Megjelent a sürgős PHP-javítás: ezeket a verziókat kell telepíteni

Új mérföldkő a PHP2Shell javításainak terjesztésében: a Docker Official Images karbantartói október 21-én beolvasztották a #22541 számú módosítást, amely a hivatalos PHP-image-jegyzéket a javított 8.5.12, 8.4.27, 8.3.36 és 8.2.35 kiadásokra állítja át. Az előző, 17:01-es helyzetjelentésünkkor ez a közzétételi lépés még nyitott volt; azóta az új verziók különféle Apache-, FPM- és CLI-változatai már a hivatalos image-listában is megjelentek. Docker Official Images – beolvasztott módosítás; Hivatalos PHP-image-jegyzék.

Fontos pontosítás: a GitHub-jóváhagyás és az image-jegyzék frissülése nem igazolja önmagában, hogy minden változat minden processzorarchitektúrához már ténylegesen letölthető a Docker Hubról. Az üzemeltetők ellenőrizzék a saját image-címkéjük és architektúrájuk elérhetőségét, töltsék le a javított képet, építsék újra a saját konténereiket, telepítsék újra az alkalmazást, majd a futó környezetben is ellenőrizzék a PHP-verziót. Egy régi konténer puszta újraindítása nem telepíti a javítást. Docker Hub – hivatalos PHP-képek.

Üzleti jelentőség: a konténerben futó webshopok, API-k, Nextcloud-rendszerek és integrációk javítása több lépcsőből állhat, mivel a PHP-alapkép frissülése után a rá épülő alkalmazásképeket is frissíteni kell. Ez a hír a javítások terjesztéséről szól, nem újabb sikeres támadásról.

Új csomagokat adott ki a CloudLinux a régebbi PHP-rendszerek védelmére. A szolgáltató október 21-én 18:08-kor (magyar idő szerint) javított alt-php74 csomagokat jelentett be EL8, Debian 11, Ubuntu 16.04, Ubuntu 24.04 és Ubuntu 26.04 környezetekhez, valamint javított PHP 7.4.19 csomagot CentOS 8.5 ELS-hez. A 18:46-os újabb frissítés szerint PHP 7.4.6 készült CentOS 8.4 ELS-hez, PHP 7.0.33 Ubuntu 16.04 ELS-hez, PHP 7.2.24 Ubuntu 18.04 ELS-hez és alt-php80 Alpine Linux 3.23-hoz. Ezek konkrét szolgáltatói javítócsomagok, nem a PHP projekt új, általánosan támogatott kiadásai. CloudLinux – időbélyegzett, hivatalos incidensnapló.

Mit jelent ez a régi PHP-t futtató céges oldalaknak? Egyes hosszabb ideig támogatott szerverkörnyezetekhez már elérhető a biztonsági javítás, de nem minden régi PHP-ág és tárhely frissült. A tárhely üzemeltetőjének a saját disztribúciójára és csomagforrására vonatkozó javított verziót kell ellenőriznie, telepítenie és az érintett PHP-szolgáltatást újraindítania. A csomagverzió száma a visszaportolt javítások miatt eltérhet a php.net friss kiadásainak számozásától. PHP – hivatalos biztonsági kiadások.

A mostani közlemények javítások megjelenéséről tájékoztatnak: nem bizonyítják sem a teljes internetes helyreállást, sem tömegesen sikeres PHP2Shell-feltörések bekövetkezését.

A PHP2Shell kockázata nem feltétlenül ér véget a céges honlapnál. A holland Nemzeti Kiberbiztonsági Központ (NCSC-NL) frissített tájékoztatója felhívja a figyelmet arra, hogy PHP nemcsak weboldalakon, hanem egyes hálózati eszközökben, kezelőfelületekben és más gyártói termékekben is működhet. Ezeket a rendszereket sokszor nem lehet egyszerű PHP-verziófrissítéssel javítani: a gyártó saját biztonsági csomagjára van szükség. NCSC-NL – hivatalos PHP2Shell nyilvántartás és útmutató.

