Kiberbiztonság
PHP2Shell: kormányzati portálok állnak le Európa-szerte – Magyarországon is riasztás van
A PHP futtatókörnyezet két kritikus hibája miatt több európai ország ideiglenesen leállította kormányzati portáljait. Magyarországon az NKI riasztást adott ki, a magyarorszag.hu ügyintézése várhatóan 48 órán át szünetel.
3 perc olvasás
A világháló egyik legelterjedtebb szerveroldali nyelve, a PHP két súlyos biztonsági hibája okozott láncreakciót: október 21-én több európai állam elővigyázatosságból ideiglenesen elérhetetlenné tette kormányzati webes szolgáltatásait. A hibák a PHP magja érinti, nem csupán egy-egy alkalmazást – így a WordPress-frissítés önmagában nem elég a védelemhez.
Két kritikus hiba, egy név: php2shell
A CVE-2026-109618 és a CVE-2026-109619 azonosítójú sérülékenységeket a szakma php2shell néven említi. Mindkettő 9,2-es CVSS v4.0 besorolást kapott, és hitelesítés nélküli, távoli kódfuttatást (RCE) tesz lehetővé olyan szervereken, amelyek webes kéréseket dolgoznak fel PHP-vel.
A PHP biztonsági csapata október 21-én, 13:40 UTC-kor tette közzé a javításokat. A frissített verziók: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A 8.1-es és korábbi ágak hivatalos támogatása megszűnt; egyes disztribúciók visszaportolt javítást kínálhat, de a biztonságos megoldás a támogatott verzióra váltás.
A hibák a PHP memóriakezelésével kapcsolatos: váratlan memóriahiány vagy hibás lezárás után érvénytelen belső állapot maradhat a feldolgozóban, amelyet egy későbbi kérés rosszindulatú kóddal kihasználhat. A Wiz kutatócsoport szerint a problémás kódrész legalább egy évtizede jelen lehetett, és a PHP 5.4 óta kiadott verziók közül szinte mindegyik érintett legalább az egyik hibától.
Európa lekapcsol, Magyarország korlátoz
A holland kormány szerdán több állami portált vett elővigyázatosan offline állapotba, köztük az Overheid.nl, a MijnOverheid.nl és a DigiD szolgáltatásokat; a holland NCSC saját honlapját is lekapcsolta. Finnországban, Dániában és Franciaországban hasonló intézkedések érintették az online közszolgáltatásokat.
Magyarországon a Nemzeti Kiberbiztonsági Intézet (NKI) október 21-én kritikus riasztást adott ki, és haladéktalan frissítést javasolt. Ha az nem lehetséges, ideiglenes hálózati elkülönítést vagy leállítást. Tanács Zoltán tudományos és technológiai miniszter csütörtök reggel közölte: a PHP2Shell miatt elővigyázatosságból korlátozták a magyarorszag.hu és további kormányzati oldalak elérését. Támadásra utaló jelet nem találtak, de a portálon keresztüli ügyintézés várhatóan 48 órán át szünetel, amíg a javítások települnek.
A támadások elindultak – a javítás nem várhat
A koordinált közzététel előtt a holland és az amerikai hatóságok még nem jeleztek tömeges, sikeres kihasználást. A nyilvánosságra kerülés után azonban más a kép: a Cloudflare szerint a publikációt követő órákban milliós nagyságrendű kísérlet érkezett a sebezhető rendszerek ellen. Az Amazon Threat Intelligence egy október 17-i kísérletet is azonosított még a hivatalos bejelentés előtt.
Az Európai Unió ENISA ügynöksége, a CERT-EU, az Europol és az uniós CSIRT-hálózat közös közleményben sürgette a szervezeteket: azonosítsák PHP-alapú rendszereiket, egyeztessenek tárhelyszolgáltatóval, és elsőként a netről elérhető rendszereket javítsák. Az amerikai CISA is azonnali patchelést kért; aki nem tud frissíteni, annak a PHP-alapú szolgáltatásokat ideiglenesen le kell vennie a hálózatról.
Mi a teendő vállalkozásoknak és üzemeltetőknek?
- Ellenőrizze a PHP verzióját – nem elég a CMS (pl. WordPress) frissítése; a szerveren futó PHP futtatókörnyezetet kell naprakészen tartani.
- Azonnali frissítés a fenti javított verziók egyikére, prioritásként az internet felől elérhető rendszereken.
- Ha a patch nem telepíthető azonnal: hálózati elkülönítés, ideiglenes leállítás, vagy WAF-szintű védelem – utóbbi nem helyettesíti a frissítést.
- Figyelje a gyanús HTTP-kéréseket, a PHP worker-processzek rendellenes viselkedését és a váratlan 500-as hibákat.
A Wiz kutatói kiemelik: a hibák feltárásában a fejlett mesterséges intelligencia-modellek jelentősen lerövidítették az exploit-készítés idejét – olyan régi sebezhetőségek váltak gyakorlatilag kihasználhatóvá, amelyek évekig rejtve maradtak. Ez új kihívást jelent a védekezőknek is: a komplexitás már nem védheti a régi hibákat.
Források
- Riasztás a PHP futtatókörnyezet kritikus sérülékenységeiről – NKI
- PHP hivatalos biztonsági közlemény – php.net
- Joint statement on critical PHP vulnerabilities – ENISA
- Critical Vulnerabilities in PHP Require Immediate Patching – CISA
- Aantal websites Rijksoverheid preventief offline – Rijksoverheid.nl
- PHP2Shell: AI uncovers critical RCE vulnerabilities – Wiz
Jelen írás kizárólag tájékoztatási célt szolgál. A cikkben megjelenő információk nyilvánosak és mindenki számára elérhető adatok alapján kerültek felhasználásra.
