Na kratko: Vzdrževalna pogodba za spletno stran z varnostnim poudarkom poskrbi, da posodobitve, varnostne kopije in nadzor niso odvisni od naključja. Vaše spletne strani in strežnike PHP trajno oskrbujemo, stanje ohranjamo aktualno, preizkušamo obnovo in ukrepamo po dogovorjenem poteku, ko postane znana nova ranljivost. Redno prejmete razumljivo poročilo.
Zakaj varnost sodi v vzdrževalno pogodbo za spletno stran
Številne vzdrževalne pogodbe pokrivajo posodobitve CMS-ja in se tam končajo. PHP2Shell je pokazal, da to ne zadošča: ranljivosti CVE-2026-109618 in CVE-2026-109619 sta v samem PHP, ne v CMS-ju. Posodobitev WordPressa ali Shopwara ju ne zapre. Kdor vzdržuje samo CMS, prave nevarnosti nima v očeh.
Dodaja se dejavnik čas. Med predhodno napovedjo php.net 20. 10. 2026 in objavo popravkov 21. 10. je minil en dan, po poročilih medijev pa je bil prvi opaženi poskus napada že 17. 10. V takšnih položajih pomaga samo potek, ki je vnaprej določen, in nekdo, ki ima dostop in ve, kateri sistemi so prizadeti. Kdor šele v resnem primeru išče dostopne podatke, kliče izvajalce in razjasnjuje odgovornosti, izgubi prav tisti čas, ki ga izkoriščajo napadalci.
Drugo točko pogosto podcenjujejo: varnostne kopije, ki še nikoli niso bile obnovljene, so obljuba brez dokaza. Šele preizkus obnove pokaže, ali je kopija popolna in koliko časa dejansko traja vrnitev v obratovanje.
Za koga se varnostna vzdrževalna pogodba splača
Vzdrževalna pogodba z varnostnim poudarkom je primerna predvsem za podjetja, katerih spletna stran ali trgovina je poslovno kritična, a nimajo lastne administracije za strežnike in PHP. Značilni so spletni trgovci, ordinacije, odvetniške pisarne in srednje velika podjetja s portali za stranke, pa tudi javne ustanove z več spletnimi nastopi.
Enako je smiselna, kadar je odgovornost danes razdeljena na mnogo ramen: agencija je izdelala spletno stran, ponudnik gostovanja zagotavlja strežnik, nekdanji sodelavec je poznal dostope. V takšnih konstelacijah se ob položajih, kot je PHP2Shell, hitro pokaže, da nihče ni jasno odgovoren. Pogodba vzpostavi stalno mesto, ki ve in sme ukrepati.
Za posamezno, majhno spletno stran brez obrazcev ali podatkov strank lahko zadošča skromnejši obseg. To razjasnimo pri popisu.
Kaj vsebuje varnostna vzdrževalna pogodba
- Posodobitve: operacijski sistem, spletni strežnik, PHP, CMS, razširitve in odvisnosti, po trdnem ritmu in dodatno ob kritičnih ranljivostih
- Ponovni zagon in dokazilo: po posodobitvah PHP ponovni zagon vseh workerjev s kontrolo, da ne tečejo stari procesi
- Varnostne kopije: po pravilu 3-2-1, z rednim preizkusom obnove. Osnove so na strani Varnostne kopije po pravilu 3-2-1.
- Nadzor: celovitost datotek, prijave, procesi in dnevniki, kot je opisano na strani Varnostni nadzor za spletne strežnike
- Življenjski cikel: zgodnje načrtovanje, preden različica PHP doseže konec podpore, na primer PHP 8.2 31. 12. 2026
- Potek za nujne primere: usklajeni koraki za resen primer, dostopi in kontaktne osebe, ki so ob incidentu takoj znani
- Poročilo: redni povzetek z nameščenimi posodobitvami, dogodki in priporočili
Kdo je za kaj odgovoren?
