PHP2Shell: a megfigyelt magyar szervezetek 38%-át érték támadási kísérletek

A PHP2Shell két, a PHP futtatókörnyezetében található sérülékenység közös neve. A PHP szerveroldali programozási nyelv: weboldalak, webáruházak és vállalati alkalmazások működnek vele, köztük a WordPress, a Drupal és a Joomla. A mostani probléma nem ezek valamelyik bővítményében vagy egyetlen honlap saját kódjában található.

A WordPress, más tartalomkezelő vagy a bővítmények frissítése önmagában nem szünteti meg a PHP2Shell hibákat. A szerveren működő PHP javítása szükséges akkor is, ha maga a webalkalmazás naprakész. A Check Point külön figyelmeztet erre az október 22-én közzétett elemzésében.

A PHP projekt 2026. október 21-én az alábbi kiadásokban tette elérhetővé a megoldást. Az NBSZ NKI az ezekre történő haladéktalan áttérést javasolja.

A PHP 8.1 és a korábbi változatok már nem kapnak rendszeres frissítést a PHP projekttől. Ez azonban nem jelenti azt, hogy minden ilyen telepítéshez ugyanaz a javítási út tartozik. Egyes Linux-disztribúciók és hosszú távú támogatást nyújtó szolgáltatók a régebbi ágakhoz is biztosíthatnak javítást. Ennek elérhetőségéről a konkrét szállítónál kell tájékozódni.

Az NBSZ NKI riasztása egy további lehetőséget is megnevez: a PHP biztonsági csapata a forrásból telepítőknek minimális javításokat adott a PHP 7.4, 8.0 és 8.1 változatokhoz. Ez nem azonos azzal, hogy ezek az ágak ismét általános támogatást kapnának.

A feladat a használt példányok felkutatásával kezdődik. A Check Point szerint a nyilvántartásnak a konténerekre és a külső szállítók termékeire is ki kell terjednie. Az NBSZ NKI elfelejtett marketingoldalakat, régi adminisztrációs felületeket és tárhelykezelő eszközöket is említ lehetséges lelőhelyként.

Külső tárhely esetén a Check Point azt javasolja, hogy az üzemeltető közvetlenül kérdezzen rá a szolgáltatónál a javítás telepítésére. A cég az érintett szolgáltatások újraindítását és a ténylegesen futó verzió ellenőrzését is előírja ajánlásában. Régi környezetnél az operációs rendszer, a konténerkép vagy a szolgáltató saját frissítési csatornáját is ellenőrizni kell.

A Check Point Research adatai szerint a vállalat által megfigyelt magyarországi szervezetek 38%-ánál észleltek PHP2Shell kihasználására irányuló kísérletet. Ez a vizsgált országok közül a legmagasabb arány. Dánia és Ausztria követi Magyarországot; az összehasonlítás néhány további országát a grafikon mutatja.

A mérésben az európai szervezetek 14%-át, világszinten pedig 10%-át érték ilyen próbálkozások. Ezek a Check Point megfigyeléseinek adatai, nem az összes magyar vagy külföldi weboldal teljes körű felméréséből származnak.

A 38% nem azt jelenti, hogy a magyar honlapok 38%-át feltörték. A kutatók kifejezetten közlik, hogy kihasználási kísérleteket mérnek, és nem tudják megállapítani, közülük mennyi járt sikerrel. A mutató szervezetekre vonatkozik, nem weboldalakra. Arra egyelőre nincs ellenőrzött magyarázat, miért Magyarország került a lista élére.

A hazai ügyintézésben eközben közvetlenül is érzékelhetővé vált a védekezés. Tanács Zoltán tudományos és technológiai miniszter október 22-én bejelentette a magyarorszag.hu és több más kormányzati oldal működésének átmeneti korlátozását. Közlése szerint az oldalon keresztüli ügyintézés várhatóan 48 órán át szünetel a biztonsági hiba kijavításáig.

A miniszter elővigyázatossági intézkedésként írta le a döntést, és hangsúlyozta, hogy nem találtak kibertámadásra utaló jeleket. A központi elektronikus ügyintézés problémáiról az Országos Atomenergia Hivatal is külön tájékoztatást adott ki.

