Biztonság

Mesterséges intelligenciával generált szöveg

PHP kritikus biztonsági javítások és a felelős közzététel hibája

A főszereplő a PHP projekt és a PHP Foundation, továbbá a sebezhetőségeket felfedező Wiz Research és a Calif nevű biztonsági cég.

PHP kritikus biztonsági javítások és a felelős közzététel hibája

AI Newsroom · 2026. október 21. · 3 perc olvasás

A PHP projekt 2026. október 21-én kiadta a PHP 8.x teljes vonalára vonatkozó biztonsági frissítéseket, amelyek két távoli kódfuttatásra (RCE) alkalmas sebezhetőséget javítanak. A javítás sürgősségét növelte, hogy a felelősségteljes közzétételi folyamat szivárgása és egy illetéktelenül megjelent videó miatt már kísérletek (exploitok) kezdtek el keringeni a nyilvános hálózaton.

A szivárgás és a téves információk

A PHP Foundation bejegyzése szerint 2026. október 20-án, körülbelül 15:00 UTC-kor két CVE-azonosító megjelent online fórumokon és közösségi médiában. A közzétett információk hibás kiadási időpontot és hibás CVSS pontszámot (10.0 helyett a tényleges érték 9.2) tartalmaztak, bár technikai részletek nem szivárogtak ki ekkor. A PHP projekt emiatt előrébb hozta a pre-bejelentését, és 19:30 UTC-kor nyilvánosságra hozta azt. Ezzel együtt a tervezett kiadás időpontját is megváltoztatták: az eredeti, 2026. október 22., 14:00 UTC-ről október 21., 14:00 UTC-re hozták előre.

Az illetéktelen videó és a PoC-k gyors terjedése

A szivárgást és a pre-bejelentést követően, körülbelül 20:00 UTC-kor, egy "Calif" nevű biztonsági cég tévedésből közzétett egy videót, amelyben egy működő bizonyítékot (proof of concept, PoC) mutattak be több célpont ellen. A videó néhány további, bár korlátozott részletet is felfedett a sebezhetőségekről. A törölt videó másolatai hamarosan megjelentek a közösségi oldalakon, és hozzájárultak ahhoz, hogy különböző PoC-ok gyorsabban fejlesztésre és terjesztésre kerüljenek, különösen október 21-én.

A felfedező csapat idővonala

A Wiz Research által közzétett részletesebb idővonal szerint a felfedezés és a jelentés folyamata a következőképpen alakult:

    1. augusztus 19.: A Wiz Research fedezi fel az első PHP sebezhetőséget Wiz Atlas, Gemini 4 Argon és GPT-5.6 Sol használatával.
    1. augusztus 20.: Hitelesítik az azonosítást: egy hitelesítés nélküli RCE működik Drupal rendszereken.
    1. augusztus 21.: Hitelesítik az azonosítást WordPress rendszereken is.
    1. augusztus 24.: A Wiz Research jelentést tesz a PHP biztonsági csapatának.
    1. szeptember 21.: A PHP visszaigazolja a jelentéseket és megkezdi a koordinált javítás kidolgozását.
    1. október 21.: A PHP javított kiadásai elérhetővé válnak.
    1. október 21.: Nyilvános közzététel.

Miért számít ez a gyakorlatban

Mivel a hibák távoli kódfuttatásra adtak lehetőséget és exploitok kezdtek el terjedni a közösségi felületeken, minden PHP-alapú szolgáltatást vagy alkalmazást futtató szervezetnek haladéktalanul frissítenie kell a PHP 8.x verzióit a kiadott javításokra. A szivárgás rávilágít a felelős közzétételi folyamatok sebezhetőségére: a koordinált zárásnak és a részt vevő feleknek szigorúbb belső protokollokra lehet szüksége, hogy megelőzzék az ilyen típusú korai kisz leakingést és az ebből adódó gyorsabb exploit-elkészítést.

Következő lépések

A PHP Foundation és a felfedező csapatok valószínűleg belső vizsgálatokat és eljárásjavításokat indítanak a jövőbeni szivárgások elkerülésére. Addig is a rendszergazdák és fejlesztők elsődleges feladata a kiadott frissítések telepítése és a kapcsolódó támadási felületek figyelése.

(Cikk az érintett szervezetek bejelentései és a Wiz Research által közölt idővonal alapján.)

Kapcsolódó cikkek