PHP2Shell: súlyos PHP biztonsági hiba, mit jelent a WordPress oldaladnak?

Short: ha WordPress oldalad van, még ma nézd meg, milyen PHP verzió fut alatta. A 8.5.12, 8.4.27, 8.3.36 és 8.2.35 vagy újabb verzió biztonságos. Ha ennél régebbi szám látszik, kérdezz rá a tárhelyszolgáltatódnál, ha pedig PHP 8.1 vagy még régebbi fut az oldalad alatt, válts legalább 8.2-re.

Október 21-én a PHP fejlesztői kiadtak egy sürgős biztonsági frissítést. Nem egy szokásos, átfutok rajta és megyek tovább típusú frissítésről van szó. A két javított hiba (CVE-2026-109618 és CVE-2026-109619, közös nevükön PHP2Shell) azt teszi lehetővé, hogy valaki bejelentkezés nélkül, távolról futtasson kódot a szerveren, amin a weboldalad fut.

Az elmúlt két napban végigolvastam, mit írnak erről a hazai WordPress-es szakmai közösségek (WordPress fejlesztők és felhasználók csoportja, HelloWP Klub and Segítőkész WordPress-esek Facebook csoportok), a nemzetközi fejlesztői fórumok és a hivatalos figyelmeztetések. Ebben a cikkben összeszedem, mit jelent ez egy átlagos WordPress oldal tulajdonosának, hogyan ellenőrizd az oldaladat, és mit kérj a tárhelyszolgáltatódtól.

Mi az a PHP, és miért érint ez téged?

A PHP az a program a szerveren, ami a WordPress-t futtatja. Minden alkalommal, amikor valaki megnyitja az oldaladat, a PHP rakja össze neki a tartalmat. Ha WordPress oldalad van, akkor PHP-n fut, nincs mese.

A mostani hiba nem a WordPress-ben, nem egy bővítményben és nem a sablonban van, hanem eggyel lejjebb, magában a PHP-ban. Ezért teljesen mindegy, mennyire rendben tartod a bővítményeidet: ha a szerveren sebezhető PHP verzió fut, az oldalad támadható.

Mennyire komoly a helyzet?

Nagyon.

Néhány tény, hogy lásd a súlyát:

• A hiba a 10-es skálán 9,2-es besorolást kapott, egyes kutatók szerint még ennél is súlyosabb.
• Az amerikai kiberbiztonsági hivatal (CISA), az NSA, a francia ANSSI és az uniós CERT-EU is külön figyelmeztetést adott ki. A CERT-EU egyenesen azt javasolta, hogy aki nem tud időben frissíteni, az kapcsolja le a szervert.
• A kutatók nyilvánosan bemutatták a támadást WordPress, Joomla és Drupal oldalakon is, bejelentkezés nélkül.
• A támadások azonnal elindultak. A hazai szakmai csoportokban többen jelezték, hogy a kiadás után kb. 20 perccel már jöttek a botok, és volt, akinek egyetlen nap alatt hat oldalát törték fel.

Egy érdekesség a háttérből: a hibás kódrészek egy része egészen a PHP 5.4-es verziójáig, vagyis 2012-ig nyúlik vissza. Egy 2024-es biztonsági átvilágításon már felmerült a gyanú, de akkor nem sikerült bizonyítani, hogy ténylegesen kihasználható. Most sikerült.

Melyik PHP verzió biztonságos?

A javított verziók a PHP hivatalos biztonsági közleménye szerint:

• PHP 8.5.12 vagy újabb
• PHP 8.4.27 vagy újabb
• PHP 8.3.36 vagy újabb
• PHP 8.2.35 vagy újabb

Fontos, hogy itt nem elég az első két szám. Ha a tárhelyeden azt látod, hogy PHP 8.3, az még semmit nem jelent: a 8.3.35 sebezhető, a 8.3.36 nem. Ugyanez igaz a többi verzióra is.

