PHP2Shell: AI által feltárt kritikus hibák miatt sürgősségi javítás és kormányzati leállások

A PHP biztonsági csapata 2026. október 21-én, 13:40 UTC-kor adott ki sürgősségi javítócsomagot két kritikus sebezhetőségre, amelyeket együttesen PHP2Shell néven emlegetnek. A CVE-2026-109618 és a CVE-2026-109619 azonosítójú hibák CVSS v4.0 szerint 9,2-es súlyosságúak: hitelesítés nélkül, hálózati hozzáféréssel távoli kódfuttatást (RCE) tesznek lehetővé a webszerver folyamat jogosultságai szintjén.

Mi okozza a problémát?

Mindkét hiba abból indul ki, hogy a PHP bizonyos körülmények között hibás memóriaállapotban hagyja magát, amikor egy kérés rendellenesen megszakad. Az egyik esetben memóriahiány (OOM) okoz adatsérülést, a másikban elavult globális állapot maradhat fenn a memória felszabadítása után – use-after-free jellegű hibát eredményezve. A PHP szerint a kockázat különösen magas mod_php környezetben: egyetlen hitelesítés nélküli HTTP-kérés is kiválthatja a támadást, még mielőtt az alkalmazáskód lefutna.

Érintettek minden olyan PHP-telepítés, amely webes kéréseket szolgál ki – többek között a PHP-FPM, a php-cgi, a FrankenPHP és a LiteSpeed mellett futó rendszerek is. A nyelv az interneten azonosítható weboldalak jelentős részén fut; a WordPress, a Drupal és számos más CMS is rá épül.

AI segítségével fedezték fel

A sebezhetőségeket a Calif, az OpenAI és a Wiz kutatói találták meg, részben mesterséges intelligencia segítségével – a Calif nyilvános dokumentációja szerint a bizonyított kihasználási lánc emberi kutatók számára is a képességek határán mozgott. A kutatók augusztusban felelősségteljesen jelentették a PHP fejlesztőinek; a nyilvános közzététel eredetileg október 22-re volt tervezve, de információszivárgás miatt egy nappal korábbra hozták előre.

A javított kiadások: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A 8.1-es és régebbi verziók már nem kapnak hivatalos támogatást; egyes Linux-disztribúciók és LTS-szolgáltatók visszaportolt javításokat kínálnak. Az amerikai CISA október 26-án mindkét CVE-t felvette a Known Exploited Vulnerabilities katalógusába, jelezve, hogy a hibák már aktívan célba kerülnek.

Európai és magyar reakció

Az Európai Bizottság, az ENISA, a CERT-EU és az uniós CSIRT-hálózat közös közleményben sürgette a szervezeteket: azonnali frissítés, prioritásként az internet felől elérhető rendszerek; ha ez nem lehetséges, ideiglenes hálózati elkülönítés vagy leállítás.

Magyarországon a Nemzeti Kiberbiztonsági Intézet október 21-én kritikus riasztást adott ki. Elővigyázatosságból szerdáról csütörtökre virradó éjjel leállították a magyarorszag.hu portált és néhány további kormányzati oldalt; a minisztérium szerint nem találtak támadásra utaló jelet. A portált október 22-én, 15:15-kor indították újra a szükséges biztonsági intézkedések után. Hasonló óvintézkedésekről számoltak be Hollandiából, Finnországból és Franciaországból is.

Mit tegyenek az üzemeltetők?

• Azonnali leltár: hol fut PHP a szervezetben – akár rejtett komponensként is, CMS-ek vagy hosting mögött.
• Frissítés a javított verziók egyikére; a patch után a webszolgáltatás újraindítása szükséges.
• Ha a frissítés nem azonnali: ideiglenes offline állapot, WAF-szabályok és a PHP által javasolt részleges mérséklések – ezek azonban nem helyettesítik a javítást.
• Figyelés: gyanús shell-indítások a webszerver fiókból, ismétlődő HTTP 500-as válaszok, szokatlan kimenő kapcsolatok.

A PHP2Shell esete jól mutatja, hogy a széles körben használt infrastruktúra-komponensek egyetlen, mélyen gyökerező hibája napok alatt globális incidenssé válhat – és hogy a mesterséges intelligencia egyre gyakrabban nem csak támadási eszköz, hanem a rejtett sebezhetőségek feltárásának eszköze is.