Képzelje el, hogy az autójába épített központi zár egyik napról a másikra meghibásodik. Bárki, aki elsétál a parkolóban az autója mellett, egyetlen gombnyomással kinyithatja az ajtót, beülhet a volán mögé, és elhajthat vele. Pontosan ez történt az interneten található weboldalak többségével 2026 októberében, amikor a biztonsági kutatók felfedezték a PHP2Shell névre keresztelt hibát.
Sok cégvezető úgy gondol a saját honlapjára, mint egy kinyomtatott szórólapra, amit ha egyszer kitettek a kirakatba, többé nem kell hozzányúlni. Egy mai weboldal azonban sokkal inkább hasonlít egy teherautóra. Olajcserére, műszaki vizsgára és kopóalkatrész-cserére szorul. Ha ezt elmulasztjuk, a jármű előbb-utóbb cserben hagy minket az út szélén.
Mi az a PHP, és miért érinti az Ön cégét is?
Amikor egy ügyfél megnyitja az Ön cégének weboldalát, a háttérben egy láthatatlan motor dolgozik. Ezt a motort hívják PHP-nak. A W3Techs 2026. októberi mérései szerint a világ összes weboldalának körülbelül 70 százaléka ezt a technológiát használja. Ha az Ön céges honlapja vagy webáruháza a népszerű WordPress rendszerre épült, akkor a háttérben szinte biztosan ez a PHP motor fut.
- október 21-én a fejlesztők két súlyos hibát hoztak nyilvánosságra ebben a motorban (a hivatalos nyilvántartásban ezeket CVE-2026-109618 és CVE-2026-109619 néven jegyzik). Ez a két hiba kapta a PHP2Shell nevet.
Miért ekkora probléma ez a biztonsági rés?
A szakemberek egy 1-től 10-ig terjedő skálán mérik a biztonsági hibák súlyosságát. A PHP2Shell 9,2-es értékelést kapott, ami a kritikus kategóriába tartozik.
A veszélyt az adja, hogy a támadóknak nincs szükségük jelszóra a belépéshez. A hiba a rendszer memóriakezelésében rejlik. Amikor egy bűnöző egy speciálisan összeállított kérést küld a weboldalnak, a szerver memóriája összezavarodik. Ezen a résen keresztül a támadó saját parancsokat futtathat a szerveren, vagy kiolvashatja a memóriában tárolt titkos adatokat, például a vásárlók jelszavait és a bankkártyás fizetésekhez használt kulcsokat.
A legijesztőbb részlet a kisvállalkozók számára az, hogy a honlap saját védelme itt nem segít. Hiába fizetett elő a legmodernebb biztonsági bővítményekre a WordPress oldalán, a PHP2Shell hiba még azelőtt lefut a szerveren, hogy a weboldal saját védelmi rendszere egyáltalán felébredne.
Mekkora kárt okozott eddig? Mit mutatnak a felmérések?
Megjegyzés a számokhoz: Mivel a hibát nemrég, 2026. október 21-én hozták nyilvánosságra, a globális pénzügyi károkról szóló összesített kimutatások még nem léteznek. Ilyen rövid idő alatt egyetlen kutatóintézet sem tudja pontosan felmérni a forintban vagy dollárban kifejezhető veszteséget. A veszély mértékéről és a támadási kísérletekről azonban már pontos adataink vannak.
A Qualys nevű nemzetközi kiberbiztonsági vállalat 2026. október 22-én közzétett egy átfogó felmérést, amelyben 167 millió PHP-telepítést vizsgáltak meg világszerte:
- A vizsgált rendszerek 99 százaléka sebezhető volt a bejelentés pillanatában.
- A rendszerek 71 százaléka olyan elavult verzión fut, amelyhez a gyártó már nem ad ki többé automatikus javítást. Ezek a weboldalak gyakorlatilag védtelenek maradtak.
A támadások azonnal elindultak. A Cloudflare adatai szerint a kiberbűnözők már órákkal a hivatalos javítás megjelenése előtt elkezdték letapogatni a védtelen szervereket. A magyarországi Nemzeti Kibervédelmi Intézet (NKI) már október 22-én figyelmeztetést adott ki az aktív támadási kísérletek miatt, az amerikai kibervédelmi ügynökség (CISA) pedig október 26-án felvette a hibát a bizonyítottan kihasznált sebezhetőségek listájára. Európában több kormányzati és üzleti weboldalt is le kellett kapcsolni ideiglenesen a védekezés idejére.
