Két kritikus PHP-hibát javítottak, bejelentkezés nélkül is kódot futtathatnak
Már támadási kísérleteket jelez a Cloudflare a PHP két kritikus hibája ellen, amelyek részletei a javítás előtt kiszivárogtak. A 2026. október 21-én kiadott biztonsági frissítések hitelesítés nélkül, távolról kihasználható sérülékenységeket zárnak le. Az NBSZ NKI haladéktalan frissítést javasol; a mod_php használatával működő telepítéseknél különösen magas a kockázat.
Az alkalmazáskód előtt is elindulhat a támadás
Az NBSZ NKI riasztása szerint minden, webes kérések kiszolgálására használt PHP-telepítés érintettnek tekinthető. A CVE-2026-109618 és a CVE-2026-109619 egyaránt 9,2-es CVSS v4.0 besorolást kapott. A CVSS a műszaki súlyosságot jelzi egy 0-10 skálán, önmagában nem bizonyítja a kihasználást.
A mod_php használatával működő rendszereknél egy hitelesítés nélküli HTTP-kérés már az alkalmazáskód végrehajtása előtt kiválthatja a támadási útvonalat. Az intézet ezért ezeket különösen kockázatosnak nevezi.
Mindkét hiba távoli kódfuttatáshoz vezethet. Ehhez a támadónak az NBSZ NKI leírása szerint nem kell bejelentkeznie az érintett rendszerbe.
Eltérő memóriahibák vezethetnek kódfuttatáshoz
A CVE-2026-109618 memóriahiány esetén jelentkezhet. A PHP ilyenkor megszakíthatja a végrehajtást, miközben a kérés belső adatai még csak részben álltak elő. A lezárás során érvényesként kezelheti ezt a hibás állapotú memóriaterületet.
A CVE-2026-109619 esetében egy korábbi kéréshez tartozó belső állapot maradhat fenn a mögöttes memória felszabadítása után. Egy későbbi kérés még azelőtt felhasználhatja ezt, hogy a normál előkészítés visszaállítaná. Az NBSZ NKI szerint ez szintén lehetővé teheti a távoli kódfuttatást.
A javítás megjelent, de a régi ágak külön figyelmet igényelnek
A PHP projekt a következő kiadásokban tette közzé a javítást: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 és PHP 8.2.35. Az NBSZ NKI ezek egyikére javasolja a haladéktalan áttérést.
A PHP 8.1 és korábbi verziók már nem kapnak frissítéseket a projekttől. Egyes disztribúciók és hosszú távú támogatást nyújtó szolgáltatók ugyanakkor biztosíthatnak a régebbi változatokhoz igazított javításokat. Ezek elérhetőségéről az érintett szállítónál kell tájékozódni.
A forrásból telepítők számára a PHP biztonsági csapata minimális javításokat biztosított a PHP 7.4, 8.0 és 8.1 változatokhoz is.
Nem csak a nyilvános weboldalakon kell keresni a PHP-t
A Sophos szakértője, Don Smith szerint az azonnali feladat nem pusztán a csomagok telepítése: meg kell találni minden helyet, ahol PHP fut. A futtatókörnyezet weboldalak, tartalomkezelők, tárhelyplatformok és külső termékek mögött is jelen lehet, olykor a használó szervezet számára sem nyilvánvalóan.
Smith az internet felől elérhető rendszerek előresorolását, az érintett verziók azonosítását és a javítások késedelem nélküli alkalmazását javasolja.
A PHP2Shell néven emlegetett hibák részletei a tervezett összehangolt közzététel és a hivatalos javítócsomagok előtt kiszivárogtak. A Cloudflare műszaki vezetője, Dane Knecht később már támadások megjelenéséről számolt be. A watchTowr szintén észlelt kihasználási kísérleteket, de idézett közlésében még nem jelzett sikeres támadást.
Az átmeneti korlátozások nem helyettesítik a frissítést
Az NBSZ NKI több ideiglenes beállítást is ismertet arra az esetre, ha a javítás nem telepíthető azonnal. Ezek csökkenthetik a kitettséget, de nem adnak teljes körű védelmet.
A második hibánál például a feltöltési folyamatkövetés kikapcsolását javasolja, a kérések feldolgozása előtt érvényes konfigurációban, az összes kiszolgálófolyamat újraindításával. Az alkalmazásból meghívott ini_set() és az FPM .user.ini fájlja erre nem megfelelő.
Az intézet a frissítésig az internet felől elérhető, érintett PHP-alapú rendszerek hálózati elkülönítését is ajánlja, illetve kockázatértékelés alapján szükség esetén az ideiglenes leállításukat.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum