Во октомври 2026 година, во програмскиот јазик PHP беа откриени две сериозни безбедносни слабости, познати под заедничкото име PHP2Shell. PHP е дел од софтверот што работи во заднина на многу веб-страници. Поради пропустите, напаѓач можел преку интернет да испрати посебно подготвено барање и, во одредени услови, да му зададе команди на ранливиот сервер — без да се најави на него.
Последиците можат да бидат сериозни: неовластен пристап до системот, кражба или промена на податоци, нарушување на услугите или преземање контрола врз дел од серверот. По објавувањето на пропустите беа издадени безбедносни исправки, а MKD-CIRT ги повика организациите да ги проверат своите системи и да ги инсталираат ажурирањата. Во светот беа забележани обиди за искористување на ранливоста, но обид за напад не значи автоматски дека нападот бил успешен.
Овој настан не е доказ дека секоја веб-страница била нападната или дека нечии податоци биле украдени. Тој покажува колку брзо еден пропуст во широко користен софтвер може да создаде ризик за многу организации, особено ако системите не се проверуваат и ажурираат навреме.
Што покажа ревизијата на ПИОМ?
Во конечниот извештај за спроведувањето превентивни мерки за информациска безбедност во ПИОМ, Државниот завод за ревизија утврдил слабости во заштитата на ИТ-системите што обработуваат податоци на стотици илјади корисници. Извештајот се однесува на утврдените состојби во опфатениот период; меѓу нив се наведени недостиг од усвоена ИТ-стратегија и застарени процедури, како и недоволно јасни правила за пристап до системите и постапување при безбедносен инцидент.
Според ДЗР, во Секторот за информатика биле пополнети 17 од 57 систематизирани работни места, а во одделението за ИТ-инфраструктура само едно од 13. Ревизорите утврдиле и дека не се применувала повеќефакторска автентикација, дека имало активни сметки на поранешни вработени и дека дел од серверите и работните станици користеле системи без поддршка. Резервните копии не биле шифрирани, а немало ни редовно тестирање дали податоците може успешно да се обноват од нив.
Ова не значи дека ДЗР утврдил дека податоците на граѓаните биле украдени или дека ПИОМ бил погоден од PHP2Shell. Извештајот укажува на слабости и ризици во безбедносните мерки. Неговата важност е во предупредувањето дека системите со лични податоци треба да бидат подготвени пред да се случи напад, а не да се заштитуваат дури откако ќе настане штета.
Во одделен контекст, Министерството за дигитална трансформација соопшти дека владините и министерските веб-страници биле проверени и ажурирани по објавувањето на PHP-пропустите и дека, според тогашните проверки, немало индикации за успешно искористување. Тоа соопштение се однесува на тие веб-страници и не е потврда за состојбата на системите на ПИОМ.
Зошто треба да нè засега ова?
Личните податоци не се само имиња и матични броеви. Кога институцијата чува податоци поврзани со остварување права, нивната злоупотреба може да влијае врз приватноста, финансиската сигурност и довербата на граѓаните. За разлика од лозинка, матичен број или историја на остварени права не може едноставно да се смени ако еднаш бидат откриени.
Затоа заштитата на податоците бара повеќе од антивирусна програма. Таа вклучува редовно ажурирање на системите, внимателно ограничување на пристапот, дополнителна проверка при најавување, шифрирани резервни копии што редовно се тестираат, обучени вработени и јасен план за работа и обновување по инцидент. Тоа се одговорности на институциите и нивните раководства — не товар што треба да го носат само граѓаните.
И граѓаните можат да се заштитат: да користат различни и силни лозинки, да вклучат двофакторска проверка каде што е достапна, да не испраќаат документи или кодови за најава на непроверени адреси и да бидат внимателни со пораки што бараат итно внесување лични податоци.
PHP2Shell е потсетник дека дигиталната услуга е сигурна само ако системите зад неа се одржуваат и штитат. Извештајот за ПИОМ, пак, покажува зошто независната ревизија и јавното следење на препораките се важни. Граѓаните имаат право да знаат како се чуваат нивните податоци и што преземаат институциите за тие податоци да останат безбедни.
Пишува мр. Лилјана Пецова Илиевска, извршна директорка на Здружението ИМПЕТУС
*Ставовите и колумните објавени се лични мислења на авторите и не претставуваат став или уредувачка политика на Коректив.мк. Редакцијата не сноси одговорност за евентуални грешки или штети кои би можеле да настанат од објавените содржини.
