A héten világszerte több kormányzati portál, banki és közlekedési szolgáltatás, kórházi weboldalak és a Wikipédia háttérrendszerei is ideiglenesen leálltak vagy korlátozottan működtek. A leállásokat nem egyetlen, nagy volumenű kifinomult kibertámadás okozta, hanem két, a PHP szerveroldali programozási nyelvében talált súlyos sebezhetőség: ezeket a problémákat PHP2Shell néven emlegették. A hibák az internet egyik legelterjedtebb alapszoftverét érintik, ezért széles körű óvintézkedésekre kényszerítették az üzemeltetőket.
Mely hibákról van szó?
A PHP2Shell két sérülékenység gyűjtőneve: CVE-2026-109618 és CVE-2026-109619. Mindkettő 9,2-es besorolást kapott a 10 pontos CVSS-skálán. A problémák memória-kezelési hibákból adódnak: a PHP bizonyos kérések feldolgozásakor felszabadított vagy hibás állapotú memóriaterületekre támaszkodhat, és ez a támadók számára távoli kódfuttatást (remote code execution) tesz lehetővé. Egy sikeres kihasználás esetén a támadó bejelentkezés nélkül futtathat parancsokat a szerveren, hozzáférhet érzékeny adatokhoz — például hozzáférési kulcsokhoz vagy munkamenet-azonosítókhoz —, ami adatlopáshoz és további behatolásokhoz vezethet.
Fontos hangsúlyozni, hogy a sebezhetőség nem feltétlenül a webalkalmazás hibája: egy gondosan megírt weboldal is veszélybe kerülhet, ha az alatta futó PHP-verzió érintett.
Mekkora a kitettség?
A PHP rendkívül elterjedt: egy októberi felmérés szerint a szerveroldali programozási nyelveket használó weboldalak 69,3 százalékánál alkalmazzák a PHP-t. Ez nem jelenti azt, hogy minden ilyen oldal automatikusan sebezhető, de jelzi, hogy a hibák potenciálisan nagyon sok szolgáltatást érinthetnek.
Hogyan találták meg a hibát?
A Wiz biztonsági kutatói augusztusban az AI-eszközök segítségével azonosították a problémákat, és működő támadási módszereket dolgoztak ki. A Calif és az OpenAI szakemberei is részt vettek a hibák feltárásában és a javítás nyilvánosságra hozatalának összehangolásában. A Wiz szerint korábban a kihasználás igen összetett folyamat lett volna; az AI-modellek viszont felgyorsították a kódelemzést és a tesztelést, így a veszély hamarabb vált láthatóvá. Ez egyszerre mutatja az AI pozitív és potenciálisan negatív oldalát: segítheti a hibakeresést, de a támadók munkáját is gyorsíthatja.
Javítások és ütemezés
A PHP fejlesztői október 21-én adták ki a javításokat: a kiadott biztonsági verziók a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 számú kiadások voltak. Ugyanakkor egy nagy informatikai rendszer frissítése nem csupán egyetlen kattintás: az üzemeltetőknek fel kell mérniük az érintett szervereket, ellenőrizniük kell, hogy az új PHP-változat kompatibilis-e a meglévő alkalmazásokkal, és tesztelniük kell a szolgáltatások működését. Ez különösen kritikus a banki, egészségügyi és állami rendszereknél, mert egy rosszul végrehajtott frissítés maga is kimaradást okozhat.
A magyar Nemzeti Kiberbiztonsági Intézet ezért azt javasolta, hogy ahol a frissítés nem végezhető el azonnal, az érintett rendszereket válasszák le a külső hálózatról, vagy függesszék fel ideiglenesen a működésüket.
Mit tapasztaltak a gyakorlatban?
A nyilvánosságra hozatal után jelentősen megnőtt a támadási kísérletek száma. A Cloudflare adatai szerint a bejelentést megelőző tíz órában több ezer próbálkozást észleltek; néhány órával a bejelentés után ez már milliós nagyságrendű észleléssel járt. Ezek az adatok nem sikeres feltöréseket, hanem érzékelt támadási kísérleteket jelentenek.
A Wikipédia a Toolforge és Cloud VPS rendszereket, továbbá több fejlesztői és háttérszolgáltatást részlegesen leállított, miközben a fő publikusan elérhető enciklopédia-oldalakat igyekeztek fenntartani. A háttérrendszerek karbantartása bonyolult, mert több szolgáltatást önkéntes fejlesztők kezelnek.
Nemzetközi példák is voltak: Németországban, Hollandiában, Finnországban és Franciaországban közszolgáltatásokat korlátoztak; Japánban pénzintézetek, légitársaságok és vasúttársaságok vezettek be óvintézkedéseket. Magyarországon október 22-én a magyarorszag.hu és több kormányzati oldal ideiglenes leállítását jelentették be; a kormány tájékoztatása szerint nem észleltek behatolásra utaló jeleket.
A leállások sok esetben nem a védelem kudarcát jelzik, hanem a tudatos óvintézkedéseket: rendszereket tették elérhetetlenné, hogy megakadályozzák a sebezhetőség kihasználását.
Védelem és további teendők
A Cloudflare forgalomszűrő védelmet is bevezetett, de hangsúlyozták, hogy ez nem helyettesíti a PHP frissítését. A régi, már nem támogatott rendszereknél előfordulhat, hogy teljes verzióváltásra van szükség. A legbiztonságosabb megoldás az érintett PHP-telepítések mielőbbi frissítése a kiadott javított verziókra, vagy ha ez nem lehetséges, a rendszerek ideiglenes leválasztása a külső hálózatról.
Összefoglalás
A PHP2Shell esete rávilágít arra, hogy évtizedek óta meglévő programhibák milyen széles körben okozhatnak kockázatot az internetes szolgáltatásoknak. A hibák felfedezésében az AI-eszközök gyorsító szerepet játszottak, és a javítások október 21-én jelentek meg; az érintett szervezetek azonban a biztonságos frissítés és tesztelés miatt továbbra is komoly döntések előtt állnak.
