Mi történt a színfalak mögött?
Amikor 2026 októberében kiszivárogtak a sebezhetőség részletei, a PHP fejlesztői azonnali soron kívüli frissítést adtak ki . A biztonsági szakma kezdetben megnyugodott, mivel az olyan védelmi mechanizmusok, mint az ASLR (címterület-elrendezés véletlenszerűsítése), komoly akadályt gördítettek az exploitok elé a valós éles környezetekben .
A relatív csendet azonban hamarosan kifinomult, célzott támadások törték meg.
Sikeres támadások és kormányzati érintettség
A legfrissebb kiberbiztonsági elemzések szerint a fenyegető csoportoknak sikerült átlépniük a technikai korlátokat:
- Személyre szabott exploitok: A Dream nevű kiberbiztonsági cég felfedezte, hogy egy vélhetően kínai állami hátterű hackercsoport kifejlesztett egy teljesen egyedi PHP2Shell implementációt, amelyet kifejezetten egy meg nem nevezett nagy gyártó tűzfal-szoftverére szabtak .
- Exploit-láncolás: Az elkövetők a PHP2Shell segítségével parancsokat tudtak végrehajtani a tűzfalon, de a teljes rendszerirányítás megszerzéséhez egy másik sebezhetőséggel, a Linux rendszereket érintő CVE-2026-46300-as biztonsági hibával láncolták össze a támadást .
- Kormányzati célpontok: A kutatók összesen 24 kompromittálódott tűzfalat azonosítottak, amelyek révén a támadók behatoltak az USA kormányzatához köthető belső hálózatokba. A támadás során bizonyítottan root jogosultságot szereztek és bizalmas adatokat (például hitelesítő adatokat) tulajdonítottak el .
- A GreyNoise és a CISA lépései: A GreyNoise szenzorai szintén sikeres PHP2Shell kihasználásokat észleltek. Ennek hatására az amerikai kiberbiztonsági ügynökség (CISA) felvette a sebezhetőséget a bizonyítottan kihasznált sérülékenységek katalógusába (KEV), és kötelezte a szövetségi szerveket a gyors javításra .
Kiket érint ez a probléma?
A PHP a weboldalak és webes alkalmazások közel 70%-át szolgálja ki . A PHP2Shell sebezhetőség különösen veszélyes az alábbi csoportokra:
| Érintett kör | Érintettség oka |
|---|---|
| Web hosting szolgáltatók | A megosztott vagy dedikált környezetben futtatott elavult PHP-verziók miatt a teljes szerver kiszolgáltatottá válhat . |
| Vállalati és kormányzati hálózatok | Azok a szervezetek, amelyek PHP-alapú céleszközöket, tűzfalakat, VPN-átjárókat vagy adminisztrációs paneleket üzemeltetnek a hálózatuk peremén . |
| Fejlesztők és üzemeltetők | Mindenki, aki olyan népszerű CMS-rendszereket vagy e-kereskedelmi motorokat futtat (pl. WordPress, Magento), amelyek alatt a PHP 5.4-es vagy újabb verziója fut . |
Magyarországon számos kis- és középvállalkozás, valamint állami intézmény támaszkodik olyan PHP-alapú rendszerekre, amelyeket nem frissítenek rendszeresen.
Az Európai Unió NIS2 irányelve értelmében a kritikus szolgáltatóknak és a digitális infrastruktúrát üzemeltető cégeknek törvényi kötelességük a kockázatok minimalizálása és a biztonsági frissítések időben történő telepítése. Egy sikeres PHP2Shell betörés komoly adatvédelmi incidenst (GDPR-sértést) és jelentős bírságokat vonhat maga után, ha bizonyítható az üzemeltető mulasztása.
Tudnivalók és tennivalók:
Kockázatok:
A közösségben korábban keringő félmegoldások (például a session.upload_progress.enabled=0 beállítása a php.ini-ben) nem nyújtanak teljes körű védelmet a támadások ellen . A hackerek folyamatosan finomítják az eszközeiket a háttérben, így az átmeneti csend csupán „kölcsönzött idő” a védelem számára .
Ajánlott tennivalók:
- Azonnali frissítés: Az egyetlen valódi és tartós megoldás a PHP futtatókörnyezet frissítése a javított verziókra .
- WAF és szűrés: Olyan Web Application Firewall (WAF) szabályok alkalmazása (pl. Cloudflare, Akamai), amelyek aktívan blokkolják a gyanús, szokatlanul hosszú
PHPSESSIDsütiket vagy a manipulált POST kéréseket . - Audit és naplózás: A hálózati peremvédelmi eszközök (tűzfalak, VPN-ek) naplófájljainak átvizsgálása, különös tekintettel azokra az esetekre, ahol a PHP-folyamatok váratlanul összeomlottak vagy szokatlan parancsvégrehajtás történt .