Bejelentkezés nélkül engedhet kódfuttatást a két PHP2Shell-hiba

A PHP fejlesztőcsapata 2026. október 21-én adott ki rendkívüli biztonsági javításokat a CVE-2026-109618 és a CVE-2026-109619 azonosítójú sebezhetőségre. Mindkettő 9,2-es pontszámot kapott a CVSS v4.0 rendszerben, tehát kritikus besorolású. Ez a mutató a műszaki súlyosságot jelzi, önmagában nem bizonyít támadást.

A csapat minden PHP-használót azonnali frissítésre kér. Az egyes kiadási ágakban ezek a javított változatok:

A kiadás előtti figyelmeztetésben az üzemeltetőket arra kérték, hogy minden általuk működtetett PHP-telepítést tekintsenek potenciálisan érintettnek. A veszély weboldalakat és webalkalmazásokat kiszolgáló rendszereket érint, de a technológiát belső hálózatokon működő alkalmazásokhoz is használják.

A távoli kódfuttatás ebben az esetben azt jelenti, hogy a támadó az interneten keresztül saját kódot futtathat a sérülékeny kiszolgálón. Ehhez nem szükséges bejelentkeznie, az áldozatnak pedig nem kell hivatkozást megnyitnia vagy fájlt elindítania.

A leírt következmények között szerepel a rendszer feletti irányítás megszerzése és kártevő elhelyezése. Utóbbi adatlopásra vagy tartós hozzáférés fenntartására is szolgálhat.

A két hiba eltérő memóriaállapotokhoz kapcsolódik. Az elsőnél a memória elfogyásának kezelése után maradhat olyan memóriaterület, amelyet a program megfelelő előkészítés nélkül olvas. A másodiknál felszabadított kérésmemóriára mutató hivatkozás maradhat meg, amelyet későbbi kérések feldolgozása során használhat fel a PHP. Mindkét helyzet távoli kódfuttatáshoz vezethet.

Az Amazon közlése szerint a PHP-javítások elérhetővé válása előtt észlelték a sebezhetőségek kihasználását. A vállalat azt javasolja, hogy a védekezők már október 17-től keressenek erre utaló bizonyítékokat.

A Palo Alto Networks és a Trail of Bits szintén megerősített behatolásokról, valamint az azokat követő rosszindulatú tevékenységről számolt be. A Cloudflare a részletek nyilvánosságra hozatala után gyorsan növekvő számú kihasználási kísérletet jelzett.

A javítások megjelenését megelőzően a PHP Foundation bizalmasan megosztotta az információkat és a csomagokat nagy internetes vállalatokkal, illetve tárhelyszolgáltatókkal. Ezzel előnyt adott nekik a telepítéshez. A beszámoló szerint a széles körű, tömeges kihasználást addig nagyrészt sikerült elkerülni, de sok rendszer javítatlan maradt.

A Palo Alto Networks megerősítette, hogy a PHP2Shell a PAN-OS és a Panorama összes változatát érinti. Az október 25-i forrás szerint javított PAN-OS-kiadás akkor még nem állt rendelkezésre.

A PHP nem kizárólag webszervereken található meg: fejlesztői eszközökben, parancssori csomagokban, útválasztókban, tárolókban és vállalati biztonsági berendezések szoftverösszetevőiben is használják.

A Searchlight Cyber kiadott egy nyílt forrású ellenőrzőeszközt is. A php2shell-scanner nevű program azt vizsgálja, hogy egy kiszolgáló ki van-e téve a két PHP2Shell-sebezhetőségnek.