Kritikus PHP-sérülékenység: leállt a magyarorszag.hu is

Két kritikus biztonsági rés miatt október 21-én sürgős frissítést adtak ki a PHP-hoz, a világ weboldalainak nagy részét működtető programozási nyelvhez. A támadások szinte azonnal megindultak, és világszerte weboldalak ezreit kellett ideiglenesen lekapcsolni – köztük a magyarorszag.hu kormányzati ügyintézési portált is. Ez jól mutatja, mekkora a baj.

Mi történt?

A PHP fejlesztői október 20-án, kedden jelezték, hogy sürgős frissítés érkezik, technikai részleteket azonban nem árultak el. A javítások egy nappal később, október 21-én délután jelentek meg. A két hiba a CVE-2026-109618 és a CVE-2026-109619 azonosítót kapta, súlyosságuk a 10-es skálán 9,2. Egyes szakértők együtt csak „PHP2Shell”-ként emlegetik őket.

A hibák a PHP olyan alapvető részeit érintik, amelyeket szinte minden kérés használ, és bejelentkezés nélkül, távolról is kihasználhatók. A Nemzeti Kibervédelmi Intézet (NKI) figyelmeztetése szerint különösen veszélyeztetettek a mod_php modullal futó Apache-szerverek, ahol egyetlen HTTP-kérés is elindíthatja a támadást, még mielőtt a weboldal saját kódja egyáltalán lefutna.

Milyen gyorsan jöttek a támadók?

A Cloudflare vezérigazgatója szerint már a bejelentés előtt 10 órával ezres nagyságrendű kihasználási kísérletet láttak, 45 perccel utána tízezreset, két órával később százezreset, mára pedig milliós nagyságrendűt. Ezért döntött úgy sok cég és állami szervezet – Magyarországon a magyarorszag.hu üzemeltetője is –, hogy a frissítésig inkább lekapcsolja a szolgáltatást.

Miért aggasztó ez ennyire?

A becslések szerint a weboldalak több mint 70 százaléka PHP-n fut, köztük a WordPress-alapú oldalak is. A VirusTotal adatai szerint mintegy 5,1 millió internetről elérhető IP-címen fut PHP, ebből legalább 758 ezer már nem támogatott, elavult verziót használ. A Cisco Talos becslése szerint az érintett rendszerek nagyjából fele ilyen régi verzión van – ezek közül sok valószínűleg sosem kapja meg a javítást.

Az MI találta meg – két évvel később

A történet különös része, hogy az egyik hiba jeleit már 2024-ben észrevették, érdemi lépés azonban nem történt. Idén mesterséges intelligencián alapuló kódelemző eszközök – többek között az Anthropic és az OpenAI megoldásai – hozták újra felszínre a problémát. A hibát augusztus 11-én hivatalosan is bejelentette egy kutató, és tőle függetlenül az OpenAI, a Wiz és a Trail of Bits is megtalálta. A javítás azért húzódott, mert a lehetséges megoldások megtörhették volna a visszafelé kompatibilitást, és sok külső PHP-bővítményt is érintettek. A helyzetet tovább rontotta, hogy egy működő bemutató videó idő előtt kiszivárgott.

Mit kell most tenni?

• Frissíts azonnal. A javított verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Ennél régebbi kiadás nem biztonságos.
• Ha régi PHP-d van (7.4, 8.0 vagy 8.1), az nem támogatott verzió. Ezekhez csak rendkívüli javítás készült, ezért a legjobb mielőbb átállni egy támogatott kiadásra. A PHP fejlesztői szerint a frissítetlen, régi verziót futtató szervereket inkább le kell állítani.
• Kérdezd meg a tárhelyszolgáltatódat. Megosztott tárhelynél a PHP-t általában a szolgáltató frissíti – érdemes rákérdezni, megtörtént-e már, és a tárhely kezelőfelületén ellenőrizni, melyik verzión fut az oldalad.
• Nézd át a naplókat. Ha az oldalad az elmúlt napokban frissítetlen PHP-n futott, érdemes átnézni a szervernaplókat és a weboldal fájljait gyanús változások után kutatva.
• Frissítsd a többit is. WordPress-oldalnál a motort, a sablont és a bővítményeket is – egy támadó mindig a leggyengébb pontot keresi.

Összegzés

Ritkán fordul elő, hogy egyetlen hiba miatt kormányzati portálok és weboldalak ezrei álljanak le egyszerre. Ez az eset is azt mutatja, hogy egy weboldal nem „kész termék”: a mögötte futó szoftvert rendszeresen frissíteni és felügyelni kell.

Ha nem vagy biztos benne, hogy a weboldalad biztonságos PHP-verzión fut, vagy segítség kell a frissítéshez, keress bizalommal – megnézem és rendbe teszem.