Súlyos biztonsági hibákat találtak a PHP-ban, világszerte weboldalak álltak le

Több mint egy évtizeden át rejtve maradt két súlyos biztonsági hiba a világ weboldalainak jelentős részét működtető PHP programozási nyelvben. A BBC beszámolója szerint a sebezhetőségek feltárásában mesterséges intelligenciát is alkalmaztak, a felfedezés pedig világszerte sürgős biztonsági intézkedéseket váltott ki. A PHP2Shell néven ismertté vált hibák megfelelő körülmények között lehetővé tehetik, hogy támadók távolról kártékony programkódot futtassanak a webkiszolgálókon, vagy bizalmas adatokhoz férjenek hozzá.

A kutatók figyelmeztették az érintett vállalatokat és intézményeket, hogy rendszereik támadásoknak lehetnek kitéve. A kormányzati szervek és a kiberbiztonsági hatóságok világszerte a szükséges javítások telepítését sürgették, miközben egyes szervezetek elővigyázatosságból ideiglenesen leállították szolgáltatásaikat. Bár széles körű, sikeres támadássorozatról egyelőre nem érkezett megerősített jelentés, a hibák nyilvánosságra kerülése után nagy számban észleltek támadási kísérleteket.

Mi az a PHP, és miért érinthet több millió weboldalt a hiba?

A PHP egy nyílt forráskódú, szerveroldali programozási nyelv, amelyet elsősorban dinamikus weboldalak és internetes alkalmazások működtetésére használnak. A technológia az 1990-es évek közepén jelent meg, és azóta az internet egyik legelterjedtebb programozási nyelvévé vált.

Bár a felhasználók többsége közvetlenül nem találkozik vele, a PHP számtalan mindennapi internetes szolgáltatás működésében vesz részt. A nyelvet használják többek között a WordPress-alapú weboldalak, számos internetes áruház és a Wikipédia működtetésében is. Amikor valaki megnyit egy ilyen oldalt, a PHP a háttérben feldolgozhatja a kérést, adatokat kérhet le, és előállíthatja a böngészőben megjelenő tartalom egy részét.

A PHP-ra épülő fejlesztést olyan széles körben használt eszközök is segítik, mint a Laravel és a Symfony. A Drupal és a WordPress pedig olyan tartalomkezelő rendszerek, amelyek működésének szintén fontos része a PHP.

A Wiz kiberbiztonsági vállalat adatai szerint a technológiát a világ weboldalainak mintegy 70 százaléka használja. Ezért különösen jelentős, ha nem egyetlen weboldalban vagy bővítményben, hanem magában a programozási nyelv működésében fedeznek fel biztonsági hibát.

A PHP fejlesztését nemzetközi fejlesztői közösség végzi, amelynek munkáját a PHP Foundation nonprofit szervezet is támogatja. Az októberben nyilvánosságra hozott sebezhetőségek azért váltottak ki komoly aggodalmat, mert a PHP különböző változatait használó rendszerek széles körét érinthetik.

Két súlyos biztonsági hibát fedeztek fel a PHP-ban

A CVE-2026-109618 és CVE-2026-109619 azonosítójú sebezhetőségek a PHP memóriakezelésének hibáival kapcsolatosak. Mindkét problémát 9,2-es súlyosságúnak minősítették a tízfokozatú biztonsági értékelési rendszerben, vagyis a legsúlyosabb biztonsági kockázatok közé tartoznak.

A kutatók szerint a hibák megfelelő körülmények között lehetővé tehetik, hogy egy támadó hitelesítés nélkül programkódot futtasson az érintett webkiszolgálón. Ez súlyos esetben a szerver feletti irányítás részleges vagy teljes átvételéhez, illetve bizalmas adatok megszerzéséhez vezethet.

A sebezhetőségek feltárásában részt vevő Wiz és Calif kiberbiztonsági vállalatok arra figyelmeztettek, hogy a hibák hosszú időn keresztül észrevétlenek maradtak. Ryan Austin, a Calif kutatója a BBC-nek nyilatkozva rendkívül súlyosnak nevezte a felfedezett problémát.

Paul Spain, a Gorilla Cyber Security vezetője szerint a mesterséges intelligencia fejlődése tovább növelheti az ilyen sebezhetőségek jelentőségét. Az új eszközök ugyanis nemcsak a biztonsági kutatóknak segíthetnek a hibák feltárásában, hanem a támadók számára is megkönnyíthetik a sérülékeny rendszerek felkutatását és a támadások előkészítését.

