A PHP-ben felfedezett két különösen súlyos biztonsági rés miatt tegnap rendszergazdák ezreinek kellett egész nap a szervereket frissíteni vagy éppen ideiglenesen lekapcsolni - az eset súlyosságára jellemző, hogy világszerte több ezer, többek közt kormányzati weboldalt - köztük a magyarorszag.hu-t - kellett a javítás telepítéséig elérhetetlenné tenni, hogy azok ne nyújtsanak támadási felületet.

A két sebezhetőség felfedezése és kommunikációja kapcsán is akadtak különlegességek. A sebezhetőségeket ugyanis mesterséges intelligencia segítségével azonosították, illetve szokatlan módon már azelőtt jelezte azokat a fejlesztő, hogy megérkezett volna rájuk a javítás.

Minden PHP telepítés érintett

A CVE-2026-109618 és CVE-2026-109619 azonosítók alatt nyilvántartott sebezhetőségek kihasználása hitelesítés nélkül, távolról történhet, ezért minden, webes kérések kiszolgálására használt PHP telepítés érintettnek tekinthető.

A mod_php használatával működő telepítések esetében a kockázat különösen magas, mert egy hitelesítés nélküli http kérés már az alkalmazáskód végrehajtása előtt kiválthatja a támadási útvonalat - hívja fel a figyelmet a Nemzeti Kiberbiztonsági Intézet. 

A fentiek alapján a fejlesztők a két biztonsági rést a CVSS 10-es skáláján 9,2-es súlyosságú fokozatra értékelték.

Bye-bye IT, helló kovász, helló kuvasz! Az IT-szakma az elmúlt években már a sokadik krízisén esik át, és egyre többeket gondolkodtat el: van-e élet a szakmán kívül?

A sebezhetőség kommunikációjában pedig az tűnt szokatlannak, hogy a fejlesztők csaknem egy nappal a patchek kiadását megelőzően közölték - a pontos részletek ismertetése nélkül -, hogy a PHP-t sürgősen frissíteni kell, amint a javítások elérhetővé válnak.

Ez végül meg is történt tegnap délutánra a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziók kiadásával, illetve a már nem támogatott 7.4, a 8.0 és a 8.1 verziók soron kívüli frissítésével, de az ennél korábbi verziókkal telepített szerverek támadhatók maradtak.

A Reuters beszámolója szerint a hackerek időközben egy másodpercig sem késlekedtek a sérülékenységek kihasználásával.

A cikk idézi a Cloudflare vezérigazgatóját, aki szerint

már a fejlesztők első, keddi bejelentése előtt 10 órával is több ezer támadási kísérletet regisztráltak a rendszerek, melyek száma több tízezerre nőtt a bejelentést követő 45 percben, több százezerre két órával később, végül pedig a tudósítás megjelenésének idejére több millióra.

A PHP fejlesztői a régebbi, javítatlan verziókat futtató szervereket üzemeltető rendszergazdáknak éppen ezért azt javasolják, hogy állítsák le a kiszolgálást, illetve távolítsák el teljesen a PHP-t a gépekről, mivel a fentiek alapján csak idő kérdése, hogy azokat feltörjék.