Kritikus PHP sérülékenység és új biztonsági oldalunk

Szlávik Péter
Szlávik Péter Közzétéve:
Hírek

Október 21-én délután a PHP fejlesztői sürgős biztonsági frissítést adtak ki két kritikus PHP sérülékenység javítására (CVE-2026-109618, CVE-2026-109619). A hibák a szakmában „php2shell” néven váltak ismertté, és a 10-es skálán 9,2-es súlyossági besorolást kaptak. Az Európai Unió kiberbiztonsági központja, a CERT-EU külön figyelmeztetésben sürgette az azonnali frissítést.

Szuperhős pajzzsal védi a Sybell tárhelyszervereit a PHP sérülékenység támadásaitól, mellette zöld pipás biztonsági oldal

Mi az a php2shell PHP sérülékenység?

A PHP az a programnyelv, amelyen a weboldalak túlnyomó többsége fut, így a WordPress, a WooCommerce és sok más tartalomkezelő és webáruház is.

A két hiba úgynevezett távoli kódfuttatást tesz lehetővé. Ez azt jelenti, hogy egy támadó belépés nélkül, kívülről futtathatna saját programkódot a weboldalt kiszolgáló szerveren. Egy védelem nélküli szerveren ezzel például kártékony kódot rejthetne el a weboldal fájljaiban, adatokat szerezhetne meg, kéretlen leveleket küldhetne, vagy más oldalakra irányíthatná át a látogatókat.

A sérülékenység gyakorlatilag minden PHP-verziót érint, a régebbieket és a legújabbakat is. Így a webtárhely-szolgáltatók szinte mindegyikénél gyors beavatkozásra volt szükség.

Nálunk a PHP sérülékenységet már javítottuk

Tárhelyszervereinket a kezdetektől védte az Imunify360 webes tűzfal. Frissített szabályai blokkolják az ismert támadási mintákat és a nyilvánosan elérhető támadóeszközöket, a sérülékenységet kereső IP-címeket pedig automatikusan kiszűrik.

A végleges javítást gyorsan telepítettük:

  • október 21., 23:27: megkezdtük a javított PHP-csomagok telepítését minden tárhelyszerverre, az 5.2-től a 8.5-ös verzióig;
  • október 22., 7:19: minden tárhely- és menedzselt VPS szerverre felkerült a cPanel 138.0.18-as verziója, amely a kezelőfelület saját PHP-motorját is javítja.

✅ A teljes folyamat nagyjából 8 óráig tartott, és szolgáltatáskiesés nélkül zajlott.

Fontos: akkor is védett vagy, ha még a régi PHP-verziószámot látod.

Szervereinken a CloudLinux biztosítja a PHP-csomagokat, amely a javítást a meglévő verziókba építette be. Ezért a verziószám nem változott: ha például a WordPress „Webhely egészsége” menüjében vagy a cPanelben 8.3.35-ös vagy 8.4.26-os verziót látsz, az oldalad akkor is a javított PHP-n fut. A verziószámokat a cPanel a nap folyamán szintén frissíti, de a védelem ettől függetlenül már most is teljes.

Mi a teendőd a PHP biztonsági frissítés kapcsán?

  • Tárhely és menedzselt VPS: nincs teendőd. A régebbi PHP-verziót (például 5.6 vagy 7.x) használó oldalak is megkapták a javítást, így verziót sem kell váltanod.
  • Saját üzemeltetésű VPS: frissítsd a PHP-t valamelyik javított verzióra (8.5.12, 8.4.27, 8.3.36 vagy 8.2.35). cPanel esetén legalább a 138.0.18-as verzió szükséges (/scripts/upcp). CloudLinux-szervereken a csomagok a yum update "ea-php*" paranccsal frissíthetők, utána pedig újra kell indítani a webszervert és a PHP-FPM-et. Itt a verziószám nem változik, a javított csomagot a „cloudlinux” jelölésű csomagverzió mutatja (például 8.3.35-2.el10.cloudlinux.2 ). A részletes lépéseket az incident.sybell.hu oldalon találod.

Új biztonsági oldalunkon mindig naprakész leszel

Erről a PHP sérülékenységről már új tájékoztató oldalunkon, az incident.sybell.hu címen is folyamatosan beszámoltunk.

Az oldal tetején egy pillantással látod, hogy minden rendszerünk megfelelően működik-e. Szolgáltatásonként (webtárhely/cPanel, VPS, menedzselt VPS, domain, levelezés, Ügyfélkapu) az elmúlt 90 nap rendelkezésre állása is megjelenik. Ez jelenleg minden szolgáltatásunknál 100%.

Sybell Hosting új biztonsági státusz oldala a php sérülékenység és más problémák figyelésére

Itt tesszük közzé a rendszereinket érintő biztonsági sérülékenységeket is, és azt, hol tart a javításuk. Minden bejegyzésnél látod, melyik szolgáltatást érinti a hiba, mit tettünk, és mikor zártuk le az ügyet. A korábbi bejegyzések is bármikor visszakereshetők.

🔔 A jobb felső sarokban lévő „Kérj frissítéseket” gombbal feliratkozhatsz értesítésre e-mailben, Slacken, Teamsen, Google Chaten, webhookon vagy RSS-en keresztül. Így minden új bejegyzésről és frissítésről automatikusan értesítést kapsz, és nem kell külön rákérdezned.

Gyakori kérdések a php2shell sérülékenységről

Érint engem a php2shell PHP sérülékenység?

Ha nálunk van tárhelyed vagy menedzselt VPS-ed, a hibát már javítottuk, nincs teendőd. Saját üzemeltetésű VPS esetén frissítsd a PHP-t a javított verziók egyikére.

Át kell állnom újabb PHP-verzióra?

Nem. Tárhelyszervereinken az 5.2-től a 8.5-ös verzióig minden PHP-verzió megkapta a javítást.

Régebbi PHP-verziószámot látok. Biztosan védett az oldalam?

Igen. A javítás a meglévő PHP-verziókba került be, ezért a verziószám nem változott. Az oldalad már most is a javított PHP-n fut. A verziószámokat a cPanel a nap folyamán frissíti.

Volt leállás a frissítés alatt?

Nem, a javítás szolgáltatáskiesés nélkül zajlott.

Hol követhetem a biztonsági javításokat?

Az incident.sybell.hu oldalon, ahol értesítésre is feliratkozhatsz.

Kérdés esetén ügyfélszolgálatunk szívesen segít.