Két hónappal a nyilvános bejelentés előtt bizalmas koordináció kezdődött a PHP-motor belső hibáinak javítására, amelyeket később PHP2Shell néven hoztak nyilvánosságra. A kutatók két sebezhetőséget azonosítottak: CVE-2026-109618 és CVE-2026-109619. A hibák leírása szerint a defektusok a PHP belső hibakezelésében és memóriakezelésében — különösen OOM (out-of-memory) állapotok és fatális hibák kezelésében — keletkeznek, és a kutatók teljes távoli kódvégrehajtást (RCE) és “Heartbleed‑szerű” memóriakiszivárgást demonstráltak.
Kik voltak az érintett szereplők
- OpenAI azt közölte, hogy a Calif nevű biztonsági cég kutatói az OpenAI “Patch the Planet” kezdeményezésén belül, a Daybreak/Daybreak-for-Frontline-Defenders hozzáférés kapcsán GPT‑5.6 Sol modellel dolgoztak a hibák felfedezésén.
- A Wiz (most része a Google Cloudnak) függetlenül is megtalálta a hibákat; Wiz a Gemini 4 Argon mellett saját eszközeit, köztük Wiz Atlas-t használta a felfedezéshez, exploit láncokhoz, detektorokhoz és javítások validálásához.
- A PHP Foundation és a PHP-karbantartók részt vettek a javítás kidolgozásában és bevezetésében.
- Cloudflare előzetes WAF‑szabályokat állított be, és elérhetővé tette azokat minden ügyfél számára, beleértve az ingyenes fiókokat is.
- Az NSA (U.S. National Security Agency) figyelmeztetést adott ki, sürgetve a gyors frissítést vagy szükség esetén rendszerek ideiglenes leállítását.
Idővonal és koordináció
OpenAI, illetve a projektben részt vevő kutatók szerint a felfedezés és a nyilvánosságra hozatal között körülbelül két hónap telt el, amely idő alatt a résztvevők a hibajavításokon, észleléseken és védekezéseken dolgoztak, valamint előzetesen tájékoztattak kormányzati szerveket és ügynökségeket. OpenAI és egyes szereplők a Daybreak hozzáférést, illetve a Patch the Planet kezdeményezést említették, de a két program szerepe eltér: az egyik a modellhozzáférést biztosította, a másik a javítások szervezését.
Előre figyelmeztető posztok és Cloudflare közleménye alapján a tervezett javítás kiadásának időablaka 2026. október 21., 14:00 UTC (23:00 JST) körül volt.
A technikai állítások és bizonyítékok
A közzétett démonstrációk között szerepelnek pre‑authentikációs RCE‑k WordPress, Drupal és Joomla rendszerek ellen, valamint a kutatók által jelentett tetszőleges PHP-alkalmazásokra kiterjedő memória-kiszivárgás. Fontos hangsúlyozni, hogy ezek kutatói demonstrációk; a rendelkezésre álló anyagokból nem következik automatikusan, hogy minden telepítésben azonos, azonnal kihasználható RCE útvonal létezik.
OpenAI és Wiz független felfedezési beszámolói azt mutatják, hogy több szereplő munkája járult hozzá a leleplezéshez és a javításhoz: OpenAI/Calif oldalról GPT‑5.6 Sol, Wiz oldalról Gemini 4 Argon és belső eszközök szerepelnek a nyilatkozatokban.
Operatív lépések és következmények
- Cloudflare: előzetes WAF‑szabályokat telepített, amelyeket frissítettek az első támadási kísérletek megjelenésekor. A Cloudflare CTO kifejezetten „stopgap” (ideiglenes) intézkedésnek nevezte ezeket, és ismételten a végleges javítás telepítését javasolta.
- NSA: sürgette a rendszergazdákat az azonnali frissítésekre, illetve javasolta, hogy ha a gyors mitigáció nem lehetséges, ideiglenesen vegyék offline‑ba a kritikus rendszereket.
- OpenAI: a nyilvános bejelentés után egy GitHub‑tárhelyen Codex‑alapú segédletet tett közzé az érintettség ellenőrzéséhez, kiegészítő segítségként, nem helyettesítve a hivatalos disztribúciós vagy csomagazonosító tájékoztatót.
Nyitott kérdések és ellentmondások
A nyilvánosan rendelkezésre álló szálak és közlemények több bizonyíték‑hiányt hagynak: hiányoznak a PHP Foundation által kiadott pontos értesítők, a javítással érintett, illetve rögzített verziók listája, a CVSS‑pontszámok részletei, a lehetséges telepítési előfeltételek és az, hogy pontosan mit és mikor szivárogtattak ki a közzététel előtt. Több virális jelentés állít különböző kiterjedt hatásokat (például körülbelül 1,5 millió kiszolgáló, amelyeket Censys‑adatokra hivatkozva sérülékenynek jelöltek), illetve több szervezetnél történő leállásokat vagy szolgáltatási zavarokat, de ezek egyedi állításait a rendelkezésre bocsátott anyagok nem egyértelműen igazolják.
Működési kihívások a javítás során
A javítások elosztása és alkalmazása komoly gyakorlati problémákat okoz: a PHP megtalálása és frissítése menedzselt hoszting környezetekben, konténerekben, készülékeken és régi alkalmazásokban, a megfelelő csomagok beszerzése, folyamatok újraindítása és a futó build ellenőrzése mind erőforrásigényes feladatok. A gyors WAF‑védelmek hasznosak, de hamis biztonságérzetet is kelthetnek, mert a proxied forgalom, alternatív belépési útvonalak és az origin exponáltságát külön ellenőrizni kell.
A nyilvános beszámolók és szakmai viták azt is mutatják, hogy az „autopatch” vagy nem autorizált javítási kísérletek jogi, műszaki és bizonyítékmegőrzési kockázatokat hordoznak.
Miért számít ez
A PHP2Shell‑ügy fontos példája annak, hogy korszerű modellek és emberi kutatók együttműködve képesek felfedezni súlyos sebezhetőségeket, és hogy a fejlesztői/biztonsági ökoszisztémák képesek koordináltan reagálni. Ugyanakkor az eset rávilágít a hibák kezelése körüli információs hiányosságokra, a javítások elosztásának nehézségeire és arra, hogy a nyilvános állításokat óvatosan kell kezelni mind a hatókör, mind a tényleges kihasználtság tekintetében.
Ajánlott teendők üzemeltetőknek (összefoglalva)
- Szerezzék be a hiteles PHP és disztribúciós advisories listáját és a javított csomagazonosítókat; ne csak közösségi posztokra hagyatkozzanak.
- Inventarizálják a PHP‑futtatási környezeteket (hoszting, konténerek, appliance‑ok, háttérfolyamatok, régi appok).
- Alkalmazzanak ideiglenes mitigációkat indokolt esetben (WAF‑szabályok, hálózati hozzáférés korlátozása), de utána telepítsék a hiteles, aláírt javításokat.
- Ellenőrizzék a futó buildet, indítsák újra a szükséges folyamatokat, és vizsgálják át a compromise‑jeleit külön.
Záró megjegyzés
A kutatói felfedezések és a modellek szerepe (GPT‑5.6, Gemini 4 Argon) fontos része ennek az eseménynek, de a rendelkezésre álló anyagok alapján a felelősség és a kredit több szereplő között oszlik meg. Az ügy egyben jelzi, hogy a kritikus nyílt forráskódú infrastruktúra most talán a történelem legszéleskörűbb biztonsági átvilágításán megy keresztül, amit a javítások és a koordináció sokszereplős természete is tükröz.
