovimo način delovanja, različico PHP in dejansko stanje paketa.
- Sisteme razvrstimo po dosegljivosti, podatkih in načinu delovanja ter povemo, kje je treba ukrepati najprej.
- Kjer je PHP2Shell še odprt, vrzel zapremo prek takojšnje pomoči pri PHP2Shell in dokazilo vpišemo v popis.
Sklep: Popis je najbolj neopazen in hkrati najučinkovitejši varnostni ukrep. Kdor ve, kaj teče, lahko ob naslednjem obvestilu takoj ukrepa, namesto da bi šele iskal.
Pogosta vprašanja
Katere podatke mora popis spletnih strežnikov vsebovati vsaj?
Naslov spletne strani, strežnik ali ponudnika gostovanja, način delovanja PHP, različico PHP s stanjem paketa, aplikacijo z različico, odgovorno osebo interno in zunanjo, vrsto obdelanih podatkov in lokacijo varnostnih kopij. S temi podatki je mogoče vsako novo varnostno obvestilo hitro primerjati.
Kako najdem spletne strani, o katerih nihče več ne ve?
Po več poteh hkrati: upravljanje domen in območja DNS, računi ponudnikov gostovanja in registrarjev, vprašanja agencijam in strokovnim oddelkom ter konfiguracija znanih strežnikov. Stare kampanjske strani, testni sistemi in poddomene se tako običajno pojavijo.
Kdo naj popis vzdržuje?
Imenovana oseba, običajno v IT ali pri vodji IT. Pomembno je, da se tja sporoči vsaka sprememba spletnih strani in strežnikov, tudi če jo sproži strokovni oddelek ali agencija.
Ali zadošča preglednica ali je potrebna programska oprema?
Za večino srednje velikih podjetij zadošča dobro vzdrževana preglednica. Programska oprema se splača, ko je treba samodejno zajeti veliko sistemov. Odločilna je ažurnost, ne orodje.