Október 21-én a PHP fejlesztői kiadták két kritikus hiba javítását. A PHP az a programnyelv, amin a WordPress, a Drupal, a Joomla és rengeteg egyedi fejlesztésű oldal fut, vagyis nagy eséllyel a te céges oldalad is érintett. A hibákat a Calif és a Wiz kutatói találták meg, és ehhez AI-modelleket használtak: az OpenAI GPT-5.6 Sol és a Google Gemini 4 Argon modelljét.
A hiba jelszó nélkül, távolról enged be valakit a szerveredre. A Wiz szerint az internet nagyjából 70 százalékát érintheti, bár ezt a BBC nem tudta ellenőrizni (Telex). A teendő egyszerű, csak nem ott kell kattintani, ahol megszoktad. (A sztori legkínosabb szereplője egy kiberbiztonsági hivatal, róla a végén.)
A lényeg röviden
- Két kritikus PHP-hiba (CVE-2026-109618, CVE-2026-109619), a PHP 5.4 óta szinte minden verzió érintett.
- A javított verziók: 8.2.35, 8.3.36, 8.4.27 és 8.5.12. A 8.1 és a régebbi ágak már hivatalos támogatást sem kapnak.
- A WordPress és a bővítmények frissítése ehhez kevés: a tárhelyen futó PHP-t kell frissíteni.
- Támadási kísérletet már a bejelentés előtt is láttak.
Mi történt pontosan?
A PHP biztonsági csapata október 21-én tette közzé a javításokat és a hibák leírását a GitHubon. Az első hiba súlyossága 9,2 a 10-es skálán. Kihasználásához nem kell jelszó, és senkinek nem kell semmire rákattintania.
A Wiz elemzése szerint a hiba a PHP magjában van, ezért mindegy, milyen oldal fut rajta. A kutatók WordPressen, Drupalon és Joomlán is bemutatták, hogy átvehető a szerver. Egy üres „Hello World” oldal is sebezhető lehet.
A Wiz augusztus 24-én jelezte a hibát a PHP-nak. Onnan két hónap telt el a nyilvános javításig.
Az AI szerepe
Az OpenAI közleménye szerint a Calif a GPT-5.6 Sol modellel találta meg a kritikus hibát. A Wiz tőlük függetlenül jutott el ugyanide, a saját eszköze mellett a Gemini 4 Argont és a GPT-5.6 Solt használva.
A Wiz szerint az AI a támadókód megírását is felgyorsította: egyetlen kutató egy hét alatt végzett azzal, ami korábban egy csapatnak hónapokig tartott. Ugyanez az eszköz a támadók kezében is ott van, és ők sem fognak két hónapot várni.
Már támadnak?
Igen, és már a bejelentés előtt is próbálkoztak. Az Amazon csapdahálózata október 17-én, négy nappal a nyilvános bejelentés előtt rögzített egy kihasználási kísérletet (Help Net Security).
A Cloudflare szerint a részletek kiszivárogtak, és támadóforgalmat látott az ügyfelei felé. A cég nagyjából 9 órával a bejelentés előtt élesítette a szűrőszabályait, az ingyenes csomagban is (PPC Land). A Cloudflare maga is hangsúlyozza, hogy ez kiegészítő védelem, a megoldás a PHP frissítése.
Európában több intézmény elővigyázatosságból lekapcsolta a weboldalát: francia önkormányzati oldalak, holland kórházak, a rotterdami kikötő és egy dán iskolai rendszer. A magyar Nemzeti Kiberbiztonsági Intézet riasztást adott ki, és a javítások azonnali telepítését kérte (Telex).
Miért nem elég a céges weboldalad frissítése?
A hiba a weboldalad motoházteteje alatt van, a szerveren. A távoli kódfuttatás (angolul remote code execution, RCE) olyan sebezhetőség, amin keresztül egy idegen a saját programját futtatja a te szervereden, mintha ő lenne a rendszergazda.
A WordPress admin felületén a „Frissítések” gomb a WordPresst, a sablont és a bővítményeket frissíti. A PHP verzióját a tárhelyszolgáltató vagy a szerver üzemeltetője kezeli. Ha nem tudod, ki a felelős a PHP-ért nálatok, akkor jelenleg senki.
A régi verzióknál még rosszabb a helyzet. A PHP a 8.1-es és régebbi ágakat már nem támogatja, ezekhez csak forráskódos foltot adtak ki. Aki ilyen verzión fut, annak a gyakorlatban váltania kell egy támogatott verzióra.
Mit mondanak a fejlesztők?
A Hacker News fórumon a téma alatt közel kétszáz hozzászólás gyűlt össze. A kódolók nem estek pánikba, inkább a körülményeken akadtak fenn.
Egy hozzászóló szerint a hiba legalább húszéves kódban ült, és hiányolta, hogy senki nem közli, mennyi számítási kapacitás kellett a megtalálásához. Szerinte a kommunikáció úgy tálalja, mintha ez lenne az első ilyen hiba a világon. (Hacker News)
Egy másik azt nem értette, miért telt el két hónap a bejelentés és a javítás között egy ennyire súlyos hibánál. (Hacker News)
Mit jelent ez egy magyar cégvezetőnek?
A legtöbb magyar KKV weboldalát valaki évekkel ezelőtt rakta össze, és azóta a tárhely a háttérben csendben fut. A webfejlesztő elérhetősége egy régi e-mailben van, a tárhely jelszava egy megosztott Excelben. (Vagy Gábornál az IT-n, egy sárga cetlin.)
Ez a hiba pont ezt a csendes réteget találja el. A kapcsolatfelvételi űrlap, a webshop, az ajánlatkérő oldal mind PHP-n fut, és mind ügyféladatot kezel. Egy feltört oldal így könnyen adatvédelmi ügy is lesz.
A héten ezt érdemes megcsinálni:
- Írj a tárhelyszolgáltatódnak vagy a webfejlesztődnek egy kétsoros e-mailt: frissítették-e a PHP-t a 8.2.35, 8.3.36, 8.4.27 vagy 8.5.12 verzióra, és mikor.
- Ha 8.1-es vagy régebbi PHP-n fut az oldal, kérj árajánlatot a váltásra. Ez nem várhat a jövő negyedévig.
- Nézd meg, van-e friss mentés az oldalról, és tudja-e valaki visszaállítani.
- Ha a domained Cloudflare mögött van, kapcsold be a WAF (webes tűzfal) ingyenes szabálycsomagját. Ez időt nyer, a frissítést nem váltja ki.
- Írd fel egy helyre, ki felel a weboldal szerveréért, a nevével és a telefonszámával.
A holland kiberbiztonsági központ lekapcsolta magát
A Telex szerint Hollandiában a lekapcsolt oldalak között ott volt a nemzeti kiberbiztonsági központ saját honlapja is. Az intézmény, ami a többieket figyelmezteti, a saját oldalát is levette, amíg biztonságos nem lett.
Pontosan így kell reagálni. Ha egy kiberbiztonsági hivatal sem biztos a saját szerverében, a sárga cetlis tárhelyjelszónak sincs miért biztosnak lennie.
Ha szeretnéd, hogy valaki rendszeresen ránézzen az ilyen rétegekre a cégednél, itt megtalálsz minket.
A cikk AI-asszisztált kutatással készült, a Gorilla GO szerkesztője ellenőrizte. Források a szövegben linkelve.
