Újabb PHP-sérülékenység – már a harmadik egy héten belül

Még szinte el sem ültek a múlt heti PHP2Shell-támadások, máris itt a következő: október 26-án a PHP fejlesztői ismét rendkívüli frissítést adtak ki. Ez már a harmadik komoly PHP-sérülékenység egy héten belül – ezúttal azonban nem maga a PHP, hanem egy beépített tömörítő könyvtár a hibás.

Ez most egy másik hiba

Fontos tisztázni: ez nem a múlt heti eset ismétlése. A PHP2Shell néven elhíresült két hiba a PHP magjában volt, és szinte minden PHP-s szervert érintett. Az új sérülékenység (CVE-2026-111497) a Brotli nevű, a Google által fejlesztett tömörítő könyvtárban található, amelyet a PHP hivatalos Windowsos csomagjai tartalmaznak.

Hogyan működik a támadás?

A Brotli feladata, hogy a tömörítve érkező adatokat kicsomagolja. A hibás változat egy különlegesen összeállított tömörített válasz feldolgozásakor összezavarhatja a memóriát, ami rossz esetben akár idegen kód futtatásához is vezethet.

A PHP-ban ez a cURL bővítményen keresztül érhető el – ezt használják a weboldalak arra, hogy más szerverekről adatot kérjenek le (például árfolyamot, szállítási díjat, külső API-t). A veszély akkor áll fenn, ha be van kapcsolva az automatikus kicsomagolás. A cURL ezt alapból nem teszi meg, de a népszerű Guzzle könyvtár alapbeállításként igen, így sok alkalmazás észrevétlenül érintett lehet. A támadónak ehhez olyan szervert kell „megszólíttatnia” az oldallal, amelyet ő irányít.

Kit érint?

• Érintett: a PHP 8.2, 8.3, 8.4 és 8.5 hivatalos Windowsos kiadásai, amelyek a Brotli 1.2.0-s változatát tartalmazták.
• Linuxos tárhelyek: a legtöbb magyar tárhelyszolgáltató Linuxot használ, ahol a Brotlit a rendszer saját csomagjai adják – ott a szerver rendszerfrissítése hozza a javítást. Érdemes rákérdezni a szolgáltatónál.
• Súlyosság: a Google 9,2-esre (kritikus), a Red Hat 8,1-esre (fontos) értékelte. Tömeges kihasználásról egyelőre nem tudni, de egy kutatócsoport laborkörülmények között már kódot futtatott a hibán keresztül.

Mit kell tenni?

• Windowsos PHP esetén: töltsd le az újraépített csomagot: 8.5.12-1, 8.4.27-1, 8.3.36-1 vagy 8.2.35-1. Vigyázat: a verziószám nem változott, a php -v ugyanazt írja ki, mint korábban – a javított változatot a „-1” végződés és a letöltőoldalon közölt ellenőrzőkód (SHA-256) alapján lehet felismerni.
• Ha most nem tudsz frissíteni: kapcsold ki az automatikus kicsomagolást. Natív cURL-nél ne állítsd be a CURLOPT_ENCODING opciót, Guzzle-nél pedig állítsd a decode_content beállítást false értékre. Nem elég, ha a kérésből kiveszed a „br” tömörítést – a támadó szerver attól még küldhet Brotli-adatot.
• A múlt heti frissítés megmarad: az új csomagok ugyanarra a forráskódra épülnek, mint az október 21-i kiadások, így a PHP2Shell javítása is benne van. Aki viszont azt még nem telepítette, most már tényleg ne halogassa.
• Linuxon: futtasd le a rendszerfrissítést, vagy kérdezd meg a tárhelyszolgáltatót, hogy a Brotli-csomag javítása megtörtént-e.

Miért jön most ennyi hiba egyszerre?

Az utóbbi hetekben a mesterséges intelligenciára épülő kódelemző eszközök sorra találják meg a régóta lappangó hibákat – a Brotli-sérülékenységet is az OpenAI kutatói fedezték fel. Ez hosszú távon jó hír, mert biztonságosabbak lesznek a programok, rövid távon viszont sűrűbben kell frissíteni. Aki weboldalt üzemeltet, most különösen figyeljen a biztonsági értesítésekre.

Ha bizonytalan vagy abban, hogy a weboldalad szervere naprakész-e, vagy segítség kell a frissítéshez, keress bizalommal – megnézem és rendbe teszem.