Van azonban egy jó hír is. A Sansec elemzőcég kimutatta, hogy egy sikeres támadáshoz a bűnözőknek pontosan ismerniük kell az adott szerver egyedi beállításait. Emiatt a vakon indított, tömeges fertőzések nehezebben érnek célt, mint a korábbi évek hasonló nagy hibáinál. Ez az egyetlen ok, amiért még nem omlott össze a weboldalak többsége: a rendszergazdák kaptak egy kis haladékot a javításra.
A legfontosabb tanulság: A frissítés a legolcsóbb biztosítás
A PHP2Shell története rávilágít egy alapvető üzleti kockázatra. A biztonsági rés az 5.4-es verziótól felfelé minden PHP motort érint. Azok a vállalkozások, amelyek az elmúlt években rendszeresen frissítették a rendszereiket (és így a 8.2-es vagy annál újabb verziót használják), most egyetlen gyors frissítéssel befoltozhatják a rést.
Azok a cégek viszont, amelyek öt-hat éve nem nyúltak a weboldaluk motorjához, most csapdába estek. Az ő elavult rendszereikhez nem készült egyszerű javítócsomag. Nekik most tűzoltásszerűen, drága fejlesztői munkaórákat kifizetve kell átépíteniük a honlapjuk alapjait, vagy le kell kapcsolniuk az oldalukat, amíg elkészül az új verzió.
Mit tehet Ön ma, ha nem ért az informatikához?
- Hívja fel a webfejlesztőjét vagy a tárhelyszolgáltatóját! Kérdezze meg tőlük: „Hányas verziójú PHP fut a weboldalam alatt, és megkapta-e már a 2026. október 21-i biztonsági frissítést?” (A biztonságos verziók számai: 8.2.35, 8.3.36, 8.4.27 vagy 8.5.12).
- Kövesse a rendszeres karbantartás elvét! Kössön havi vagy negyedéves karbantartási szerződést egy megbízható szakemberrel. Egy havi pár ezer forintos felügyeleti díj töredéke annak a kárnak, amit egy feltört webáruház, az ellopott ügyféladatok és a hatósági bírságok okozhatnak.
A digitális világban a mozdulatlanság jelenti a legnagyobb veszélyt. Ne várja meg, amíg a cége weboldala leáll az autópálya közepén: gondoskodjon a rendszeres szoftverfrissítésről még ma!
Felhasznált források:
- Qualys Threat Research Unit: PHP2Shell Risk Assessment (2026. október 22.) – Globális felmérés a 167 millió PHP-telepítés sebezhetőségéről és az elavult verziók arányáról.
https://www.qualys.com/php2shell-risk-assessment#:~:text=Apply%20your%20OS%20vendor’s%20backport%20where%20one,21%20%C2%B7%205%3A00pm%20PT.%20Americas%20%26%20APAC.
https://www.qualys.com/php2shell-risk-assessment#:~:text=Qualys%20Threat%20Research%20%C2%B7%20Anonymized%20data.%2099%25,PHP%20version.%20Mitigation%20%C2%B7%20No%20agents%20required. - Sansec Forensics Team: PHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619) (2026. október 21.) – Technikai elemzés a hiba működéséről és a Cloudflare által észlelt első támadásokról.
https://sansec.io/research/php2shell - CISA (Cybersecurity and Infrastructure Security Agency): Critical Vulnerabilities in PHP Require Immediate Patching (Frissítve: 2026. október 26.) – Hivatalos hatósági riasztás és a javított verziószámok listája.
https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching#:~:text=Critical%20Vulnerabilities%20in%20PHP%20Require%20Immediate%20Patching.,potentially%20suspicious%20activity%3B%20(2)%20incorporate%20partner%20resources%3B - WikiAI.hu / Nemzeti Kibervédelmi Intézet (NKI): PHP2Shell: két kritikus PHP-sérülékenység fenyeget weboldalakat és szervereket (2026. október 22.) – Hazai helyzetkép és a magyar kibervédelmi hatóság figyelmeztetése.
https://www.wikiai.hu/php2shell-ket-kritikus-php-serulekenyseg-fenyeget-weboldalakat-es-szervereket-megjelentek-a-javitasok/#:~:text=Vannak%20m%C3%A1r%20t%C3%A1mad%C3%A1si%20k%C3%ADs%C3%A9rletek%3F%20Az%20NKI%202026.,m%C3%B3dok%20k%C3%B6z%C3%B6tt%20emelte%20ki%20az%20Apache%20mod_php%2Dt. - RelNet Technológia: Kritikus PHP sérülékenység bénítja a webet: Kormányzati oldalak is leálltak a PHP2Shell miatt (2026. október 27.) – Beszámoló az európai leállásokról.
https://en.wikipedia.org/wiki/PHP2Shell
Vélemény, hozzászólás?