Nem csak Magyarországon választották az ideiglenes leállítást. Az Egyesült Királyságban október 22-én 32 kormányzati szolgáltatás volt elérhetetlen, további négy pedig részlegesen működött a parlamenti tájékoztatás szerint. A kiesést ott is nagyrészt a javítás idejére bevezetett megelőző intézkedésekkel magyarázták. A brit közlés nem jelzett megerősített kompromittálódást a központi kormányzati rendszerekben vagy a tágabb közszférában.

A magyar miniszter a vállalkozásokat arra kérte, hogy informatikai szakértőkkel ellenőriztessék weboldalaik érintettségét, és mielőbb végezzék el a szükséges javításokat.

A CVE-2026-109618 és a CVE-2026-109619 egyaránt 9,2-es besorolást kapott a CVSS v4.0 rendszerben. A CVSS a sérülékenység műszaki súlyosságát jelzi, nem azt, hogy történt-e már támadás. A PHP2Shell esetében a magas pontszám mellett külön megfigyelések támasztják alá a folyamatban lévő kihasználási kísérleteket.

Az NBSZ NKI szerint minden, webes kéréseket kiszolgáló PHP-telepítés érintettnek tekinthető. A PHP karbantartóinak felsorolásában a PHP-FPM, az Apache mod_php moduljával működő környezet, a php-cgi, a FrankenPHP és a LiteSpeed is szerepel. A veszély tehát nem egyetlen kiszolgálási módra korlátozódik.

A két probléma a memóriakezelést és a hibák kezelését érinti. A CVE-2026-109618 esetében memóriahiány miatt szakadhat meg a feldolgozás, miközben a kérés belső adatai még csak részben készültek el. A lezárás során a PHP ezután érvényesként kezelhet egy érvénytelen állapotú memóriaterületet. Ennek következménye távoli kódfuttatás lehet.

A CVE-2026-109619 más helyzetből vezethet hasonló eredményre. Egy kéréshez tartozó belső állapot a mögötte lévő memória felszabadítása után is megmaradhat. Egy későbbi kérés ezt használhatja fel, mielőtt a normál előkészítés visszaállítaná. Az NBSZ NKI leírása szerint célzott memóriaműveletekkel ebből szintén távoli kódfuttatás érhető el.

Ez a gyakorlatban azt jelenti, hogy a támadó bizonyos feltételek mellett saját programkódot futtathat a szerveren, előzetes bejelentkezés nélkül. A mod_php használatával működő telepítéseknél az intézet különösen magasnak minősíti a kockázatot. Egy hitelesítés nélküli HTTP-kérés ugyanis már az alkalmazáskód végrehajtása előtt kiválthatja a támadási útvonalat.

A CrowdStrike saját tesztje szintén ezt a lehetőséget igazolta: egyetlen bejelentkezés nélküli POST-kérés elegendő volt egy támadó által választott parancs végrehajtásához az Apache mod_php környezetében. Ehhez nem kellett sérülékeny alkalmazáskód.

A sikeres támadó mozgásterét a PHP-folyamat jogosultságai és a szerver további védelmi beállításai határozzák meg. A lehetséges következmények között konfigurációs fájlok megszerzése, adatbázis-hozzáférési adatok ellopása és a weboldal jogosulatlan módosítása szerepel. A kutatók érzékeny folyamatmemória kiolvasását is bemutatták; ebben jelszavak, hitelesítési adatok és API-kulcsok lehetnek.

Az Amazon Threat Intelligence a MadPot fenyegetésmegfigyelő rendszer adataiban 2026. október 17-ére visszamenőleg azonosított egy PHP2Shell-kísérletet. A célpont a megfigyelő rendszer egyik csapdája volt. A kérés egy kereskedelmi anonimizáló hálózathoz kapcsolódó IP-címről érkezett, amikor a hibák részletei még nem voltak nyilvánosak.

Az Amazon szerint a körülmények támadói tevékenységre utalnak. Azt ugyanakkor nem tudta megállapítani, hogyan jutott az elkövető a kihasználáshoz szükséges információhoz. A vállalat azt sem erősítette meg, hogy a korai próbálkozások éles rendszerek ellen sikeresek lettek volna.

Október 21-én újabb kísérletek követték ezt, eltérő támadói kódokkal és különböző anonimizáló infrastruktúráról. Az Amazon szerint ez több szereplő jelenlétére utal. A nyilvános javítás után további demonstrációs támadókódok jelentek meg, amelyeket szinte azonnal használni kezdtek a cég érzékelői ellen.

