Két súlyos PHP-sebezhetőség miatt több európai kormányzati és állami weboldalt kapcsoltak le, miközben a rendszergazdák és üzemeltetők a javítócsomagok telepítésén dolgoznak. A hibák lehetővé teszik, hogy támadók hitelesítés (jelszó, felhasználói fiók) nélkül, távolról tetszőleges kódot futtassanak a sérülékeny szervereken.
Milyen rendszereket érinthet
A PHP az egyik legelterjedtebb webszerver-oldali programozási nyelv: a W3Techs adatai szerint az azonosítható technológiával működő weboldalak közel 70 százaléka fut PHP-n. A WordPress motorja szintén PHP-alapú, és a WordPress a teljes webes piac körülbelül 40 százalékát szolgálja ki — beleértve blogokat, kisvállalati oldalakat, kormányzati portálokat, webáruházakat és hírportálokat.
Ezért a sérülékenységek potenciális hatása széleskörű: nem csak nagy, dedikált üzemeltetésű rendszerek, hanem sok kisebb weboldal és osztott tárhelyen futó szolgáltatás is veszélybe kerülhet.
A sebezhetőségek jellemzői és felfedezése
Mindkét hibát 9,2-es pontszámmal értékelték a 10-es CVSS v4.0 skálán — ez hitelesítés nélküli távoli kódvégrehajtást jelent. Az egyik sérülékenységet a Calif nevű biztonsági cég kutatói fedezték fel az OpenAI GPT-5.6 Sol modelljének segítségével, és 2026. augusztus 11-én jelentették a PHP fejlesztőinek. A második hibát a Wiz (az Alphabethez kapcsolódó cég) találta meg, szintén mesterséges intelligencia alkalmazásával, és 2026. augusztus 24-én tette meg a bejelentést.
A Wiz közlése szerint ezek olyan alapvető hibákon alapuló sérülékenységek, amelyek évtizedek óta jelen voltak a kódban; a cég úgy fogalmazott, hogy a kihasználhatóság bizonyítása olyan lépéssorozatot igényelt, amely az emberi kutatók számára „gyakorlatilag elérhető határokon mozog”. A Wiz állítása szerint a hibák a PHP történetének egyik legsúlyosabb sebezhetőségei közé tartoznak.
Válaszlépések és kockázatcsökkentés
Az EU kiberbiztonsági csapata, a CERT-EU arra hívta fel a szervezeteket, hogy akik nem tudják azonnal telepíteni a javítást, kapcsolják le az érintett oldalakat. A PHP fejlesztők szerdán közölték, hogy kiadják a javítócsomagokat mindkét sérülékenységre.
A Cloudflare technológiai igazgatója szerint már megjelentek az első támadási kísérletek, ami arra utal, hogy a hibák aktívan célpontok. A Wordfence, a WordPress-bővítmények fejlesztője felhívta a figyelmet, hogy a megszokott automatikus frissítési mechanizmusok ezúttal nem feltétlenül telepítik a javítást, ezért az üzemeltetőknek manuálisan kell ellenőrizniük és alkalmazniuk a frissítéseket.
Különös kihívások a kisebb üzemeltetők számára
A helyzetet súlyosbítja, hogy sok kisebb weboldal-tulajdonos és szervezet nem rendelkezik dedikált kiberbiztonsági szakemberrel. Gyakori, hogy oldalaikat osztott tárhelyen futtatják, ahol nem ők kezelik a szervert, és előfordul, hogy nem tudják, ki frissíti a PHP-t vagy mikor történik meg a frissítés. Ez megnehezítheti a gyors reagálást és a megfelelő intézkedések meghozatalát.
Következmények és ajánlások
A rövid távú hatás már látható: állami portálok lekapcsolása és a szolgáltatások korlátozása a kockázat csökkentése érdekében. Középtávon az eset rávilágít az alapvető szoftverösszetevők — például a PHP — folyamatos biztonsági ellenőrzésének és karbantartásának fontosságára, különösen olyan környezetekben, ahol számos oldal osztozik ugyanazon infrastruktúrán.
A cikk forrása: Reuters. E cikk előállításában AI-asszisztens segített; a végleges szöveget újságírónk szerkesztette és ellenőrizte.
