+36 70/362-9115
PHP-sebezhetőség 2026 – mit jelent a weboldalának, és hogyan kerülhető el?
Két kritikus PHP-hiba rázta meg az internetet – mi történt, és mit tegyen most?
Mi történt 2026. október 21-én?
- október 21-én, szerdán a PHP fejlesztői javítócsomagokat adtak ki két súlyos biztonsági hibára. A PHP a weboldalak jelentős részének motorja, a W3Techs adatai szerint az azonosítható technológiával működő oldalak közel 70 százalékát hajtja. Ez a motor áll a WordPress mögött is, amely az összes weboldal mintegy 40 százalékát szolgálja ki.
A két hiba külön-külön is kritikus besorolású (CVSS v4.0 skálán 9,2 pont a 10-ből), és azt teszi lehetővé, hogy a támadó jelszó és felhasználói fiók nélkül, távolról futtasson tetszőleges kódot az érintett szerveren. Egyszerűbben: ha egy ilyen szerveren fut az Ön weboldala, a támadónak nem kell belépnie, nem kell kitalálnia a jelszót, a szerver maga hajtja végre a parancsait.
Elővigyázatosságból Hollandiában, Finnországban, Dániában és Franciaországban is lekapcsoltak kormányzati weboldalakat és közszolgáltatásokat, Ausztráliában is volt hasonló leállítás, Magyarországon pedig a Nemzeti Kiberbiztonsági Intézet adott ki riasztást. Fontos pontosítás: a jelentések szerint ezek óvintézkedések voltak, az érintett kormányzati rendszerek feltöréséről nem érkezett megerősített hír. Az uniós CERT-EU arra kérte azokat a szervezeteket, amelyek nem tudják azonnal telepíteni a javítást, hogy ideiglenesen kapcsolják le az érintett oldalaikat.
Hogyan derült ki a hiba?
A történet egyik legérdekesebb része, hogy mindkét hibát mesterséges intelligencia segítségével találták meg. Az elsőt a Calif nevű biztonsági cég kutatói az OpenAI egyik modelljével azonosították, és augusztus 11-én jelentették a PHP fejlesztőinek. A másodikat a Wiz függetlenül, szintén MI-támogatással fedezte fel, és augusztus 24-én jelentette.
A Wiz közlése szerint a hibák évtizedek óta a kódban lapultak, a kihasználásukhoz szükséges lépéssorozat pedig olyan bonyolult, hogy emberi kutatók számára szinte elérhetetlen volt. Ez rávilágít egy fontos tendenciára: az MI nemcsak a védekezőknek segít, hanem csökkenti a támadók belépési küszöbét is, mert az exploitokat automatikusan képes hozzáigazítani különböző PHP-verziókhoz és konfigurációkhoz.
Miért veszélyes ez a kisvállalkozásoknak?
Egy nagyvállalatnak vagy egy kormányzati portálnak van biztonsági csapata, amely a hírt még aznap látja, és beavatkozik. Egy könyvelőiroda, egy kisvállalkozás vagy egy szolgáltató weboldalánál ez jellemzően másképp néz ki:
- a weboldal osztott tárhelyen fut, a szervert nem Ön kezeli,
- sokszor senki sem tudja pontosan, ki frissíti a PHP-t a szerveren,
- a weboldalt készítő szakember már rég másik projekten dolgozik.
A helyzetet tovább nehezíti, hogy a WordPress-biztonsági cég, a Wordfence figyelmeztetése szerint a szokásos automatikus WordPress-frissítések ezúttal nem telepítik a javítást. Ennek oka egyszerű: a hiba nem a WordPressben, nem egy bővítményben, hanem a szerveren futó PHP-ban van. A WordPress, a sablon és a bővítmények naprakészek lehetnek, a weboldal mégis sebezhető maradhat.
Mit tegyen most, ha WordPress-es (vagy más PHP-s) weboldala van?
Nincs ok pánikra, de a halogatásra sincs. Ezeket a lépéseket javasoljuk:
- Kérdezze meg a tárhelyszolgáltatóját, hogy telepítették-e a kiadott PHP-javításokat az Ön szerverén. Ha osztott tárhelyen van, ez az ő feladatuk, de érdemes írásban rákérdezni.
- Nézze meg a PHP-verziót. WordPressben az Eszközök → Webhely állapota → Infó → Szerver menüpontban látja, melyik PHP-verzió fut. A javított verziók listáját a php.net oldalán találja.
- Frissítse a WordPresst, a sablont és a bővítményeket is. Ez nem pótolja a PHP-javítást, de a többi ismert rés bezárásához kell.
- Készítsen friss mentést a weboldalról és az adatbázisról, még a frissítések előtt.
- Figyelje a gyanús jeleket: ismeretlen adminisztrátori fiókok, olyan fájlok, amiket nem Ön tett fel, szokatlanul lassú oldal, váratlan átirányítások.
- Ha a javítás telepítése nem megoldható azonnal, érdemes mérlegelni az oldal ideiglenes lekapcsolását, ahogy a CERT-EU is javasolja.
Ha nem tudja, kihez forduljon ezekkel, nyugodtan írjon nekünk, segítünk eligazodni.