Mit tegyen egy vállalkozás? Az üzemeltetővel ne csak a honlapot és a webáruházat ellenőriztesse, hanem az internet felől elérhető adminisztrációs felületeket és a PHP-t tartalmazó beépített rendszereket is. A holland nyilvántartás több termékhez gyűjt javítási információt, de a listán való szereplés önmagában nem bizonyítja az adott termék sérülékenységét; a gyártó hivatalos közleménye és a telepített verzió a mérvadó. A megfelelő javítás telepítése továbbra is fontosabb, mint az ideiglenes tűzfalszabályok.

Az amerikai Nemzetbiztonsági Ügynökség (NSA) is hivatalos riasztást adott ki október 21-én a két kritikus PHP-hiba miatt. A közlemény minden PHP-t használó szervezetet sürgős frissítésre figyelmeztet. Ha a javítás egy rendszerben nem végezhető el azonnal, az NSA az adott érintett szolgáltatás átmeneti leállítását is javasolja a teljes védekezésig. A figyelmeztetés nem állítja, hogy minden PHP-szervert már feltörtek volna. NSA – hivatalos PHP-figyelmeztetés.

Az Amazon Linux egyes PHP-csomagjainál továbbra is „Pending Fix”, vagyis javításra váró állapot szerepel. Az Amazon saját biztonsági nyilvántartása szerint ez érinti például az Amazon Linux 2 PHP-csomagjait és az Amazon Linux 2023 több PHP-változatát is; a 8.1-es ág egy bejegyzésben „No Fix Planned” jelölést kapott. Ez nem az AWS felhőinfrastruktúrájának feltörését jelzi, hanem az adott operációsrendszer-csomagok javítási állapotát. Az üzemeltetőknek a pontos, általuk telepített csomagverziót és a frissítések elérhetőségét kell ellenőrizniük. Amazon Linux – CVE-2026-109618 csomagállapotok.

A Google Cloudnál nem minden webalkalmazás frissül ugyanúgy. A Google hivatalos tájékoztatása szerint az App Engine standard támogatott PHP-futtatókörnyezetei automatikus javítást kapnak. A Cloud Run esetében a saját konténerképet használó, vagy az automatikus alapképfájl-frissítés nélküli alkalmazásokat viszont újra kell építeni és telepíteni. A Google szerint saját felhőalapinfrastruktúrája nem sérülékeny, de az ott futtatott ügyfélalkalmazások lehetnek azok. Tanulság a cégeknek: önmagában az, hogy egy webshop nagy felhőszolgáltatónál működik, még nem igazolja a PHP biztonsági javításának telepítését. Google Cloud – hivatalos PHP2Shell-útmutató.

Japánban egy mindennapi szolgáltatás működését is érinti a PHP2Shell miatti elővigyázatosság. A gyermekintézményeket, óvodákat és szülőket kiszolgáló CoDMON október 21-én bejelentette, hogy biztonsági intézkedésként leállította valamennyi szolgáltatását, a szülői alkalmazást is. A cég legutóbbi október 21-i tájékoztatása szerint a japán idő szerinti október 22-i kora reggeli visszaindítást tervezte, de a tényleges teljes helyreállást még nem erősítette meg ebben a közleményben. A vállalat ekkor nem észlelt az ügyhöz kapcsolódó jogosulatlan hozzáférést vagy adatvesztést. A leállás tehát megelőző védekezés, nem igazolt kibertámadás. CoDMON – rendkívüli leállás; CoDMON – helyreállítási helyzetjelentés.

Közben a biztonsági vállalatok a támadások felismeréséhez is segítséget adtak. A Corelight október 21-én nyílt forráskódú, Zeek és Suricata rendszerekhez készült hálózati észlelési szabályokat adott ki, amelyek gyanús PHP2Shell-hez kapcsolódó forgalmi mintákra figyelmeztethetnek. Az Elastic ugyanezen a napon bemutatta, hogyan ismerhetők fel a webkiszolgálón futó szokatlan parancsok és fájlműveletek a már rendelkezésre álló védelmi szabályokkal. Az Imperva külön technikai elemzésben ismertette a sérülékenységek kockázatait és a webes védekezés lehetőségeit. Corelight – hivatalos kutatás; Corelight – nyílt forrású észlelési szabályok; Elastic – támadásészlelési útmutató; Imperva – technikai elemzés.