PHP 8.1 és régebbi: ezek hivatalosan már nem kapnak javítást. Néhány szolgáltató visszamenőleg is kiadott foltozott változatot, még a 7.4-hez is, de erre ne építs. Ha az oldalad ilyen régi verzión fut, most jött el az idő, hogy átálljon legalább 8.2-re. Előtte mindenképp legyen friss mentés, mert egy régi oldalnál egy PHP váltás eltörhet bővítményeket. Erről a frissítési dilemmáról bővebben a WordPress 7.0 frissítésről szóló cikkemben ​

Hogyan nézd meg, milyen PHP fut az oldalad alatt?

A legegyszerűbb út a WordPress admin felületén keresztül vezet:

1. Lépj be a WordPress adminba.
2. Menj az Eszközök > Webhely egészség menüpontra.
3. Kattints az Infó fülre, és nyisd le a Szerver részt.
4. Itt látod a PHP pontos, három számból álló verzióját.

Miért mutat régi verziót, ha a tárhelyes azt mondja, javították?

Ez okozta az elmúlt napok legnagyobb zavarát, rengeteg kérdést láttam róla.

Sok tárhelyszolgáltató (főleg a CloudLinux-ot használók) nem lép fel az új verziószámra, hanem a meglévő verzióba építi bele a javítást. Ezt hívják backportolásnak. Ilyenkor a WordPress továbbra is azt írja ki, hogy például PHP 8.2.34, pedig a háttérben már a javított kód fut.

Hogyan tudod ezt ellenőrizni? Ha van hozzáférésed, a szerver a PHP pontos építési dátumát (Build Date) is megmutatja. Ha ez október 21-e vagy későbbi, jó eséllyel a javított változat fut. Ha ezt nem tudod megnézni, a legbiztosabb, ha írásban rákérdezel a szolgáltatónál. Lent adok hozzá kész levelet.

Mit csinálj most? Lépésről lépésre

1. Nézd meg a PHP verziót a fent leírt módon.

2. Ha nem a javított verzió látszik, írj a tárhelyszolgáltatónak. Ne várj a következő karbantartásig. A hazai szolgáltatók nagyon eltérően reagáltak: volt, aki az első éjszaka mindent frissített, és volt, aki egy nappal később is még dolgozott rajta, sokszor mindenféle tájékoztatás nélkül. Kérj írásos választ.

3. Ha 8.1-es vagy régebbi PHP-n vagy, készíts mentést, és válts 8.2-re vagy újabbra a tárhely vezérlőpultjában (cPanelben ez általában a PHP verzió kiválasztása vagy MultiPHP Manager menü). Utána nézd végig az oldalt, hogy minden működik-e.

4. Ha saját VPS-ed vagy szervered van, akkor a frissítés a te feladatod, nem a szolgáltatóé. Ilyenkor most azonnal frissíts.

5. Átmeneti védelemnek jó a Cloudflare. A Cloudflare már a hiba nyilvánosságra kerülése előtt beállított tűzfalszabályokat a támadás ellen, így ha az oldalad mögötte van, kapsz egy kis időt. De ez csak időnyerés, a hibát kizárólag a PHP frissítése szünteti meg. Hogy mit csinál pontosan a Cloudflare, és mi történik, ha ő maga áll le, arról itt írtam korábban.

Kész levél a tárhelyszolgáltatónak

Ezt bemásolhatod egy ticketbe vagy e-mailbe:

Honnan tudod, hogy feltörték-e már az oldalad?

A mai támadások egyik legrosszabb tulajdonsága, hogy sokszor semmi nem látszik. A feltört oldal ugyanúgy működik, csak a háttérben csendben adatot gyűjt, vagy egy későbbi támadás kiindulópontjaként vár. Néhány jel, amire figyelj:

• Ismeretlen admin felhasználó jelent meg (vagy kaptál értesítést új felhasználóról).
• Az oldal hirtelen lassabb lett, vagy furcsa átirányítások történnek.
• A Google keresőben olyan aloldalaid jelennek meg, amiket nem te hoztál létre.
• A tárhelyszolgáltató vírust vagy gyanús fájlt jelez.
• Kitakarítottad, de pár nap múlva minden visszajön.

