Két kritikus PHP-hibát javítottak, a mod_php használata különösen kockázatos

A PHP2Shell néven emlegetett hibák a CVE-2026-109618 és a CVE-2026-109619 azonosítót kapták. Mindkettő hitelesítés nélküli, távoli kódfuttatást tehet lehetővé, és 9,2-es CVSS v4.0 besorolású. A CVSS a műszaki súlyosságot jelzi, önmagában nem bizonyítja, hogy egy sérülékenységet kihasználnak.

A 2026. október 21-én közzétett biztonsági kiadások:

• PHP 8.5.12;
• PHP 8.4.27;
• PHP 8.3.36;
• PHP 8.2.35.

Az NBSZ NKI az érintett szervezeteknek ezek egyikének haladéktalan telepítését javasolja. A PHP 8.1 és korábbi változatok már nem kapnak rendszeres frissítést a projekttől. Fontos kivétel, hogy a biztonsági csapat a forrásból telepítőknek minimális javításokat biztosított a PHP 7.4, 8.0 és 8.1 változatokhoz is. Egyes disztribúciók és hosszú távú támogatást nyújtó szolgáltatók szintén biztosíthatnak korábbi ágakra átültetett csomagokat; ezekről az adott szállítónál kell tájékozódni.

Az NBSZ NKI szerint minden olyan PHP-telepítés érintettnek tekinthető, amely webes kéréseket szolgál ki. A fejlesztők felsorolásában a PHP-FPM, az Apache mod_php modulja, a php-cgi, a FrankenPHP és a LiteSpeed is szerepel.

A kockázat a mod_php használatakor különösen magas: itt igazolták, hogy egy bejelentkezést nem igénylő HTTP-kérés az alkalmazáskód végrehajtása előtt elérheti a sérülékeny útvonalat. Mindkét hiba esetében megerősítették a távoli kódfuttatás lehetőségét ezen a környezeten.

A PHP Foundation közlése szerint a problémák a memóriakezelést és a hibakezelést érintik, vagyis olyan részeket, amelyeket csaknem minden kérés használ.

A CVE-2026-109618 esetében a PHP memóriahiány miatt úgy szakíthatja meg a feldolgozást, hogy a kéréshez tartozó belső adatok még csak részben álltak elő. Lezáráskor ezután érvényesként kezelhet egy érvénytelen memóriaterületet. Ez távoli kódfuttatáshoz vezethet.

A CVE-2026-109619 más módon idézhet elő hasonló következményt. Egy korábbi kérés belső állapota akkor is megmaradhat, amikor a hozzá tartozó memóriát már felszabadították. Ugyanaz a feldolgozófolyamat később felhasználhatja ezt, mielőtt a normál előkészítés visszaállítaná a megfelelő állapotot.

A PHP2Shell hibáiról szóló beszámoló szerint érzékeny folyamatmemória kiolvasása is lehetséges. Ebben hitelesítő adatok, API-kulcsok és más titkok lehetnek.

A WatchTowr a javítások megjelenése körül észlelte az első kihasználási kísérleteket a saját érzékelőin, de sikeres próbálkozásról akkor nem számolt be. A Patchstack és a Cloudflare korábban is látott ilyen aktivitást. A Hadrian már a kiadás előtt nagyszabású, éles kihasználást jelzett; megfigyelése szerint a legtöbb támadás a munkamenetekhez kapcsolódó feltöltési folyamatjelzés útvonalát használta.

A közzétételt eredetileg október 22-re tervezték, de az információk október 20-i kiszivárgása után előrehozták. Egy működő támadási mintát bemutató videó is idő előtt került nyilvánosságra. A PHP Foundation szerint ez felgyorsította további mintakódok elkészítését.

Az NBSZ NKI több ideiglenes intézkedést is felsorol arra az esetre, ha a javítás nem telepíthető azonnal. Ezek egyes támadási útvonalak kitettségét csökkenthetik, teljes védelmet azonban nem nyújtanak.

A memóriahiányhoz kapcsolódó hibánál memóriakezelési és kérésméret-korlátozásokat ír le a riasztás. A megmaradó belső állapot problémájánál többek között a feltöltési folyamatjelzés kikapcsolását javasolja, az összes feldolgozófolyamat újraindításával együtt.

A frissítésig az internet felől elérhető, érintett rendszerek hálózati elkülönítését is ajánlja, illetve kockázatértékelés alapján szükség esetén az ideiglenes leállításukat.