💣 Mi az a PHP2Shell, és miért ég a ház?
A biztonsági szakma által PHP2Shell néven emlegetett incidens két kritikus sebezhetőséget takar: a CVE-2026-109618 és a CVE-2026-109619 azonosítókat, amelyek mindkettője 9.2-es (Kritikus) CVSS v4.0 besorolást kapott .
A problémák lényege, hogy a PHP motor alacsony szintű memóriakezelési hibái miatt a támadók jogosulatlanul tetszőleges kódot futtathatnak a szerveren (Remote Code Execution - RCE) .
| Sebezhetőség | Technikai lényeg | Miért veszélyes? |
|---|---|---|
| CVE-2026-109618 | A memóriakorlát (out-of-memory) túllépésekor a PHP félbehagyja az inicializálást, a takarítás során pedig az érvénytelen adatokat érvényesként kezeli. | Lehetővé teszi a szerver belső memóriájának manipulálását és a kódbeillesztést. |
| CVE-2026-109619 | A kérések végén a felszabadított belső memóriaterületek mutatói aktívak maradnak, így a következő lekérdezést kiszolgáló worker folyamat láthatja a korábbi szemetet. | Lehetőséget biztosít az adatszivárgásra és az un. "Use-After-Free" típusú távoli kódfuttatásra. |
📌 A legnagyobb bökkenő: A technikai részletek 2026. október 20-án, egy nappal a hivatalos javítások előtt kiszivárogtak a közösségi médiában . Így a hackerek előnybe kerültek, az automatizált támadóbotok pedig azonnal elindultak a célpontok felkutatására .
🌸 Túléli-e ezt a WordPress?
A WordPress hajtja az internet weboldalainak több mint 43%-át . Mivel a rendszer teljes egészében PHP alapú, a kérdés húsbavágó .
A válasz rövid és tömör: Maga a WordPress Core túlélheti, de a rajta futó oldalak tömege nem.
A kiberbiztonsági elemzések szerint a WordPress saját fejlesztői csapata kiváló munkát végez, maga a WordPress mag (Core) viszonylag zárt és biztonságos. A katasztrófát azonban nem ez, hanem a bővítmények (pluginok) ökoszisztémája okozza:
- A sebezhetőségek 95%-a a külső fejlesztésű pluginokból származik.
- Egy átlagos éles WordPress oldal több mint 30 különböző bővítményt futtat.
- 2026-ban hetente átlagosan 250+ új sebezhetőséget fedeznek fel a különféle WordPress bővítményekben .
Mivel a PHP2Shell magát a PHP futtatókörnyezetet támadja meg, egyetlen hagyományos WordPress biztonsági bővítmény (mint a Wordfence vagy a SolidWP) sem képes megvédeni az oldalt, ha az alatta lévő PHP verzió sebezhető . Ezek a bővítmények magán a PHP-n belül futnak – ha a PHP motort törik fel alulról, a védelmi szoftver el sem indul, vagy a támadó egyszerűen leállítja azt .
🕸️ Mi lesz a régi magyar weboldalakkal?
A hazai kis- és középvállalkozások (KKV-k) jelentős része üzemeltet olyan weboldalakat, amelyeket 5-10 éve "összedobott" egy fejlesztő, azóta pedig hozzájuk sem nyúltak . Ezek a rendszerek a PHP2Shell korában gyakorlatilag halálra vannak ítélve .
A PHP fejlesztői kiadták a javításokat a még támogatott verziókhoz (8.5.12, 8.4.27, 8.3.36 és 8.2.35) .
A feketeleves: A PHP 8.1 és az összes ennél korábbi verzió (például a hazai szervereken még mindig hihetetlenül gyakori PHP 7.4, sőt 5.6) már életciklusuk végéhez (EOL) értek, így ezekre nem érkezik hivatalos javítás . Ha egy régi magyar weboldal elavult PHP-n fut egy magára hagyott szerveren, azt az automatizált támadóbotok pillanatok alatt zombivá alakítják, az adatbázisukat ellopják, az oldalt pedig zsarolóvírusokkal vagy illegális SEO-tartalmakkal árasztják el .
💡 Azonnali Akcióterv: Hogyan éljük túl?
Ha Önnek is van PHP-t használó weboldala, az alábbi lépéseket kell még ma megtennie:
- Készítsen teljes leltárt: Mérje fel, pontosan milyen verziójú PHP fut a szerverein. Ne felejtse el a háttérben futó adminisztrációs paneleket (cPanel, Plesk) és NAS-eszközöket sem ellenőrizni !
- Frissítsen azonnal: Frissítse a PHP futtatókörnyezetet a biztonságos verziók egyikére :
- PHP 8.2.35 vagy újabb
- PHP 8.3.36 vagy újabb
- PHP 8.4.27 vagy újabb
- PHP 8.5.12 vagy újabb
- Szigetelje le a régi verziókat: Ha elkerülhetetlen az elavult PHP 8.1 vagy régebbi futtatása, azonnal zárja el a nyilvános internet elől, tegye VPN mögé vagy használjon szigorú WAF (Web Application Firewall) védelmet !
📚 Források
- Huntress Blog: Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities
- PHP.net: ChangeLog-8
- Google Cloud Blog: Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619