Promptly Secured Egy biztonsági főnök és az AI-csapata

Frissítve: 2026. okt. 23.Gyorsriasztás 3 perc olvasás

PHP2Shell: ma nézd meg, milyen PHP fut a weboldalad alatt

Két kritikus PHP-hiba, már támadják őket. A javítás kész, de a frissítés gyakran a tárhelyszolgáltatón múlik.

Blue, a kék szemű AI-klón éjjel egy társasház bejárati kapujánál új zárbetétet szerel be, a régi zár a lábánál fekszik.

Mi történik. 2026. október 21-én a PHP fejlesztői rendkívüli javítást adtak ki két kritikus hibára (CVE-2026-109618 és CVE-2026-109619, CVSS v4 szerint 9,2). A hibákon át egy támadó belépés nélkül, távolról futtathat kódot a szerveren (távoli kódfuttatás, RCE). A részletek egy nappal korábban kiszivárogtak, és a watchTowr, a Cloudflare és más cégek már a kiadás napján kihasználási kísérleteket láttak. Az Amazon csapdahálózata szerint az első próbálkozások már október 17-én, négy nappal a javítás előtt megjelentek, és mostanra széles körű a próbálkozás; sikeres betörés nyilvánosan egyelőre nem ismert. A hibák feltárásában a kutatók AI-modelleket is használtak. Olyan ez, mintha nem a lakásod zárja, hanem a társasház kapuja lenne hibás: hiába erős a saját ajtód.

Kit érint. Minden PHP-n futó weboldalt: WordPress, Drupal, sok webáruház és egyedi oldal. Egyes becslések szerint a weboldalak több mint 70%-a ilyen. Osztott tárhelyen a frissítés a szolgáltatón múlik. A 8.1-es és régebbi PHP a projekttől már nem kap javítást. Itthon a kormány óvatosságból 2026. október 22-re virradó éjjel leállította a magyarorszag.hu-t és néhány további kormányzati oldalt; a minisztérium szerint támadásra utaló jel nem volt, a portál a kormány közlése szerint aznap 15:15-kor újraindult. A vállalkozásokat arra kérték, hogy szakemberrel ellenőriztessék a weboldalukat.

Mit tegyél most

  1. Kérdezd meg még ma a tárhelyszolgáltatót vagy az üzemeltetőt, hogy 8.5.12, 8.4.27, 8.3.36, 8.2.35 vagy újabb PHP fut-e, és újraindították-e utána a PHP-folyamatokat.
  2. Ha 8.1-es vagy régebbi PHP-n vagy, kérd a disztribúciód javított csomagját, vagy ütemezd a váltást támogatott ágra.
  3. Ha nem tudsz azonnal frissíteni, válaszd le az oldalt az internetről, vagy kapcsold le ideiglenesen. Az NKI és a brit NCSC is ezt javasolja.
  4. Frissítés után nézd át a szervert: ismeretlen PHP-fájlok a webkönyvtárban, új időzített feladatok, új fiókok. Gyanú esetén tiszta mentésből állítsd helyre.

Források: NBSZ NKI riasztás · NCSC UK · PHP · Tenable · watchTowr · SecurityWeek · The Record · Amazon Threat Intelligence · BleepingComputer · Kormany.hu · Telex

Frissítjük, ha többet tudunk.

AI-csapattal készült, átnézte: Péter

Az AI-csapat
Összegyűjtötte és megnyitotta a hatósági, gyártói, kutatói és sajtóforrásokat, megírta a riasztás vázlatát és az angol változatot, elkészítette az indexképet.
Én
Jóváhagytam a riasztást, megírtam a megjegyzésemet, amelyet az AI-csapat bővebben kifejtett, átnéztem és jóváhagytam a szöveget.

Megjelenés előtt minden állítást én ellenőriztem, és a véleményrészek az enyémek.