Két kritikus sérülékenység miatt adott ki riasztást a Nemzeti Kibervédelmi Intézet (NBSZ NKI) a PHP-ról, amelyen a weboldalak és webshopok nagy része fut. A javítások október 21-én, szerdán jelentek meg, a szervereket a lehető leghamarabb frissíteni kell.
Miért ilyen veszélyes?
A két hiba (CVE-2026-109618 és CVE-2026-109619) egyaránt 9,2-es, kritikus súlyossági besorolást kapott. Kihasználásukkal a támadók belépés nélkül, távolról tetszőleges kódot futtathatnak a szerveren. Az uniós CERT-EU szerint egyetlen kérés is elég lehet, és a támadás még azelőtt lefut, hogy a weboldal saját kódja elindulna.
A technikai részletek már nyilvánosak, és megjelentek az első működő támadási minták is. A CERT-EU szerint emiatt nő az esélye, hogy a hibákat már ki is használják.
Minden PHP-telepítés veszélyben van, amely webes kéréseket szolgál ki.
Kiket érint?
Gyakorlatilag minden PHP-n futó weboldalt és webshopot, így a WordPress-, WooCommerce-, Joomla- vagy Magento-alapú oldalakat is. A hiba a PHP-FPM, az Apache mod_php, a php-cgi, a FrankenPHP és a LiteSpeed alatt futó rendszereket egyaránt érinti, a legnagyobb kockázatot a mod_php jelenti.
- PHP 8.5 – a 8.5.12 előtti verziók
- PHP 8.4 – a 8.4.27 előtti verziók
- PHP 8.3 – a 8.3.36 előtti verziók
- PHP 8.2 – a 8.2.35 előtti verziók
- a már nem támogatott PHP 8.1 és régebbi verziók
Fontos: a régi, 8.1-es vagy korábbi PHP-n futó oldalak hivatalos frissítést nem kapnak. A PHP csapata a 7.4-es, 8.0-s és 8.1-es ágakhoz csak forráskódos javítást adott ki, ezért ezeket az oldalakat érdemes támogatott verzióra átállítani.
Mit kell most tenni?
A hibát csak a frissítés szünteti meg teljesen. A javított verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A Linux-terjesztések előre megkapták a javításokat, így a szerverek csomagjai már frissíthetők.
- Ha tárhelyen fut az oldalad: nézd meg a tárhely kezelőfelületén, milyen PHP-verziót használ, és kérdezd meg a szolgáltatót, telepítette-e már a javítást. WordPressben ez az Eszközök › Honlap egészség › Infó › Szerver menüpontban is látszik.
- Ha saját szervered van: frissítsd azonnal a PHP-csomagokat, és indítsd újra a PHP-folyamatokat.
- Ha nem tudsz azonnal frissíteni: az NKI szerint az internetről elérhető érintett rendszereket le kell választani a külső hálózatról, vagy ideiglenesen fel kell függeszteni a működésüket a javításig.
Rendszergazdáknak a CERT-EU ideiglenes beállításokat is ajánl (például a session.upload_progress.enabled kikapcsolását és a post_max_size csökkentését), ezek azonban csak bizonyos támadási utakat zárnak le, a frissítést nem helyettesítik.
