MI-vel tártak fel két kritikus PHP-hibát, már a javítás előtt próbálkoztak támadók
A weboldalak saját kódjának hibátlansága sem véd a PHP két, mesterséges intelligencia segítségével feltárt kritikus sérülékenységétől. A Hadrian szerint már az október 21-i javítások előtt megindultak a kihasználási kísérletek. A PHP2Shell néven emlegetett hibák bizonyos feltételek mellett bejelentkezés nélküli, távoli kódfuttatást tesznek lehetővé; az NBSZ NKI is riasztást adott ki miattuk.
Fontos
Aktívan kihasznált (a forrás szerint), kritikus: CVSS 9.2
Ezek a PHP-verziók már tartalmazzák a javítást
A PHP projekt 2026. október 21-én tette közzé a biztonsági kiadásokat. A PHP 8.2.35, 8.3.36, 8.4.27 és 8.5.12 már javított változat, nem az érintett kiadások felsorolása. A fejlesztők minden használót az azonnali frissítésre szólítottak fel.
A PHP 8.1 és a régebbi ágak már nem kapnak hivatalos frissítést a PHP projekttől. A PHP Foundation ugyanakkor minimális, forráskódú javításokat is elérhetővé tett a PHP 7.4, 8.0 és 8.1 változatához. Ez nem a régi ágak hivatalos támogatásának visszaállítását jelenti.
A teendő első része az összes futó példány megtalálása. A Sophos szakértője szerint a technológia nyilvános weboldalak, tartalomkezelők, tárhelyplatformok és külső termékek részeként is jelen lehet, olykor az üzemeltető számára sem nyilvánvalóan. Az internetről elérhető rendszerek elsőbbséget élveznek a frissítésnél.
Nem csak egy tartalomkezelőt vagy bővítményt érint
A CVE-2026-109618 és CVE-2026-109619 a PHP memóriakezelésében és hibakezelésében található. Mindkettő 9,2-es CVSS v4.0 besorolást kapott, vagyis kritikus. A CVSS a műszaki súlyosságot jelzi egy 0-10 skálán; önmagában nem mutatja meg, történik-e kihasználás.
Az első sérülékenységnél a memória elfogyása megszakíthatja a kérés feldolgozását, miközben belső adatok még csak részben álltak elő. Ezeket a későbbi takarítás tévesen érvényes adatként kezelheti. A második esetben belső hivatkozások maradhatnak meg már felszabadított memóriára, amelyet egy következő kérés ismét használhat.
A fejlesztők minden webes kérést kezelő telepítést potenciálisan veszélyeztetettnek tartanak. Ide sorolják a PHP-FPM, az Apache és mod_php, a php-cgi, a FrankenPHP és a LiteSpeed környezetet. A távoli kódfuttatást mindkét hibánál igazolták Apache és mod_php használatakor. A kutatók érzékeny memóriaadatok, köztük jelszavak és API-kulcsok kiolvasását is bemutatták.
A megfigyelők kísérleteket láttak, nem mindenhol igazoltak sikert
A Hadrian már a kiadás előtt széles körű kihasználásról számolt be. A Patchstack és a Cloudflare ugyancsak korábban észlelt próbálkozásokat, a WatchTowr érzékelőit pedig nagyjából a csomagok megjelenésekor érték el az első ilyen kérések. Utóbbi cég akkor még nem látott sikeres támadást.
Az Amazon Threat Intelligence egy október 17-i eseményt is a PHP2Shell kihasználási kísérleteként azonosított a MadPot megfigyelőrendszerében. A cég szerint nem világos, hogyan jutott a küldő a szükséges információhoz a nyilvánosságra hozatal előtt. A későbbi próbálkozások eltérő tartalma és infrastruktúrája több támadó jelenlétére utalt.
Az NBSZ NKI október 22-i beszámolója szintén támadási kísérleteket említ. Több szervezet átmenetileg leállította webes szolgáltatásait a frissítés előkészítése érdekében. A nyilvános támadókód megjelenése és az érzékelőket elérő kérés önmagában nem bizonyít sikeres szerverátvételt.
Az MI egy korábban ismert problémából jutott el működő támadásig
Az OpenAI közlése szerint a Calif kutatói a PHP Foundation kérésére, július 30-án kezdték vizsgálni a futtatókörnyezetet a vállalat eszközeivel. A munka a Patch the Planet program része volt, és a GPT-5.6 Sol modellt is használták hozzá.
A háttérben álló problémát már 2024-ben ismerték, de akkor nem sikerült igazolni a kihasználhatóságát vagy megoldani. Az OpenAI szerint az MI-t használó kutatók két héten belül működő támadási módszert mutattak be. A Calif és az OpenAI augusztus 11-én egymástól függetlenül jelentette a memóriahiányból kódfuttatáshoz vezető hibát; később a Wiz további támadási lehetőségeket azonosított.
A javítás elkészítése ennél tovább tartott. Az összehangolt munkában kutatók, PHP-karbantartók, biztonsági szolgáltatók és kiberbiztonsági szervezetek vettek részt. A PHP Foundation szerint a központi komponenseket úgy kellett módosítani, hogy közben megmaradjon a kompatibilitás és a teljesítmény.
A kiszivárgás miatt előrehozták a kiadást
Az összehangolt közzétételt eredetileg október 22-re tervezték, de október 20-án a hibák azonosítói terjedni kezdtek fórumokon és közösségi oldalakon. Később tévedésből egy működő támadást bemutató videó is nyilvánossá vált. A fejlesztők ezért egy nappal korábbra hozták a megjelenést.
A PHP Foundation szerint a Chainguard a közös időpont előtt javítást tartalmazó kész csomagokat is közzétett, amelyekből a támadók tanulmányozhatták a változtatásokat. A vállalat vezetője azzal indokolta a döntést, hogy már folyamatban lévő támadásokról érkeztek jelzések.
A fejlesztők figyelmeztetése szerint az átmeneti enyhítő intézkedések egyes támadási útvonalak kockázatát csökkenthetik, de nem teszik biztonságossá a telepítést.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum