Kritikus PHP sérülékenységek: honlap és más webes rendszerek azonnali frissítése és ideiglenes védelem szükséges

A sajtóban is megjelent a hír, hogy a magyarorszag.hu és több más kormányzati honlap elérését súlyos informatikai biztonsági kockázat miatt átmenetileg leállították. Az intézkedésre elővigyázatosságból, a számos honlap működéséhez használt PHP szoftverben feltárt biztonsági hibák miatt került sor. 

A PHP futtatókörnyezetet érintő, kritikus besorolású távoli kódfuttatási (RCE) sérülékenységek miatt minden érintett weboldal, alkalmazás és szerver üzemeltetőjének haladéktalanul frissítenie kell a PHP-t. Október 21-én a PHP kiadta a CVE-2026-109618 és CVE-2026-109619 azonosítójú, együttesen „PHP2Shell” néven ismert hibák javítását; október 23-án pedig egy újabb, de szűkebb feltételek mellett kihasználható session-kezelési problémát, a CVE-2026-115560-at jelentették be.

Miért kritikus a helyzet?

A CVE-2026-109618 és a CVE-2026-109619 sérülékenységek CVSS v4.0 szerint 9,2-es, azaz kritikus súlyosságúak. Sikeres kihasználásuk hitelesítés nélküli távoli kódfuttatást tesz lehetővé a webkiszolgáló munkafolyamatának jogosultságaival, ami adatszivárgáshoz, weboldal-fertőzéshez vagy teljes rendszertámadáshoz vezethet.

Mindkét hiba a PHP magjában, a memória- és kérésállapot-kezelésben rejlik:

• A CVE-2026-109618 esetén a memóriakorlát túllépésekor bekövetkező hibakezelés részben inicializálatlan belső adatokat hagyhat hátra, amelyeket a kérés lezárása érvényesként kezelhet.
• A CVE-2026-109619 esetén egy kéréshez tartozó belső állapot a mögöttes memória felszabadítása után is megmaradhat, így egy későbbi kérés használhatja azt, mielőtt a normál inicializálás megtörténne.

A hibák a PHP 5.4-től a 8.5.11-es verzióig érintik a rendszereket, ezért nemcsak a régebbi, hanem a jelenleg aktívan támogatott PHP ágakat futtató szolgáltatásokat is érintik.

Mely PHP verziók javítottak?

A PHP fejlesztői október 21-én adták ki a javított kiadásokat, amelyeket az alábbi táblázat tartalmaz.

​Az üzemeltetőknek ellenőrizniük kell a használt PHP-verziót, majd a támogatott, javított ágra és verzióra kell frissíteniük. Teljeskörű és biztonságos megoldást a PHP frissítése jelent, de a támogatással nem rendelkező verziók esetén egyes szolgáltatók is készítettek javítócsomagokat, valamint a konfiguráció érintett pontjainak beállításával csökkenthető a kihasználás esélye.

Újabb, szűkebb körű PHP hibát is azonosítottak

Október 23-án a PHP újabb, CVE-2026-115560 azonosítójú távoli kódfuttatási problémáról adott ki tájékoztatást. Ez a hiba a fájlfeltöltés nyomon követési funkciójához és a munkamenet háttérben futó adatátalakító mechanizmusához kapcsolódik.

A sérülékenység kockázata alacsonyabb, mert csak akkor használható ki, ha egyszerre teljesülnek az alábbi feltételek:

• A session.serialize_handler beállítás php_binary vagy php_serialize értékű.
• Az alkalmazás futásidőben, a session_start() meghívása előtt ini_set() segítségével php értékre váltja ugyanezt a beállítást.
• A session.upload_progress.enabled funkció engedélyezve van.

Azok az alkalmazások, amelyek futás közben nem módosítják a session.serialize_handler értékét, ezen konkrét támadási útvonalon nem érintettek. A PHP szerint a hiba kihasználása szokatlan konfigurációt igényel, és a bejelentés idején nem ismert aktív kihasználása.

A CVE-2026-115560 hibára jelenleg még nem érhető el javított PHP-kiadás; a PHP fejlesztői a következő kiadásban tervezik a javítást. Addig a php.ini fájlban a session upload progress funkciót le kell tiltani:

session.upload_progress.enabled = 0

A módosítás után a PHP-t futtató folyamatokat, például a PHP-FPM-et vagy a webszervert újra kell indítani. A beállítás kikapcsolja a beépített fájlfeltöltés-állapotjelző funkciót, így az alkalmazás nem jeleníti meg a feltöltés előrehaladását, de maga a fájlfeltöltés azonban továbbra is működik.

További információ

A PHP hivatalos biztonsági közleménye és a támogatott verziókkal kapcsolatos információk a php.net oldalon érhetők el. A Nemzeti Kiberbiztonsági Hatóság riasztása a PHP futtatókörnyezet kritikus sérülékenységeiről itt érhető el: NKI riasztás.​

Készítette, IBF ügyfeleknek szakmai tájékoztatást nyújt:

Lapos Bence
elektronikus információs rendszer biztonságáért felelős
​www.ipmonitoring.hu/kapcsolat