Javítható a két kritikus PHP2Shell-hiba, de már kihasználási kísérleteket észleltek

A PHP2Shell hibái a PHP 5.4 verzióig visszamenőleg szinte minden kiadást érintenek. A projekt karbantartói szerint minden, webes kérést kezelő telepítés potenciálisan veszélyeztetett. Ide tartozik a PHP-FPM, az Apache mod_php moduljával működő környezet, a php-cgi, a FrankenPHP és a LiteSpeed is.

Az NBSZ NKI riasztása külön kiemeli az Apache mod_php modulját: egy hitelesítés nélküli HTTP-kérés már az alkalmazás saját kódjának végrehajtása előtt elérheti a sérülékeny működést. A Wiz szerint a PHP motorjának hibája akkor is érintheti a weboldalt, ha annak alkalmazáskódja önmagában biztonságos.

A felmérésnél a belső rendszerekről sem szabad megfeledkezni. A Sophos figyelmeztetése szerint a PHP tartalomkezelők, tárhelyplatformok és külső szállítók termékei mögött is működhet, olykor az üzemeltető számára sem nyilvánvaló módon.

A CVE-2026-109618 akkor okozhat problémát, amikor memóriahiány miatt megszakad a végrehajtás, de a kéréshez tartozó belső adatok csak részben készültek el. A lezáráskor a PHP érvényes adatként kezelheti a hibás állapotú memóriaterületet, ami távoli kódfuttatáshoz vezethet.

A CVE-2026-109619 esetében egy korábbi kérés belső állapota a hozzá tartozó memória felszabadítása után is megmaradhat. Egy későbbi kérés ezt még az alaphelyzet visszaállítása előtt felhasználhatja. A következmény itt is az lehet, hogy a támadó saját kódot futtat a kiszolgálón.

Mindkét sérülékenység kritikus, 9,2-es CVSS v4.0 besorolást kapott. Ez a műszaki súlyosságot jelzi, önmagában nem bizonyít támadást. A hibák érzékeny folyamatmemória kiolvasását is lehetővé tehetik, amely hitelesítő adatokat, API-kulcsokat és más titkokat tartalmazhat.

A PHP projekt 2026. október 21-én tette közzé a biztonsági kiadásokat. A javított változatok:

• PHP 8.5.12;
• PHP 8.4.27;
• PHP 8.3.36;
• PHP 8.2.35.

A PHP 8.1 és a régebbi ágak már nem kapnak rendszeres frissítést a projekttől. A forrásból telepítők számára ugyanakkor minimális, a régebbi kódhoz hozzáigazított javítások is készültek a PHP 7.4, 8.0 és 8.1 verziókhoz. Ez nem jelenti e kiadások általános támogatásának visszaállítását.

Egyes disztribúciók és hosszú távú támogatást kínáló szolgáltatók szintén biztosíthatnak ilyen csomagokat. Az NBSZ NKI szerint ezek elérhetőségéről az adott szállítónál kell tájékozódni. Az intézet az érintett szervezeteknek a felsorolt javított változatok valamelyikére történő haladéktalan áttérést javasolja.

A Palo Alto Networks saját vizsgálata szerint a PAN-OS és a Panorama valamennyi verziója érintett. A gyártó termékeire vonatkozó értékelés 8,7-es, magas súlyosságot jelez, nem a PHP általános, 9,2-es besorolását.

A kockázat a PAN-OS esetében akkor a legmagasabb, ha a kezelőfelület az internetről, külső IP-címekről elérhető. A közlemény a PAN-OS javítását későbbi kiadásokra ígéri; javított verziószámot és megjelenési becslést még nem sorol fel.

Átmenetileg a kezelőfelület elérésének megbízható belső IP-címekre korlátozását ajánlja a vállalat. A Palo Alto Networks saját termékei ellen nem tud rosszindulatú kihasználásról. Ez különálló megállapítás a PHP más környezeteiben észlelt próbálkozásoktól.

A WatchTowr a biztonsági kiadások megjelenése körül észlelte az első kihasználási próbálkozásokat, de sikeres támadást nem figyelt meg. A Patchstack és a Cloudflare már korábban is látott kísérleteket. A Hadrian ennél erősebb állítást tett: közlése szerint széles körű, éles kihasználást tapasztalt.

Az eredeti közzétételt október 22-re tervezték, de október 20-án részletek szivárogtak ki, ezért előrehozták a javításokat. Egy működő támadókódot bemutató videó idő előtti megjelenése további próbaváltozatok fejlesztését gyorsította fel.

Az NBSZ NKI hangsúlyozza: az átmeneti intézkedések csökkenthetik a kitettséget, de nem adnak teljes védelmet, és nem helyettesítik a frissítést.