Két kritikus biztonsági hibát találtak a PHP-ban, abban a programnyelvben, amelyen a WordPress és a magyar weboldalak nagy része fut. A hibák kihasználásához nem kell belépni az oldaladra, egyetlen kérés is elég lehet ahhoz, hogy egy támadó saját kódot futtasson a szervereden. A megoldás egyszerű: ellenőrizd, melyik PHP verzió fut a weboldaladon, és ha elavult, frissítsd. A cikk végén lépésről lépésre megmutatjuk, hogyan.
Képzeld el a következő szituációt. Évek munkájával felépítetted a weboldaladat, beállítottad a hirdetéseket, jönnek az ajánlatkérések és a rendelések. Aztán egy reggel azt látod, hogy az oldalad idegen oldalakra irányítja a látogatókat, a Google figyelmeztetést tesz a találatod mellé, a hirdetési fiókodat pedig felfüggesztik. Mindez azért, mert a tárhelyeden egy évek óta nem frissített PHP verzió fut. Bosszantó, igaz? Pláne, hogy egy tízperces ellenőrzéssel megelőzhető lett volna.
Vágjunk is bele!
Mi történt pontosan?
A Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézete (NBSZ NKI) 2026. október 21-én riasztást adott ki a PHP futtatókörnyezetet érintő két kritikus sérülékenység miatt. Ugyanezen a napon a PHP projekt kiadta a javításokat.
A két hiba azonosítója CVE-2026-109618 és CVE-2026-109619. Mindkettő 9,2-es súlyossági besorolást kapott a 10-es skálán, vagyis a legveszélyesebb kategóriába tartozik.
Amiért a hatóság is riasztott:
- Nem kell hozzá jelszó. A támadó belépés nélkül, távolról próbálkozhat.
- Minden weboldal érintettnek tekinthető, amely PHP-n fut és webes kéréseket szolgál ki. Ide tartozik szinte minden WordPress oldal és webshop.
- A kihasználás várható. Az ilyen hibákra a támadók automatizált eszközöket írnak, és válogatás nélkül végigpásztázzák velük az internetet. Nem az számít, mekkora a cég, hanem az, hogy frissítve van-e a szervere.
Mit csinál a két hiba? (Röviden, szakzsargon nélkül)
Mindkét sérülékenység távoli kódfuttatást (RCE) tesz lehetővé. Ez a legrosszabb kategória: a támadó a saját programját futtathatja a szervereden, mintha ő lenne a gazdája.
- CVE-2026-109618 – hiba memóriahiánynál: Ha a PHP-nak elfogy a memóriája egy kérés feldolgozása közben, a kérés félkész adatait a lezáráskor érvényesnek tekintheti. Egy erre kihegyezett kérés így kódfuttatáshoz vezethet.
- CVE-2026-109619 – „beragadt” adat két kérés között: Egy kérés belső adatai a memória felszabadítása után is megmaradhatnak, és a következő látogató kérése még azelőtt felhasználhatja őket, hogy a rendszer kitakarítana. Ügyes manipulációval ez is kódfuttatáshoz vezethet.
Neked nem kell értened a részleteket. Annyit kell tudnod, hogy a védekezés egyetlen biztos módja a javított PHP verzióra frissítés.
Melyik PHP verzió biztonságos?
A PHP projekt az alábbi verziókban javította a hibákat:
| PHP ág | Javított verzió | Kap még frissítést? |
|---|---|---|
| PHP 8.5 | 8.5.12 vagy újabb | Igen |
| PHP 8.4 | 8.4.27 vagy újabb | Igen |
| PHP 8.3 | 8.3.36 vagy újabb | Igen |
| PHP 8.2 | 8.2.35 vagy újabb | Igen |
| PHP 8.1 és régebbi | nincs hivatalos javítás | Nem |
Két fontos dolog a táblázathoz:
- Nem elég a főverzió. Ha a tárhelyeden PHP 8.2 fut, de az pontosan 8.2.20, akkor az oldalad még sebezhető. A pontos verziószám számít, a második pont utáni szám is.
- A PHP 8.1 és a régebbi verziók már nem kapnak frissítést. Egyes tárhelyszolgáltatók saját javítást tehetnek rájuk, de ezt csak a szolgáltatótól tudhatod meg. A biztos megoldás a váltás egy támogatott verzióra.
„Nem tudok azonnal frissíteni” – van átmeneti megoldás?
Van, de csak tűzoltás. Az NBSZ NKI felsorolt néhány szerverbeállítást, amelyek csökkentik a kockázatot. Ilyen például a feltölthető kérésméret csökkentése vagy egyes PHP-funkciók kikapcsolása. Ezeket a tárhelyszolgáltató vagy a fejlesztőd tudja elvégezni, és a hatóság is hangsúlyozza: nem nyújtanak teljes védelmet, és nem helyettesítik a frissítést.
Ha a frissítés valamiért hosszabb ideig nem lehetséges, a riasztás szerint mérlegelni kell az érintett rendszer ideiglenes leállítását is. Egy kisvállalkozás weboldalánál ez szinte mindig rosszabb választás, mint egy gyors PHP-váltás.
Gyakori hibák és elkerülésük
| Gyakori hiba | Gyakorlati megoldás |
|---|---|
| „Kicsi az oldalam, engem nem fognak megtámadni.” | A támadások automatizáltak, a botok nem válogatnak méret szerint. |
| „A WordPress frissítve van, tehát rendben vagyok.” | A WordPress és a PHP két külön dolog. A PHP-t a tárhelyen kell frissíteni. |
| Csak a főverziót nézed (pl. „8.2”) | Nézd meg a teljes verziószámot (pl. 8.2.35), mert ez dönti el, javított-e. |
| PHP-váltás mentés nélkül | Előtte mindig készíts teljes mentést, hogy baj esetén vissza tudj állni. |
| Váltás után nem nézed meg az oldalt | Kattints végig a fő oldalakon, az űrlapokon és a kosáron. Egy régi bővítmény az új PHP-val hibát dobhat. |
Gyakran ismételt kérdések
Honnan tudom, milyen PHP fut az oldalamon?
WordPressben a legegyszerűbb: Eszközök → Webhely egészsége → Információ → Szerver fül, itt látod a PHP verziót. cPanel-es tárhelyen a „Select PHP Version” vagy „MultiPHP Manager” menüpont mutatja meg. Ha egyik sem elérhető, kérdezd meg a tárhelyszolgáltatódat.
A PHP-frissítés tönkreteheti a weboldalamat?
Előfordulhat, főleg ha régi, évek óta nem frissített bővítmények vagy sablon futnak az oldalon. Ezért kell előtte mentést készíteni, és utána végigkattintani az oldalt. A legtöbb rendszeresen karbantartott WordPress oldal gond nélkül átáll.
Ki felel a frissítésért, én vagy a tárhelyszolgáltató?
Ez a csomagodtól függ. Megosztott tárhelyen a szolgáltató frissíti a PHP alverzióit (pl. 8.2.33 → 8.2.35), de a főverzió közti váltást (pl. 7.4 → 8.2) általában neked kell kiválasztanod a vezérlőpulton. Ha nem vagy biztos benne, írj a szolgáltatónak.
Zárszó
A mostani riasztás nem ok a pánikra, de ok a cselekvésre. A javítás elérhető, és a legtöbb weboldalon néhány perc alatt ellenőrizhető, kell-e bármit tenni. Aki most halogat, az a következő hetekben a botok könnyű célpontja lesz. Aki ma ellenőriz, annak nyugodt hete lesz.
Teendőlista: ezt tedd meg még ma
- Ellenőrizd a pontos PHP verziószámot a tárhelyeden, vagy írj ezzel kapcsolatban a tárhelyszolgáltatódnak. A teljes számot nézd meg (pl. 8.2.35), ne csak a főverziót.
- Ha a weboldaladhoz PHP 8.1-es vagy annál régebbi verzió fut, frissítsd legalább PHP 8.2-re. Előtte készíts mentést, utána kattints végig az oldalon.
Ha segítségre van szükséged az ellenőrzésben vagy a frissítésben, írj nekünk, és segítünk!
