SG.hu·
Egy kritikus PHP-sebezhetőség miatt akár már ma leállhatnak weboldalak
A PHP fejlesztői hamarosan kiadják a két kritikus sebezhetőséget javító frissítést, de szakértők szerint a támadók már a javítás megjelenése előtt megkezdhették a sérülékeny rendszerek kihasználását.
A weboldalak és webalkalmazások létrehozásához széles körben használt PHP programozási nyelvhez várhatóan még ma kiadják a biztonsági javításokat, amelyek célja két kritikus sebezhetőség megszüntetése. Ha ezeket nem sikerül időben orvosolni, súlyos fennakadásokat okozhatnak az interneten. A PHP fejlesztői a közzétett biztonsági tájékoztatóban azt írták, hogy a sebezhetőségek súlyossági besorolása a lehetséges 10 pontból 9,2. Egyes kiberbiztonsági ügynökségek arra biztatják a weboldalak üzemeltetőit, hogy ideiglenesen állítsák le rendszereiket, ha nem tudják azonnal telepíteni a javítást.
A biztonsági javítás várhatóan ma jelenik meg. A fejlesztők ugyanakkor azt közölték, hogy korábban is kiadhatják, ha a sebezhetőségek részletei nyilvánosságra kerülnek, vagy bizonyíték merül fel arra, hogy a támadók már aktívan kihasználják őket. A PHP felhasználóit arra sürgetik, hogy „a kiadás elérhetővé válásakor a lehető leghamarabb frissítsenek”. A watchTowr kiberbiztonsági vállalat szerint a sebezhetőségek távoli kódfuttatást lehetővé tevő biztonsági rések, amelyek a jelentések szerint a PHP 5-ös verziójától kezdve az összes kiadást érintik. Ezek lehetővé tehetik a támadók számára, hogy saját kódjukat futtassák az érintett szervereken, így rosszindulatúan módosíthatják a weboldalakat, adatokat lophatnak, és egyéb károkat okozhatnak.
A sebezhetőségek hatása rendkívül széles körű lehet: egy biztonsági kutató becslése szerint több mint 1,3 millió, internethez csatlakozó gazdagép lehet érintett. A Wordfence, a WordPresshez készült biztonsági bővítmények szolgáltatója szintén arra figyelmeztetett, hogy minden WordPress-oldal sebezhető lesz, mivel mindegyik olyan szervereken fut, amelyek PHP-t használnak. Ez nem csekély számú weboldalt jelent, hiszen a WordPress tavaly arról számolt be, hogy az internet több mint 40 százalékát működteti. A Wordfence arra is felhívta a figyelmet, hogy a javítás nem telepíthető automatikus frissítésekkel, ezért a weboldalak üzemeltetőinek meg kell tudniuk, ki felel a PHP frissítéséért, hogy a javítást manuálisan alkalmazhassák.
Az Európai Unió Számítógép-biztonsági Incidenskezelő Csoportja és az Egyesült Királyság Nemzeti Kiberbiztonsági Központja egyaránt biztonsági tájékoztatót adott ki. Ezekben arra ösztönzik azokat a vállalatokat, amelyek nem tudják azonnal javítani a rendszereiket, hogy különítsék el a nyilvános hálózatoktól az internet felől elérhető alkalmazásaikat, vagy teljesen állítsák le azokat mindaddig, amíg a sebezhetőségeket teljes körűen el nem hárítják.
A GrapheneOS mobil operációs rendszer fejlesztői közölték, hogy ideiglenesen elérhetetlenné tették a felhasználói fórumaikat, mivel már készülnek a sebezhetőségeket kihasználó koncepcióbizonyító támadási kódok, és „nem akarják vállalni a kockázatot”. Gina Peter Banyard, a PHP egyik fejlesztője szerint a javítás telepítése az egyetlen megoldás a sebezhetőség elhárítására. Ha ez nem lehetséges, „a szerverek leállítása lehet a legésszerűbb lépés”.
Több kiberbiztonsági szervezet is arra figyelmeztette a PHP-rendszergazdákat, hogy készüljenek fel a támadásokra. A Sansec fenyegetéselemzői a javítás megjelenését követő 15 percen belül „tömeges támadásokra” számítanak. Ez azonban nem jelenti azt, hogy a támadók addig tétlenül várnának. Dane Knecht, a Cloudflare technológiai igazgatója azt mondta, hogy „már megjelentek az első támadások” a platform PHP-t használó weboldalai ellen. Hozzátette, hogy a Cloudflare átmenetileg módosítja a tűzfalszabályait, hogy áthidaló védelmet biztosítson a javítás elérhetővé válásáig.