A PHP karbantartói eredetileg október 22-re tervezték az összehangolt közzétételt. Az azonosítók és további információk azonban október 20-án idő előtt terjedni kezdtek. A PHP Foundation ezért egy nappal előrehozta a kiadást. A javítás végül október 21-én 16:00-kor (14:00 UTC) vált nyilvánossá.

A folyamatot további korai publikációk is megzavarták. A PHP Foundation szerint a Calif tévedésből közzétett egy működő demonstrációt bemutató videót. A Chainguard pedig az összehangolt megjelenés előtt javított szoftverképeket adott ki, amelyeket a támadók is tanulmányozhattak. A Chainguard vezetője azzal indokolta döntését, hogy már a hivatalos közzététel előtt érkeztek támadásokról szóló jelzések.

A felfedezésben a Calif, az OpenAI és a Wiz kutatói vettek részt. Az NBSZ NKI összefoglalója szerint a Calif az OpenAI eszközeivel találta meg a hibákat, a Wiz pedig függetlenül is jelentette mindkettőt. A javításokat a PHP karbantartói készítették; az OpenAI a tesztelésben és a szolgáltatókkal történő egyeztetésben is közreműködött.

Egy memóriahiánnyal kapcsolatos alapvető problémát már egy 2024-es vizsgálat is azonosított, de akkor a távoli kódfuttatás lehetőségét nem ismerték fel. A PHP Foundation szerint az augusztusi jelentések tették világossá a teljes hatást. Az OpenAI közlése arra is kitért, hogy a mesterséges intelligencia a támadók számára is felgyorsíthatja a sérülékenységek elemzését és a kihasználó kód elkészítését.

Az Amazon szerint a frissítés az egyetlen teljes megoldás mindkét hibára: pusztán konfigurációs módosításokkal nem lehet maradéktalanul megszüntetni őket. Az NBSZ NKI szintén csak kockázatcsökkentő lépésként írja le az átmeneti intézkedéseket. A javításig az internet felől elérhető érintett rendszerek hálózati elkülönítését, kockázatértékelés alapján pedig ideiglenes leállítását javasolja.

A webalkalmazás-tűzfal, röviden WAF a HTTP-forgalomra alkalmaz szabályokat. Az AWS és a Cloudflare is adott ki ilyen mérséklési lehetőségeket a PHP2Shell ellen. Ezek egyes támadási útvonalak szűrésére szolgálnak, nem a PHP helyrehozására. Mindkét szolgáltató hangsúlyozza, hogy a teljes megoldáshoz a javított futtatókörnyezet szükséges.

Az AWS ajánlásában szerepel a PHP_SESSION_UPLOAD_PROGRESS mezőt tartalmazó POST-kérések blokkolása. A fájlfeltöltést nem használó alkalmazásoknál a multipart/form-data kérések tiltása is csökkentheti a kitettséget. Az Amazon azonban előzetesen az alkalmazásra gyakorolt hatás felmérését kéri, ha a feltöltések korlátozását választják átmeneti védelemként.

A már lezajlott támadások vizsgálata ettől külön feladat. A Check Point figyelmeztetése szerint a javítás nem távolítja el azt a rosszindulatú kódot, amelyet egy támadó korábban a szerveren hagyott. A cég ismeretlen PHP-fájlokat, szokatlan webes kéréseket, váratlan rendszerparancsokat és ismeretlen külső címek felé induló kapcsolatokat említ vizsgálandó jelként.

Az Amazon minden érintettnek javasolja a webszervernaplók átnézését, a gyanús feltöltési kérések keresését, valamint a váratlan folyamatindítások és fájlmódosítások ellenőrzését. A vizsgálatot legalább október 17-től kell kezdeni ajánlása szerint, nem csak a biztonsági közlemény megjelenésétől.

Az ellenőrző eszközök használata sem feltétlenül kockázatmentes. A Searchlight Cyber nyílt forrású PHP2Shell-vizsgálója szándékosan memóriahiányos állapotot idéz elő a hiba elérhetőségének megállapításához. A készítők szerint ez eredendően kockázatos eljárás, ezért körültekintést kérnek a használatakor. A puszta verzióellenőrzésről ugyanakkor azt írják, hogy nem igazolja megbízhatóan mindkét kiszolgálási környezet tényleges sebezhetőségét.