Jill Slay, az Adelaide-i Egyetem kutatója szintén súlyos következményekre figyelmeztetett. Véleménye szerint különösen nagy veszélyt jelentene, ha bűnözői csoportok vagy állami szereplők tömegesen használnák ki a hibákat, és bizalmas információkat szereznének meg az érintett rendszerekből.

A PHP fejlesztői október 21-én biztonsági javításokat adtak ki. A támogatott verziók közül a PHP 8.2.35, 8.3.36, 8.4.27 és 8.5.12 kiadások tartalmazzák a két hiba javítását. A régebbi rendszerek esetében a Linux-disztribúciók vagy más szolgáltatók külön biztonsági frissítései is szükségesek lehetnek.

Világszerte weboldalakat és szolgáltatásokat állítottak le

A biztonsági hibák nyilvánosságra kerülése után több országban is átmeneti szolgáltatásleállások történtek. Ezek jelentős része nem igazolt kibertámadás következménye volt, hanem a szervezetek saját döntése alapján végrehajtott elővigyázatossági intézkedés, amelynek célja a szükséges javítások biztonságos telepítése volt.

A Wikimedia, a Wikipédia működését biztosító szervezet több rendszerét is ideiglenesen leállította. Hasonló intézkedések történtek Finnországban és az Egyesült Királyságban, valamint Hollandiában is, ahol a nemzeti kiberbiztonsági központ weboldala átmenetileg elérhetetlenné vált.

A brit kormány csütörtöki tájékoztatása szerint 32 weboldalt kapcsoltak le elővigyázatosságból. A hatóságok hangsúlyozták, hogy ezek között nem volt olyan alapvető közszolgáltatás, amelynek kiesése közvetlenül veszélyeztette volna a lakosságot.

Franciaországban az Orange távközlési vállalat egyes szolgáltatások elérését korlátozta a biztonsági javítások telepítésének idejére. Japánban a SoftBank ideiglenesen felfüggesztette bizonyos, földrengésekre, szökőárakra és más természeti katasztrófákra figyelmeztető mobiltelefonos értesítések működését.

A japán sajtó szerint az érintett ügyfeleket arra kérték, hogy a szolgáltatás helyreállításáig más hivatalos forrásokból tájékozódjanak a veszélyhelyzetekről. A korlátozás különösen érzékeny szolgáltatást érintett, hiszen Japánban a gyors földrengésriasztásoknak kiemelt szerepük van a lakosság biztonságában.

A leállások egy része rövid időn belül megszűnt, miután az üzemeltetők telepítették és ellenőrizték a javításokat. Más rendszereknél hosszabb időre volt szükség a megfelelő biztonsági intézkedések végrehajtásához.

A szakértők arra is figyelmeztettek, hogy a kisebb vállalkozások és intézmények különösen nehéz helyzetbe kerülhetnek. Ezek gyakran korlátozott informatikai erőforrásokkal rendelkeznek, így a sürgős frissítések telepítése és ellenőrzése hosszabb időt vehet igénybe.

A mesterséges intelligencia segített felfedezni a sebezhetőségeket

A PHP biztonsági hibáinak feltárásában fejlett mesterségesintelligencia-eszközöket is alkalmaztak. A kutatók olyan rendszereket használtak, amelyek nagy mennyiségű programkód elemzésével képesek felismerni a nehezen észrevehető hibákat és a lehetséges támadási lehetőségeket.

A vizsgálatokban az OpenAI által fejlesztett eszközök is szerepet kaptak. A mesterséges intelligencia segítségével a kutatók olyan problémákra is rábukkanhatnak, amelyek hagyományos módszerekkel hosszabb ideig rejtve maradnának.

Salil Kanhere, az UNSW Sydney kutatója szerint a most feltárt hibák nem újonnan keletkeztek. A változást elsősorban az jelentette, hogy a korszerű elemzőeszközökkel a szakemberek már képesek felismerni azokat a sebezhetőségeket, amelyek korábban hosszú időn át észrevétlenek maradtak.

A mesterséges intelligencia alkalmazása ugyanakkor kettős következményekkel járhat. Miközben a biztonsági kutatók gyorsabban találhatják meg és javíthatják ki a problémákat, a támadók is felhasználhatják ezeket az eszközöket sérülékeny rendszerek keresésére és támadási módszerek kidolgozására.