Ez utóbbi most különösen gyakori. Az elmúlt hónapokban terjedő fertőzések több helyre is elrejtik magukat (rejtett bővítményekbe, időzített feladatokba, sőt az admin böngészőjébe is), és ha csak egy darabot törölsz, a többi visszaépíti az egészet. Egy ilyen, titokban oldalakat létrehozó fertőzést this case study. mutattam be részletesen. Ha bármelyik jelet látod, ne kísérletezz egyedül, kérj szakembert.

A nagyobb kép: nem ez lesz az utolsó

Az utóbbi hetek nem csak a PHP-ról szóltak. Volt népszerű SEO bővítmény, aminek hivatalos frissítésébe kártevőt csempésztek, volt gyorsítótár bővítmény, ami a WordPress 7.1 frissítés után ezreknél döntötte le az oldalt, és közben folyamatosan érkeztek WordPress biztonsági javítások. A támadók ma már mesterséges intelligenciával keresik a réseket, és órák alatt kihasználják azokat.

Ebből egy tanulság jön ki: a weboldal nem egyszer elkészül, aztán megvan, hanem folyamatos figyelmet igényel. Valakinek tudnia kell, milyen PHP fut alatta, mikor jön sürgős frissítés, és mit kell tenni, ha baj van. Ha nincs ilyen ember mögötted, vagy a korábbi fejlesztőd már nem elérhető, érdemes elolvasnod ezt a cikket a karbantartás átvételéről.

Hol érdemes követni az ilyen híreket?

Ha weboldalt üzemeltetsz, érdemes követni néhány hazai szakmai közösséget. Az ilyen hírek ott sokszor órákkal hamarabb megjelennek, mint máshol, a kommentekben pedig gyakorlati tapasztalatokat is találsz. Ezt a cikket is az itt olvasott beszélgetések alapján írtam:

• WordPress fejlesztők és felhasználók csoportja: az egyik legaktívabb hazai WordPress-es közösség. Itt jelennek meg elsőként a biztonsági figyelmeztetések és a WordPress frissítésekről szóló hírek, a fejlesztők pedig itt osztják meg a feltörésekkel kapcsolatos tapasztalataikat.
• HelloWP Klub: a HelloWP és a HelloPack közössége. Prémium bővítményekről, hibás frissítésekről és gyors javításokról szól, a mostani PHP hiba kapcsán pedig a tárhelyszolgáltatók reakcióiról is rengeteg hasznos tapasztalat került ide.
• Segítőkész WordPress-esek: jó hely kezdőknek és haladóknak is, ha elakadsz egy hibával vagy egy feltört oldallal, és gyors, gyakorlati segítséget kérnél.

Ha a részletekre is kíváncsi vagy, itt vannak a hivatalos források:

• A PHP hivatalos biztonsági közleménye a php.net oldalon (angol nyelvű)
• A CERT-EU részletes figyelmeztetése és javaslatai (angol nyelvű)

In summary

• Október 21-én két kritikus PHP hibát javítottak, amin keresztül belépés nélkül át lehet venni a szervert.
• Biztonságos verziók: 8.5.12, 8.4.27, 8.3.36, 8.2.35 vagy újabb.
• Nézd meg a pontos verziót a WordPress Webhely egészség menüjében.
• Ha régi szám látszik, kérdezz rá a szolgáltatónál, mert lehet, hogy backportolt javítás fut.
• PHP 8.1 vagy régebbi: mentés, majd váltás 8.2-re vagy újabbra.
• Figyelj a feltörés jeleire, és ha baj van, kérj segítséget.

Ha nem vagy biztos benne, hogy az oldalad rendben van, write to me, és megnézem. A karbantartott oldalaimnál ezeket a lépéseket már az első napon elvégeztem, személyre szabottan, az adott oldalhoz és tárhelyhez igazítva.