Fontos különbség: a gyanús forgalom észlelése, a kihasználási kísérlet és a bizonyított sikeres szerverfeltörés nem ugyanaz. A friss biztonsági elemzések nem szolgáltatnak hiteles, világméretű adatot a sikeres PHP2Shell-betörések számáról. Az elsődleges teendő továbbra is az érintett PHP-rendszerek tényleges frissítése; az észlelési és tűzfaleszközök ezt egészítik ki.

Újra működik a Wordfence minden szolgáltatása. A WordPress-weboldalak védelmét biztosító vállalat október 21-én, 17:44-kor magyar idő szerint lezárta a PHP2Shell miatti rendkívüli leállást. A hivatalos státuszoldalon a Wordfence Plugin, a bővítmény szerverei, a Wordfence Central, a támogatás és a weboldal egyaránt működő („Operational”) állapotban szerepel. A cég közlése szerint bevezették a szükséges védelmi intézkedéseket. Ez igazolt szolgáltatás-helyreállás, nem a háttérrendszerek mindegyikén elvégzett PHP-frissítés külön igazolása. Wordfence – hivatalos státusz.

A régebbi PHP-t használó szervereknél is van előrelépés: a CloudLinux 17:36-os szolgáltatói helyzetjelentése szerint már kiadott javított PHP 7.4-es csomagokat több, hosszabb ideig támogatott rendszerváltozathoz, köztük egyes EL6, EL7, EL10, Debian 10, Ubuntu 18.04 és Ubuntu 22.04 környezetekhez. Más PHP-verziók javításain még dolgoznak. Ez nem jelenti azt, hogy minden CloudLinux-csomag elkészült, vagy minden tárhely automatikusan frissült. A felsorolt csomagok konkrét elérhetőségét és telepítését az üzemeltetőnek a saját csomagtárolójában ellenőriznie kell. CloudLinux – PHP-biztonsági helyzetjelentés.

Más szolgáltatóknál a helyreállás tovább tart: a Hetzner kritikus PHP-hibákról szóló incidense az ellenőrzéskor még nyitott volt. A Wordfence újraindulása nem jelenti azt, hogy az internet többi PHP-alapú rendszere már biztonságos, és az ismert támadási próbálkozások ellenére továbbra sincs hiteles, összesített adat tömeges, sikeres szerverfeltörésekről. Hetzner – hivatalos incidens; PHP – hivatalos javítások.

Újabb Linux-rendszerekhez készültek el a kritikus PHP-hibák javításai. A holland Nemzeti Kiberbiztonsági Központ (NCSC-NL) október 21-én frissített nyilvántartása szerint a Red Hat Enterprise Linux 9 egyik PHP 8.2-es csomagjához már kiadták a két PHP2Shell-sérülékenység javítását. A Red Hat vonatkozó biztonsági közleménye az RHSA-2026:87072 azonosítót viseli. Ez egy meghatározott Red Hat-csomagra vonatkozik; nem jelenti azt, hogy valamennyi Red Hat-rendszer minden PHP-változata frissült. Holland NCSC – a javított Red Hat-csomag bejegyzése; Red Hat – biztonsági közlemény.

A Debian 12 (Bookworm) régebbi Linux-rendszerhez is megérkezett egy fontos lépés: a Debian hivatalos csomagkövetője szerint október 21-én befogadták a PHP 8.2.35 javított forráscsomagját a biztonsági tárolóba. A csomag a CVE-2026-109618 és CVE-2026-109619 hibák javítását tartalmazza. A forráscsomag befogadása önmagában még nem bizonyítja, hogy minden szerverarchitektúrához a telepíthető csomagok is elérhetők vagy hogy azokat a rendszergazdák telepítették. Debian – hivatalos csomagkövető.

Mit jelent mindez egy céges honlap vagy webáruház tulajdonosának? Egyre többféle szerverhez készül el a védelem, így az üzemeltetőnek kevesebb oka marad halogatni a frissítést. Érdemes megkérdezni a tárhelyszolgáltatót, hogy a megfelelő biztonsági javítás ténylegesen telepítve van-e. A csomagok megjelenése nem azonos a sikeres szerverfrissítéssel, és nem jelent új bizonyítékot tömeges, sikeres feltörésekre.

