2026. október 21-én a PHP fejlesztői soron kívüli biztonsági frissítést adtak ki két kritikus hibára (CVE-2026-109618 és CVE-2026-109619). Mindkettő 9,2-es CVSS pontszámot kapott, és hitelesítés nélküli távoli kódfuttatást tesz lehetővé a webszerveren. A hibapáros a PHP2Shell nevet kapta. A javított verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35.
A helyzetet súlyosbította, hogy a részletek már október 20-án kiszivárogtak, a Cloudflare pedig 21-én 7:43-kor (UTC) már támadásokat jelzett, több mint hat órával a 14:00-s (UTC) kiadás előtt. A hibákat a Wiz Research, a Calif és az OpenAI Codex Security csapata találta meg.
Amikor a lekapcsolás a védekezés
Mivel a hiba magában a PHP-értelmezőben van, nem egy CMS-ben vagy bővítményben, a WordPress, a Drupal vagy a Joomla frissítése nem segít: a szerveren futó PHP-t kell cserélni. A német BSI és az amerikai CISA, később az NSA is azt tanácsolta, hogy aki nem tud azonnal frissíteni, vegye le a rendszereit a netről. A heise szerint ekkora léptékű megelőző lekapcsolásra korábban még nem volt példa.
Kik voltak elérhetetlenek
Mainz város honlapja és több rajna-pfalzi hivatali oldal már október 20-án leállt. 21-én holland, finn, dán és francia kormányzati oldalak mentek karbantartási módba, Dániában egy országos iskolai kommunikációs platform is érintett volt. Németországban a Charité teljes honlapja leállt, a berlin.de egyes részei elérhetetlenek voltak, a Freie Universität Berlin korlátozta IT-szolgáltatásait, és több tartományban, köztük Bajorországban és Alsó-Szászországban, kormányzati és rendőrségi oldalak sem működtek. Hollandiában a parlament honlapja, a nemzeti kiberbiztonsági központ, a Tweakers és a DigiD állami azonosító szolgáltatás is elsötétült. A Nintendo szintén több szolgáltatását kapcsolta le.
A legjobban dokumentált eset a BambooHR HR- és bérszámfejtő rendszer: helyi idő szerint hajnali 4:46-kor jelezték a veszélyt, nagyjából egy órával később lekapcsolták az amerikai, kanadai és ír példányt, éppen egy bérszámfejtési ciklus közepén. Reggel 9 körül már telepítették a javítást, és 18:01-kor (UTC) álltak vissza, vagyis több mint hat órán át nem volt elérhető a szolgáltatás.
Másnap: lassú visszatérés
Október 22-én délben egy nyilvános követőoldal 50 lekapcsolt oldalt tartott nyilván, ebből 47 már visszatért. Akkor még elérhetetlen volt a francia adatvédelmi hatóság (CNIL), a holland adatvédelmi hatóság és több francia prefektúra oldala. Adatlopást eddig egyik nagy érintett sem jelentett, a lekapcsolások megelőző jellegűek voltak. A Sansec elemzése szerint a tömeges kihasználás kevésbé valószínű, mint elsőre gondolták, mert a sikeres támadáshoz a célszerver konkrét ismerete és bizonyos feltételek kellenek.
Mit érdemes tenni
Derítsd ki, honnan jön a szervered PHP-ja (disztribúciós csomag, konténerkép vagy tárhelyszolgáltató), és frissíts. A 8.1-es és régebbi ágakhoz a PHP projekt már nem ad ki javítást, ott disztribúciós vagy LTS-backportra van szükség. Ha mégis lekapcsolod az oldalt, a Google-től John Mueller azt javasolja, hogy HTTP 503-at adj vissza, ne időtúllépést, 404-et vagy 500-at, így a keresőbeli helyezés sem sérül tartósan.
Comments