A weboldalak és webalkalmazások létrehozásához széles körben használt PHP programozási nyelvhez várhatóan még ma kiadják a biztonsági javításokat, amelyek célja két kritikus sebezhetőség megszüntetése. Ha ezeket nem sikerül időben orvosolni, súlyos fennakadásokat okozhatnak az interneten. A PHP fejlesztői a közzétett biztonsági tájékoztatóban azt írták, hogy a sebezhetőségek súlyossági besorolása a lehetséges 10 pontból 9,2. Egyes kiberbiztonsági ügynökségek arra biztatják a weboldalak üzemeltetőit, hogy ideiglenesen állítsák le rendszereiket, ha nem tudják azonnal telepíteni a javítást.
A biztonsági javítás várhatóan ma jelenik meg. A fejlesztők ugyanakkor azt közölték, hogy korábban is kiadhatják, ha a sebezhetőségek részletei nyilvánosságra kerülnek, vagy bizonyíték merül fel arra, hogy a támadók már aktívan kihasználják őket. A PHP felhasználóit arra sürgetik, hogy „a kiadás elérhetővé válásakor a lehető leghamarabb frissítsenek”. A watchTowr kiberbiztonsági vállalat szerint a sebezhetőségek távoli kódfuttatást lehetővé tevő biztonsági rések, amelyek a jelentések szerint a PHP 5-ös verziójától kezdve az összes kiadást érintik. Ezek lehetővé tehetik a támadók számára, hogy saját kódjukat futtassák az érintett szervereken, így rosszindulatúan módosíthatják a weboldalakat, adatokat lophatnak, és egyéb károkat okozhatnak.
A sebezhetőségek hatása rendkívül széles körű lehet: egy biztonsági kutató becslése szerint több mint 1,3 millió, internethez csatlakozó gazdagép lehet érintett. A Wordfence, a WordPresshez készült biztonsági bővítmények szolgáltatója szintén arra figyelmeztetett, hogy minden WordPress-oldal sebezhető lesz, mivel mindegyik olyan szervereken fut, amelyek PHP-t használnak. Ez nem csekély számú weboldalt jelent, hiszen a WordPress tavaly arról számolt be, hogy az internet több mint 40 százalékát működteti. A Wordfence arra is felhívta a figyelmet, hogy a javítás nem telepíthető automatikus frissítésekkel, ezért a weboldalak üzemeltetőinek meg kell tudniuk, ki felel a PHP frissítéséért, hogy a javítást manuálisan alkalmazhassák.
Rough estimate - likely over 1.3 million internet exposed hosts vulnerable to #PHP2Shell For all PHP: `host.services.software.product: "PHP"` ( 2,574,043 results) platform.censys.io/search?q=hos... @censys.bsky.social query: gist.github.com/silascutler/...
— Silas Cutler (@silascutler.bsky.social) 2026. október 21. 2:58
[image or embed]
Az Európai Unió Számítógép-biztonsági Incidenskezelő Csoportja és az Egyesült Királyság Nemzeti Kiberbiztonsági Központja egyaránt biztonsági tájékoztatót adott ki. Ezekben arra ösztönzik azokat a vállalatokat, amelyek nem tudják azonnal javítani a rendszereiket, hogy különítsék el a nyilvános hálózatoktól az internet felől elérhető alkalmazásaikat, vagy teljesen állítsák le azokat mindaddig, amíg a sebezhetőségeket teljes körűen el nem hárítják.
A GrapheneOS mobil operációs rendszer fejlesztői közölték, hogy ideiglenesen elérhetetlenné tették a felhasználói fórumaikat, mivel már készülnek a sebezhetőségeket kihasználó koncepcióbizonyító támadási kódok, és „nem akarják vállalni a kockázatot”. Gina Peter Banyard, a PHP egyik fejlesztője szerint a javítás telepítése az egyetlen megoldás a sebezhetőség elhárítására. Ha ez nem lehetséges, „a szerverek leállítása lehet a legésszerűbb lépés”.
Több kiberbiztonsági szervezet is arra figyelmeztette a PHP-rendszergazdákat, hogy készüljenek fel a támadásokra. A Sansec fenyegetéselemzői a javítás megjelenését követő 15 percen belül „tömeges támadásokra” számítanak. Ez azonban nem jelenti azt, hogy a támadók addig tétlenül várnának. Dane Knecht, a Cloudflare technológiai igazgatója azt mondta, hogy „már megjelentek az első támadások” a platform PHP-t használó weboldalai ellen. Hozzátette, hogy a Cloudflare átmenetileg módosítja a tűzfalszabályait, hogy áthidaló védelmet biztosítson a javítás elérhetővé válásáig.