A Cloudflare internetbiztonsági vállalat vezetője, Matthew Prince szerint a hibák nyilvánosságra kerülése után meredeken emelkedett a kihasználásukra irányuló próbálkozások száma. A vállalat már a hivatalos bejelentés előtti órákban is jelentős támadási aktivitást észlelt, majd a nyilvánosságra hozatalt követően rövid idő alatt több százezer próbálkozást regisztrált. A kísérletek száma később milliós nagyságrendűre emelkedett.

Ezek az adatok azonban önmagukban nem jelentik azt, hogy ugyanennyi támadás sikerrel is járt. A szakértők szerint a biztonsági rések kihasználásának tényleges következményeit csak hosszabb vizsgálatok után lehet teljes körűen felmérni.

A PHP ráadásul nem kizárólag hagyományos weboldalakon fordul elő. A nyelvet egyes hálózati eszközök, vállalati rendszerek és interneten keresztül elérhető kezelőfelületek is használják, amelyek biztonsági frissítései könnyebben elmaradhatnak.

Mit tehetnek a WordPress-oldalak üzemeltetői a védekezésért?

A legtöbb internetezőnek nincs közvetlen teendője a PHP biztonsági hibáival kapcsolatban, mivel a javításokat a weboldalak és internetes szolgáltatások üzemeltetőinek kell telepíteniük. A saját weboldallal rendelkező vállalkozásoknak és szervezeteknek azonban érdemes mielőbb ellenőrizniük, hogy rendszereik megfelelő védelemmel rendelkeznek-e.

Különösen fontos ez a WordPress-alapú weboldalak esetében, mivel a tartalomkezelő rendszer működéséhez PHP-t használ. A most feltárt problémák azonban nem magában a WordPressben, hanem a PHP programozási nyelvben találhatók. Ezért önmagában a WordPress és a bővítmények frissítése nem elegendő a sebezhetőségek megszüntetéséhez.

A weboldal üzemeltetőjének ellenőriznie kell, hogy a tárhelyszolgáltató vagy a szerver rendszergazdája telepítette-e a megfelelő PHP-biztonsági javításokat. Fontos, hogy a ténylegesen futó PHP-környezet legyen naprakész, mert egyes szervereken egyszerre több PHP-verzió is telepítve lehet.

A támogatott PHP-verziókhoz 2026. október 21-én jelentek meg a biztonsági javításokat tartalmazó kiadások. Régebbi változatoknál előfordulhat, hogy a szolgáltató külön javítócsomagot készített. Ezeknél nem minden esetben változik meg a PHP verziószáma, ezért szükség lehet a telepített csomagok és azok kiadási dátumának ellenőrzésére is.

Az Európai Unió kiberbiztonsági vészhelyzeteket kezelő szervezete, a CERT-EU a javítások mielőbbi telepítését javasolja. Amennyiben ez nem lehetséges, az üzemeltetőknek mérlegelniük kell az érintett rendszerek internetes elérésének ideiglenes korlátozását, amíg a szükséges biztonsági intézkedések meg nem történnek.

Ken Munro kiberbiztonsági szakértő szerint a weboldal-tulajdonosok számára a legfontosabb lépés, hogy felvegyék a kapcsolatot tárhelyszolgáltatójukkal vagy informatikai üzemeltetőjükkel, és meggyőződjenek arról, hogy a megfelelő frissítéseket valóban telepítették.

A biztonsági szakértők az esetleges adathalász próbálkozásokra is figyelmeztetnek. A támadók kihasználhatják a sebezhetőségek körüli aggodalmat, és hamis biztonsági értesítésekkel vagy megtévesztő frissítési felszólításokkal próbálhatnak hozzáférni felhasználói fiókokhoz.

Az üzemeltetőknek ezért kizárólag megbízható forrásból származó javításokat érdemes telepíteniük, és fokozott figyelmet kell fordítaniuk a váratlan bejelentkezési kísérletekre, a szokatlan szervertevékenységekre és az esetleges biztonsági figyelmeztetésekre.

A PHP2Shell felfedezése jól mutatja, hogy még az internet működésének alapját képező, évtizedek óta használt technológiákban is maradhatnak súlyos biztonsági hibák. A mesterséges intelligencia fejlődése segítheti ezek gyorsabb felismerését, de a weboldalak biztonsága továbbra is nagymértékben függ attól, hogy az üzemeltetők milyen gyorsan telepítik a szükséges javításokat.