Mi a tartós megoldás? Olyan weboldal, amin nincs mit feltörni
Az ilyen esetek újra és újra előjönnek. 2024-ben a WordPress és a WP Engine konfliktusa mutatta meg, mekkora a kiszolgáltatottság egy platformtól (erről itt írtunk), most pedig a PHP motorjában találtak hibákat. Más a történet, de a tanulság ugyanaz: minél több külső réteg van egy weboldal alatt, annál több helyen tud valami elromlani, és annál kevésbé Ön irányítja, mikor.
A WebD-nél azért nem PHP-ra és nem WordPressre építünk, mert nem akarjuk ezt a kockázatot az ügyfeleinkre hárítani. Weboldalainkat Astro keretrendszerrel, tiszta HTML, CSS és JavaScript alapokon készítjük. A weboldal ezeknél előre legenerált, statikus fájlokból áll. Ez a gyakorlatban a következőket jelenti:
- Nincs PHP a szerveren. Nincs mit kihasználni abban a hibaosztályban, amiről ez a cikk szól. A PHP-ban talált távoli kódvégrehajtási hibák az ilyen oldalakat nem érintik.
- Nincs adminisztrációs felület, amit fel lehetne törni, nincs jelszó, amit ki lehetne találni.
- Nincsenek bővítmények, amelyeknek folyamatosan frissülniük kellene, és amelyek egyike egy szép napon sebezhetővé válik.
- Nincs "frissítsünk gyorsan, mert baj van" helyzet. Szerdán nem kell sürgősen telefonálgatnunk a tárhelycégekkel.
- Villámgyors az oldal, mert a szerver nem épít fel minden látogatásnál egy oldalt, kész fájlokat szolgál ki. Ez a Google PageSpeed-eredményen és a keresőkben is látszik.
Egy őszinte kiegészítés: a statikus weboldal sem "feltörhetetlen" a szó abszolút értelmében. A tárhelyfiók, a domain és a céges e-mail biztonsága továbbra is fontos, ezekre mi is odafigyelünk. De a támadási felület lényegesen kisebb, és pont az a réteg hiányzik, amelyben most a világméretű problémát találták.
Kényelmes ez az üzemeltetőnek? Igen, és ez a lényeg
Sok vállalkozó azért marad a WordPressnél, mert attól tart, hogy statikus oldalnál nem tudja majd módosítani a tartalmat. Nálunk ez nem akadály: a telefonszám, a nyitvatartás, egy szolgáltatás leírása vagy egy munkatárs bemutatása a megbízás után is külön díj nélkül módosítjuk. Öt fős csapatként nem kell hetekig várnia egy apróságra. A weboldal forráskódját és a domain/tárhely teljes hozzáférését pedig átadjuk, tehát nem lesz hozzánk láncolva.
Ugyanezt a modellt használjuk könyvelőirodáknak, építőipari és villamossági vállalkozásoknak is. Ha könyvelőirodát vezet, nézze meg könyvelőknek szóló oldalunkat, ahol azt is leírjuk, hogyan lehet a folyamat az Ön részéről szinte nulla időráfordítással megoldható. Az árainkról itt tájékozódhat.
Gyakori kérdések
Érinti a PHP-hiba az én weboldalamat? Ha a weboldala PHP-t használ (WordPress, Joomla, Drupal, PrestaShop, WooCommerce, vagy bármilyen egyedi PHP-s rendszer), akkor érintett lehet, a konkrét kitettség a szerver PHP-verziójától és beállításaitól függ. A biztos válaszhoz a tárhelyszolgáltató vagy egy szakember tud segíteni.
Elég, ha frissítem a WordPresst? Nem. A hiba a szerveren futó PHP-ban van, nem a WordPressben. A WordPress-frissítés nem pótolja a PHP-javítást, azt a szerveren kell telepíteni.
Mit jelent a távoli kódvégrehajtás? Azt, hogy a támadó interneten keresztül, belépés nélkül tud a szerveren saját programot futtatni, ez lehetőséget ad adatlopásra, a weboldal átírására, kártevő elhelyezésére vagy az oldal használhatatlanná tételére.
Biztonságosabb-e a statikus weboldal, mint a WordPress? Az ilyen szerveroldali PHP-hibák szempontjából igen, mert nincs olyan szerveroldali kód, amelyet ki lehetne használni. Teljes biztonságot persze semmi sem jelent, a tárhely- és domainfiókok védelme itt is fontos.
Át tudják költöztetni a meglévő WordPress-es weboldalamat? Igen. A meglévő szövegekből, képekből és adatokból elkészítjük az új, gyors, statikus oldalt, a domain átirányítását, a tárhely és a céges e-mail beállítását is intézzük.
Összegzés
A mostani PHP-sebezhetőségek újabb emlékeztetők arra, hogy egy weboldal biztonsága nem a tulajdonos fegyelmén, hanem az alatta lévő technológia választásán is múlik. Aki WordPressszel vagy más PHP-s rendszerrel dolgozik, most ellenőrizze a szerver állapotát. Aki pedig hosszú távon szeretne nyugodtan aludni, annak érdemes olyan megoldásra váltania, ahol ez a kockázat eleve nem létezik.
Ha szeretné, hogy megnézzük, hol tart most a weboldala, vagy kíváncsi egy gondozásmentes, gyors, statikus megoldásra, írjon nekünk, és röviden átbeszéljük a lehetőségeket.
