# PHP2Shell: mit kell tenned a céges weboldalad miatt?

URL: https://casterconsulting.hu/php2shell-ceges-weboldal/
Published: 2026-10-23
Updated: 2026-10-23
Author: Caster Consulting

> Ha a céges weboldalad vagy webshopod WordPressen vagy más PHP-alapú rendszeren fut, igen, ez a hét PHP2Shell-hibája téged is érint. A javítás többnyire a tárhelyszolgáltató dolga, a te dolgod az, hogy megkérdezd: megtörtént-e, és melyik PHP-verzión vagytok.

**Rövid válasz: ha a weboldalad WordPressen, webshopmotoron vagy bármilyen PHP-alapú rendszeren fut, igen, tenned kell valamit.** De nem azt, amit elsőre gondolnál. A WordPress vagy a bővítmények frissítése itt nem segít, mert a hiba alattuk, magában a PHP-ben van. A javítást a szerveren kell telepíteni, és ez a legtöbb kkv-nál a tárhelyszolgáltató dolga. A te feladatod egy kérdés: megtörtént-e, és melyik verzión vagytok.

## Mi történt?

A PHP fejlesztői október 21-én soron kívüli biztonsági frissítést adtak ki két kritikus hibára (CVE-2026-109618 és CVE-2026-109619), amelyeket a sajtó PHP2Shell néven emleget. Mindkettő 9,2-es súlyosságú, és hitelesítés nélkül, távolról kódfuttatást tesz lehetővé a szerveren. A javított verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP oldala szerint a hivatalosan már nem támogatott 7.4, 8.0 és 8.1 ágra csak minimális, soron kívüli javítás készült.

A The Register szerint minden webes kiszolgálásra használt PHP-telepítés érintett, a futtatás módjától függetlenül (PHP-FPM, Apache mod_php, php-cgi, LiteSpeed). A legnagyobb kockázatot a mod_php jelenti, mert ott a támadás még az alkalmazás kódja előtt elindulhat.

A TechCrunch szerint a hibák a 2004-es PHP 5 óta minden verzióban ott voltak, és AI-alapú biztonsági eszközökkel találták meg őket. Ez a hír igazi tanulsága. Ami húsz évig rejtve maradt, azt most egy gép megtalálta, és nem csak a védők gépe keres.

A támadók nem vártak. Az Amazon szerint az első kihasználási kísérletek már október 17-én, négy nappal a javítás előtt megjelentek. A HWSW a Cloudflare vezérigazgatójára hivatkozva azt írja, hogy a bejelentés után 45 perccel tízezres, két órával később több százezres volt a kísérletek száma. Hogy ebből hány járt sikerrel, nem tudni: a PHP csapata szerint a javítás előtt kiszivárgott támadókódok nem működtek, és a BleepingComputer által idézett elemzők sem tudtak megerősített betörésről.

Az óvatosság mégis látványos volt. A PCWplus szerint október 22-én hajnalban megelőző jelleggel lekapcsolták a magyarorszag.hu-t és több kormányzati oldalt; közvetlen behatolást nem észleltek. Október 23-án a PHP egy újabb, jóval szűkebb körben érvényes hibáról (CVE-2026-115560) is tájékoztatott, amelyre a javítás a következő kiadással jön.

## Mit jelent ez egy kkv-nak?

A legtöbb kkv-nak nincs saját webszervere. Van egy WordPress-oldala vagy webshopja egy tárhelyszolgáltatónál, amit egy ügynökség vagy szabadúszó épített évekkel ezelőtt. A TechCrunch szerint a WordPress maga is jelezte: a hiba nem WordPress-specifikus, a szervert kell javítani, a tárhelyszolgáltatóval együtt.

Ebből három gyakorlati kockázat következik.

**Az első: senki sem érzi a sajátjának.** Az ügynökség azt gondolja, a tárhely frissít. A tárhely azt gondolja, az ügyfél választja a PHP-verziót a vezérlőpulton. A cégvezető azt gondolja, „van rá emberünk”. Tipikus helyzet, hogy egy ilyen hétnél derül ki, hogy senkinél sincs leírva, ki felel a weboldal szerveréért.

