Rövid válasz: ha a weboldalad WordPressen, webshopmotoron vagy bármilyen PHP-alapú rendszeren fut, igen, tenned kell valamit. De nem azt, amit elsőre gondolnál. A WordPress vagy a bővítmények frissítése itt nem segít, mert a hiba alattuk, magában a PHP-ben van. A javítást a szerveren kell telepíteni, és ez a legtöbb kkv-nál a tárhelyszolgáltató dolga. A te feladatod egy kérdés: megtörtént-e, és melyik verzión vagytok.
Mi történt?
A PHP fejlesztői október 21-én soron kívüli biztonsági frissítést adtak ki két kritikus hibára (CVE-2026-109618 és CVE-2026-109619), amelyeket a sajtó PHP2Shell néven emleget. Mindkettő 9,2-es súlyosságú, és hitelesítés nélkül, távolról kódfuttatást tesz lehetővé a szerveren. A javított verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP oldala szerint a hivatalosan már nem támogatott 7.4, 8.0 és 8.1 ágra csak minimális, soron kívüli javítás készült.
A The Register szerint minden webes kiszolgálásra használt PHP-telepítés érintett, a futtatás módjától függetlenül (PHP-FPM, Apache mod_php, php-cgi, LiteSpeed). A legnagyobb kockázatot a mod_php jelenti, mert ott a támadás még az alkalmazás kódja előtt elindulhat.
A TechCrunch szerint a hibák a 2004-es PHP 5 óta minden verzióban ott voltak, és AI-alapú biztonsági eszközökkel találták meg őket. Ez a hír igazi tanulsága. Ami húsz évig rejtve maradt, azt most egy gép megtalálta, és nem csak a védők gépe keres.
A támadók nem vártak. Az Amazon szerint az első kihasználási kísérletek már október 17-én, négy nappal a javítás előtt megjelentek. A HWSW a Cloudflare vezérigazgatójára hivatkozva azt írja, hogy a bejelentés után 45 perccel tízezres, két órával később több százezres volt a kísérletek száma. Hogy ebből hány járt sikerrel, nem tudni: a PHP csapata szerint a javítás előtt kiszivárgott támadókódok nem működtek, és a BleepingComputer által idézett elemzők sem tudtak megerősített betörésről.
Az óvatosság mégis látványos volt. A PCWplus szerint október 22-én hajnalban megelőző jelleggel lekapcsolták a magyarorszag.hu-t és több kormányzati oldalt; közvetlen behatolást nem észleltek. Október 23-án a PHP egy újabb, jóval szűkebb körben érvényes hibáról (CVE-2026-115560) is tájékoztatott, amelyre a javítás a következő kiadással jön.
Mit jelent ez egy kkv-nak?
A legtöbb kkv-nak nincs saját webszervere. Van egy WordPress-oldala vagy webshopja egy tárhelyszolgáltatónál, amit egy ügynökség vagy szabadúszó épített évekkel ezelőtt. A TechCrunch szerint a WordPress maga is jelezte: a hiba nem WordPress-specifikus, a szervert kell javítani, a tárhelyszolgáltatóval együtt.
Ebből három gyakorlati kockázat következik.
Az első: senki sem érzi a sajátjának. Az ügynökség azt gondolja, a tárhely frissít. A tárhely azt gondolja, az ügyfél választja a PHP-verziót a vezérlőpulton. A cégvezető azt gondolja, „van rá emberünk”. Tipikus helyzet, hogy egy ilyen hétnél derül ki, hogy senkinél sincs leírva, ki felel a weboldal szerveréért.
A második: a régi verzió. Sok régi oldal azért fut még 7.4-es vagy 8.0-s PHP-n, mert egy elavult bővítmény újabbon nem működik. Ezekre az ágakra a PHP csak minimális javítást adott, és a 8.2 is december 31-én kifut a támogatásból. Ha a te oldalad is ilyen, a PHP2Shell nem az utolsó ilyen hét lesz.
A harmadik: a frissítés nem takarít. Ha a támadók a javítás előtt bejutottak, a frissítés nem távolítja el, amit hátrahagytak. Az Amazon figyelmeztetése szerint nem szabad abból kiindulni, hogy a nyilvános bejelentés napja volt a támadások első napja.
Ugyanaz a tanulság, mint a ConnectWise-incidensnél, amelyről múlt héten írtunk: nem az a kérdés, hogy megbízol-e a szolgáltatódban, hanem hogy tudod-e, mit csinál helyetted.
Mit tegyél most?
- Kérdezd meg ma a tárhelyszolgáltatót (vagy azt, aki az oldalt üzemelteti): telepítették-e a 21-i javítást, és pontosan melyik PHP-verzión fut az oldalatok. A válasz legyen írásban, verziószámmal.
- Ha a verzió 8.1 vagy régebbi, tervezz váltást. Kérdezd meg a fejlesztőt, mi akadályozza a frissítést, és mennyi munka egy támogatott verzióra állni. Ha a 8.2-n vagy, az is legkésőbb az év végéig esedékes.
- Nézz körül az oldalon. Van-e ismeretlen adminisztrátor a WordPressben, változtak-e mostanában fájlok, amelyeket senki nem módosított? Ha bizonytalan vagy, kérj átnézést attól, aki az oldalt üzemelteti.
- Legyen friss, a szervertől független mentésed az oldalról és az adatbázisról, és tudd, ki tudja visszaállítani. A zsarolóvírus és mentési stratégia cikkünkben leírtuk, hogyan érdemes ezt felépíteni.
- Írd le egy helyre, ki felel a weboldal szerveréért, ki értesít, ha kritikus frissítés jön, és mennyi időn belül telepítik. A következő ilyen hét nem évek múlva jön.
Ha szeretnéd, hogy valaki átnézze, hogyan frissül és mentődik a céges weboldalad és a többi rendszered, nézd meg az infrastruktúra szolgáltatásunkat.
Források
- PHP.net – News archive 2026 (critical security advisory, 21 Oct; session upload progress advisory, 23 Oct)
- The Register – PHP devs publish critical bug fix as site owners warned: Pull 'em offline if you're unpatched
- BleepingComputer – Amazon says PHP2Shell exploitation began 4 days before patches
- TechCrunch – PHP Armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet
- HWSW – Azonnal ráugrottak a hackerek a súlyos PHP-sérülékenységekre
- PCWplus – Lekapcsolták a Magyarország.hu-t: 10 éves hibát fedezett fel az AI a PHP-ben
