Webleállás világszerte: a PHP biztonsági rései akár hetekig tartó leállásokat is okozhatnak

Két kritikus biztonsági rés miatt kormányok, önkormányzatok, egyetemek és nagyvállalatok kapcsolták le világszerte a honlapjaik egy részét az elmúlt napokban. A hibákat a PHP-ban találták, abban a programozási nyelvben, amelyen a W3Techs adatai szerint a világ weboldalainak csaknem 70 százaléka fut, köztük a WordPress, a Wikipédia és a Slack is. A kutatók által „PHP2Shell” névre keresztelt, CVE-2026-109618 és CVE-2026-109619 jelű sérülékenységeket a PHP fejlesztői a lehető legsúlyosabb kategóriába sorolták, mindkettő 9,2 pontot kapott a tízes skálán.

A The Hacker News szerint a hibák a PHP motorjában vannak, ezért egy weboldal akkor is sebezhető, ha a saját programkódja hibátlan, és szinte minden PHP-változatot érintenek az 5.4-estől kezdve. A legveszélyesebb esetben, a széles körben használt Apache mod_php modulnál egyetlen, hitelesítés nélkül küldött kérés is elég lehet ahhoz, hogy a támadó a weboldal programja előtt saját kódot futtasson a szerveren, vagyis gyakorlatilag átvegye felette az irányítást. A támadók emellett kódfuttatás nélkül is beleláthatnak a szerver memóriájába, ahonnan más felhasználók jelszavai, belépési tokenjei, programozási kulcsai és tanúsítványai is kiszivároghatnak.

A PHP biztonsági csapata kedd este sürgős figyelmeztetést adott ki, és arra kérte a felhasználókat, hogy készüljenek fel a frissítésre. A javításokat a tervezett csütörtöki időpont helyett szerdán, október 21-én tették közzé, miután a részletek idő előtt kiszivárogtak, és az egyik felfedező véletlenül nyilvánosságra hozott egy videót a hiba kihasználásáról. A javított változatok a 8.5.12-es, a 8.4.27-es, a 8.3.36-os és a 8.2.35-ös PHP-k. A 8.1-es és a régebbi változatokat a fejlesztők már nem támogatják, ezekhez csak forráskód-szintű javítások léteznek. A The Record szerint a PHP-t használó oldalak nagyjából fele ilyen régi változaton fut. Az Európai Unió intézményeit védő CERT-EU már kedden azt tanácsolta, hogy aki nem tudja gyorsan frissíteni a rendszereit, az fontolja meg a weboldalak lekapcsolását, vagy legalább válassza le őket a nyilvános internetről, amíg a javítás el nem készül. A németországi BSI, a brit és a holland nemzeti kiberbiztonsági központ, valamint a japán és az ausztrál hatóságok is figyelmeztetést adtak ki, az amerikai Nemzetbiztonsági Ügynökség (NSA) pedig arra figyelmeztetett, hogy a hiba közvetlen utat nyithat a támadóknak a szerverek fájlrendszeréhez és adatbázisaihoz. A brit kiberbiztonsági központ pedig arra kérte a szervezeteket, hogy a frissítés után azt is ellenőrizzék, nem hagytak-e hátsó kaput a rendszerükben a támadók.

Belgiumban, Hollandiában, Finnországban, Franciaországban és Németországban a kormányok ideiglenesen lekapcsolták egyes honlapjaikat. Nagy-Britanniában Edinburgh, Bristol és Oxford önkormányzatának oldalai, Franciaországban szerdán több helyi önkormányzat, köztük a párizsi rendőrprefektúra honlapja is elérhetetlenné vált. Hollandiában a nemzeti digitális azonosító szolgáltatás, a parlament alsóházának és a nemzeti kiberbiztonsági központnak a honlapja is érintett volt, Ausztráliában pedig ideiglenesen a jelzéshírszerzési hivatal oldala is. A Wikimedia Alapítvány elővigyázatosságból több rendszerét leállította, és a The Record szerint a Nintendo, a berlini Charité kórház és az OBS nyílt forráskódú videós projekt is felfüggesztette egyes szolgáltatásait. A Freiburgi Egyetem számítóközpontja is rendkívüli intézkedésekről számolt be.

A hibákat az amerikai Wiz kiberbiztonsági cég, a Calif kutatócsoport és az OpenAI Codex Security nevű csapata találta meg és jelentette, a javításon pedig a PHP biztonsági csapatával és a Google Gemini-csapatával dolgoztak együtt. A Calif szerint augusztus 1-jén bukkantak rá a hibákra egy nagy nyelvi modell segítségével, a Wiz pedig saját elemzőeszközét a Google és az OpenAI legújabb mesterségesintelligencia-modelljeivel együtt használta. A kutatók szerint a hiba több mint egy évtizede lapult a PHP kódjában, egyes gyökerei pedig még régebbre nyúlnak vissza. Az egyik sérülékenység első jeleit a PHP 2024-es külső biztonsági auditja már észlelte, de akkor senki sem talált olyan utat, amelyen keresztül ki lehetett volna használni. A mesterséges intelligencia azonban kétélű fegyver. A Detectify szakértője, Joviane Jardim szerint ma már a legtöbb támadó egy órán belül működő támadóeszközt tud építeni a nyilvánosságra hozott javításokból, ezért a frissítések után szinte azonnal támadási hullámra lehet számítani. „Eddig senkinek sem sikerült, de nem hisszük, hogy ez sokáig így marad” – mondta a The Recordnak Jake Knott, a watchTowr kiberbiztonsági cég munkatársa. A cég szerdán délután már aktív támadási kísérleteket észlelt mindkét hiba ellen, részben mesterséges intelligenciával készített eszközökkel. Dane Knecht, a Cloudflare technológiai igazgatója szerint a támadók már a cég tűzfalszabályainak kijátszásával kísérleteznek. A G4Media szerint az Amazon biztonsági vezetője, CJ Moses azt is elmondta, hogy cégük már október 17-én, négy nappal a nyilvánosságra hozatal előtt egy névtelen IP-címről érkező támadási kísérletet észlelt az egyik csalirendszerén. Megerősített sikeres betörésről egyelőre nincs hír.

A szakértők szerint a veszély nem múlik el a javításokkal. Costin Raiu, a TLP:Black kiberbiztonsági cég kutatója a sebezhető webszerverek tömeges feltörésére számít, Michał Woźniak biztonsági szakértő szerint pedig a feltört szerverekkel kriptovalutát bányászhatnak, illetve állami szereplők és szervezett bűnözői csoportok túlterheléses (DDoS) támadásokhoz használhatják őket. Alan Woodward, a Surrey-i Egyetem professzora arra figyelmeztetett, hogy sok weboldalt senki sem tart karban, így ezek hetekig vagy akár hónapokig sebezhetők maradhatnak, ezért hetekig, hónapokig tartó folyamatos támadásokra kell számítani. A PHP-t használó cégeknek és intézményeknek ezért nemcsak frissíteniük kell, hanem ellenőrizniük is, hogy nem hagytak-e nyomot a rendszereikben a támadók. Annak, aki a saját honlapjáért felel, legfontosabb teendője most az, hogy megnézze, melyik PHP-változat fut a szerverén, és ha az nem a javított változatok egyike, haladéktalanul frissítsen vagy kérje a tárhelyszolgáltató segítségét.

Ugar