Številne varnostne vrzeli ne nastanejo tehnično, ampak organizacijsko: vsak misli, da bo poskrbel kdo drug. Zato odgovornosti zapišemo. Tipičen primer:
| Naloga | Ponudnik gostovanja | Agencija | PHP SOS | Vi |
|---|---|---|---|---|
| Strojna oprema, omrežje, podatkovni center | da | |||
| Operacijski sistem in posodobitve PHP | glede na pogodbo | da | ||
| CMS in razširitve | da | po dogovoru | ||
| Vsebine in uporabniški računi | da | |||
| Nadzor in potek za nujne primere | da | odobritve |
Dejanska razdelitev je odvisna od vaših pogodb. Zlasti pri upravljanih strežnikih se splača natančno pogledati, kaj ponudnik dejansko prevzame, glejte Upravljan strežnik: razjasniti odgovornost. Agencije z veliko spletnimi stranmi strank najdejo primeren model na strani Varnostni partner za agencije.
Kako konkretno pomaga PHP SOS?
- Popis: zabeležimo vse spletne strani, strežnike, različice, dostope, varnostne kopije in obstoječe pogodbe.
- Začetno zavarovanje: odprte posodobitve in znane šibke točke se zaprejo najprej, preden se začne tekoča oskrba.
- Dogovor: obseg, ritem, odgovornosti in potek za nujne primere zapišemo, tudi vprašanje, kdaj vas pred spremembami vprašamo.
- Tekoča oskrba: posodobitve, varnostne kopije, nadzor in poročila po načrtu, ob kritičnih ranljivostih dodatno po dogovorjenem poteku za nujne primere.
- Letni pregled: skupaj preverimo, ali pogodba še ustreza vašemu sistemskemu okolju.
Kaj potrebujemo in česa ne obljubljamo
Potrebujemo trajne skrbniške dostope, kontaktno osebo s pooblastilom za odločanje, stik s ponudnikom gostovanja in agencijo ter informacije o načrtovanih spremembah vaših aplikacij. Dostope upravljamo ločeno za vsako stranko in dokumentiramo, kdo ima dostop. Če načrtujete spremembe svojih sistemov, na primer novo trgovino, dodatno spletno stran ali zamenjavo ponudnika gostovanja, nam to povejte zgodaj, da lahko posodobitve, varnostne kopije in nadzor rastejo skupaj z njimi.
Ne obljubljamo, da vaši sistemi nikoli ne bodo napadeni. Vzdrževalna pogodba zmanjša tveganje in poskrbi, da se v resnem primeru ukrepa hitro in urejeno. Cen in reakcijskih časov ne navajamo paušalno, ampak jih po popisu določimo v ponudbi. Kako resen primer dodatno organizacijsko pripraviti, opisuje stran Priprava IT-načrta za nujne primere za spletne strežnike.
Pogosta vprašanja
Kaj sodi v vzdrževalno pogodbo za spletno stran z varnostnim poudarkom?
Vsaj posodobitve strežnika, PHP, CMS-ja in razširitev, redne varnostne kopije s preizkusom obnove, varnostni nadzor in jasna ureditev za nujne primere. Pomembno je tudi pisno zapisati, kdo je za kaj odgovoren.
Ali vzdrževalna pogodba nadomesti mojo agencijo ali ponudnika gostovanja?
Ne nujno. Pogosto sodelujemo z agencijo in ponudnikom gostovanja ter prevzamemo varnostni del. Odločilno je, da so odgovornosti razdeljene brez vrzeli in nič ne obleži med udeleženci.
Kaj se zgodi, ko postane znana kritična ranljivost, kot je PHP2Shell?
Takrat preverimo, kateri vaši sistemi so prizadeti, namestimo posodobitve po dogovorjenem poteku ali uvedemo vmesne ukrepe in vas obvestimo o stanju. Kako hitro se to zgodi, skupaj določimo v pogodbi.
Ali obstaja fiksna cena?
Obseg je odvisen od števila in vrste vaših sistemov. Po popisu pripravimo ponudbo, ki natančno opisuje, kaj je vključeno.