Ezen a héten két súlyos hibát javítottak a PHP-ban (CVE-2026-109618 és CVE-2026-109619). Mindkettőt a legmagasabb szinthez közeli, 9,2-es pontszámmal értékelték, és mindkettő lehetővé teheti, hogy egy támadó belépés nélkül, távolról parancsokat futtasson a szervereden. A magyar Nemzeti Kibervédelmi Intézet (NKI) is riasztást adott ki róla. https://nki.gov.hu/figyelmeztetesek/riasztas/riasztas-a-php-futtatokornyezet-kritikus-serulekenysegeirol/
Ha WordPress oldalad vagy bármilyen PHP alapú weboldalad van, ez rád is vonatkozik.
“Engem úgysem támad senki”
Ez a leggyakoribb gondolat, és sajnos nem igaz. A támadók ritkán választanak célpontot; automata eszközökkel végigpásztázzák az internetet, és azt veszik át, ami nyitva áll. Nem az számít, hogy ki vagy, hanem hogy milyen verzió fut az oldalad alatt. Frissíts akkor is, ha szerinted nincs mit keresni nálad.
Ha te futtatod a PHP-t (VPS, saját szerver, Docker)
Nézd meg, milyen verzió fut. WordPressnél ez az Eszközök > Webhely állapota > Információ oldalon látszik.
A javított verziók: 8.5.12, 8.4.27, 8.3.36, 8.2.35. Ha ennél régebbi patch szinten vagy, frissíts. Ha 8.1 vagy még régebbi van, váltanod kell, mert azt már nem javítják.
Frissítés után indítsd újra a PHP-t és a webszervert, különben a régi kód fut tovább.
Docker esetén építsd újra az image-et frissítéssel, ne csak a konténert indítsd újra.
Nézd át a naplókat, hogy járt-e már nálad valaki: gyanús User-Agent értékek (php2shell-poc, php2shell-verify), ismétlődő hibaoldalak, új, ismeretlen fájlok. Ha bármi gyanúsat látsz, ne csak töröld, hanem cserélj jelszavakat, és állíts vissza tiszta mentést.
Ha tárhelyszolgáltatónál van az oldalad
Itt a frissítés a szolgáltató dolga, de nem árt rákérdezni.
Nézd meg a hosting panelben, melyik PHP verzió fut, és megjelent-e már a javított.
Olvasd el a szolgáltató honlapját, hírlevelét, üzemeltetési oldalát és közösségi médiáját. Sok helyen már kiírták, hogy mit és mikor frissítenek.
Ha sehol nem találsz információt, írj nekik. Ez nem tolakodás, ügyfélként joggal kérdezheted.
Rövid levélminta
Sziasztok!
Az oldalam ([domain]) most PHP [verzió] alatt fut. Tegnap jött ki két kritikus PHP sérülékenységre javítás (CVE-2026-109618 és CVE-2026-109619), a magyar NKI is riasztást adott ki róluk. A javított verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35.
Mikor lesz elérhető nálatok a javított verzió, és van-e addig ideiglenes védelem a szervereken?
Köszi előre is!
Üdv, [Neved]
A lényeg
Ez nem pánik, hanem házi feladat: nézd meg a verziót, frissíts vagy kérd a szolgáltatótól, és pár nap múlva ellenőrizd újra. Öt perc, ami sok bajtól megkímélhet.