**A második: a régi verzió.** Sok régi oldal azért fut még 7.4-es vagy 8.0-s PHP-n, mert egy elavult bővítmény újabbon nem működik. Ezekre az ágakra a PHP csak minimális javítást adott, és a 8.2 is december 31-én kifut a támogatásból. Ha a te oldalad is ilyen, a PHP2Shell nem az utolsó ilyen hét lesz.

**A harmadik: a frissítés nem takarít.** Ha a támadók a javítás előtt bejutottak, a frissítés nem távolítja el, amit hátrahagytak. Az Amazon figyelmeztetése szerint nem szabad abból kiindulni, hogy a nyilvános bejelentés napja volt a támadások első napja.

Ugyanaz a tanulság, mint a ConnectWise-incidensnél, amelyről [múlt héten írtunk](/connectwise-microsoft-365-tamadas/): nem az a kérdés, hogy megbízol-e a szolgáltatódban, hanem hogy tudod-e, mit csinál helyetted.

## Mit tegyél most?

1. **Kérdezd meg ma a tárhelyszolgáltatót** (vagy azt, aki az oldalt üzemelteti): telepítették-e a 21-i javítást, és pontosan melyik PHP-verzión fut az oldalatok. A válasz legyen írásban, verziószámmal.
2. **Ha a verzió 8.1 vagy régebbi, tervezz váltást.** Kérdezd meg a fejlesztőt, mi akadályozza a frissítést, és mennyi munka egy támogatott verzióra állni. Ha a 8.2-n vagy, az is legkésőbb az év végéig esedékes.
3. **Nézz körül az oldalon.** Van-e ismeretlen adminisztrátor a WordPressben, változtak-e mostanában fájlok, amelyeket senki nem módosított? Ha bizonytalan vagy, kérj átnézést attól, aki az oldalt üzemelteti.
4. **Legyen friss, a szervertől független mentésed** az oldalról és az adatbázisról, és tudd, ki tudja visszaállítani. A [zsarolóvírus és mentési stratégia](/zsarolovirus-mentesi-strategia/) cikkünkben leírtuk, hogyan érdemes ezt felépíteni.
5. **Írd le egy helyre, ki felel a weboldal szerveréért,** ki értesít, ha kritikus frissítés jön, és mennyi időn belül telepítik. A következő ilyen hét nem évek múlva jön.

Ha szeretnéd, hogy valaki átnézze, hogyan frissül és mentődik a céges weboldalad és a többi rendszered, nézd meg az [infrastruktúra](/infrastruktura/) szolgáltatásunkat.

## Sources

- [PHP.net – News archive 2026 (critical security advisory, 21 Oct; session upload progress advisory, 23 Oct)](https://www.php.net/archive/2026.php)
- [The Register – PHP devs publish critical bug fix as site owners warned: Pull 'em offline if you're unpatched](https://www.theregister.com/security/2026/10/21/php-devs-publish-critical-bug-fix-as-site-owners-warned-pull-em-offline-if-youre-unpatched/5304519)
- [BleepingComputer – Amazon says PHP2Shell exploitation began 4 days before patches](https://www.bleepingcomputer.com/news/security/amazon-says-php2shell-exploitation-began-4-days-before-patches/)
- [TechCrunch – PHP Armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet](https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet/)
- [HWSW – Azonnal ráugrottak a hackerek a súlyos PHP-sérülékenységekre](https://www.hwsw.hu/hirek/71134/php-critical-vulnerability-sebezhetoseg-tamadas-hack-hacker.html)
- [PCWplus – Lekapcsolták a Magyarország.hu-t: 10 éves hibát fedezett fel az AI a PHP-ben](https://www.pcwplus.hu/pcwlite/lekapcsoltak-a-magyarorszaghut-10-eves-hibat-fedezett-fel-az-ai-a-phpben-389838.html)