Már nemcsak a PHP2Shell-támadások megjelenése, hanem a támadók alkalmazkodása is bizonyított. A Cloudflare október 21-i közleménye szerint a biztonsági rendszerein átmenő forgalomban olyan támadási próbálkozásokat észleltek, amelyeknél a támadók a korábbi mintákat módosították, hogy megkerüljék a védelmet. A cég ezért olyan új webes tűzfalszabályokat alkalmaz, amelyek nemcsak a weboldalnak küldött kérést, hanem a szerver válaszát is vizsgálják. Így bizonyos támadások eredményére utaló jeleket is felismerhet, és megakadályozhatja, hogy az érzékeny válasz visszajusson a támadóhoz. Cloudflare – hivatalos PHP2Shell-helyzetjelentés; Cloudflare – az új védelem működése.

A Google Cloud is sürgős frissítést kér. A szolgáltató szerint saját alapinfrastruktúrája nem érintett, de az ott működtetett PHP-alapú weboldalak és alkalmazások veszélyben lehetnek. Egy webáruház vagy céges honlap tulajdonosának ezért most azt érdemes megkérdeznie az üzemeltetőtől, hogy telepítette-e a javított PHP-t, és újraindította-e vagy újratelepítette-e az érintett szolgáltatást. Google Cloud – hivatalos figyelmeztetés.

A helyreállítás még nem zárult le mindenhol: a Hetzner hivatalos PHP-incidense továbbra is nyitott, a Wordfence státuszoldala pedig több szolgáltatásnál kiesést vagy korlátozott működést jelez. Fontos különbség: a Cloudflare valódi kihasználási próbálkozásokat észlelt, de a mostani közlemények nem közölnek hiteles, globális adatot a sikeresen feltört szerverek számáról. A tűzfal fokozhatja a védelmet, de a végleges megoldás a PHP biztonsági javításának telepítése. Hetzner – státusz; Wordfence – státusz; PHP – hivatalos javítások.

Frissítette a kritikus PHP-hibákról szóló figyelmeztetését a CERT-EU, az Európai Unió intézményeinek kiberbiztonsági szolgálata. A hatósági közlemény megerősíti, hogy a PHP fejlesztői október 21-én kiadták a javított 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókat.

Miért fontos? A két súlyos biztonsági hiba lehetővé teheti, hogy a támadó bejelentkezés nélkül futtasson kódot egy sérülékeny webszerveren. A CERT-EU szerint már nyilvánosan terjednek a hibák kihasználását bemutató mintakódok, ezért nő az aktív támadások kockázata. Ez nem azt jelenti, hogy tömeges, sikeres szerverfeltöréseket igazoltak volna: a közlemény nem tartalmaz ilyen összesítést. A CERT-EU külön felhívja a figyelmet az Apache egyes PHP-konfigurációira.

Mit tehet egy webshop vagy céges honlap tulajdonosa? Kérdezze meg a tárhelyszolgáltatóját, hogy a szerveren telepítették-e már a megfelelő PHP-javítást vagy a Linux-rendszer biztonsági frissítését. Az ideiglenes védelmi beállítások és tűzfalszabályok önmagukban nem helyettesítik a frissítést. Ha a javítás egyelőre nem lehetséges, az üzemeltetőknek mérlegelniük kell az érintett szolgáltatás internetes elérésének ideiglenes korlátozását. CERT-EU – hivatalos figyelmeztetés; PHP – hivatalos javítások.

Megkezdődött a korábban leállított webes szolgáltatások helyreállítása, de a nagy szolgáltatóknál még nincs mindenhol igazolt teljes visszakapcsolás. A Hetzner 16:34-kor frissített helyzetjelentése szerint megkezdte a biztonsági javítások telepítését a kezelt szervereken, a Nextcloud-alapú tárhelyeken és saját webes szolgáltatásain; az incidens továbbra is nyitott. A holland Mijndomein 16:05-ös tájékoztatása szerint a PHP javításai már megjelentek, de a Plesk tárhelykezelő megfelelő csomagjára még várnak, és alternatívákat is vizsgálnak. Az ügyfélweboldalak teljes visszakapcsolását nem erősítették meg. A Wordfence státuszoldalán több szolgáltatás kiesése vagy korlátozott működése szerepelt. Hetzner – incidensoldal; Mijndomein – helyzetjelentés; Wordfence – szolgáltatási állapot.

Docker: a hivatalos PHP-konténerképek forráskódjába már bekerültek a javított 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziók. A Docker Official Images közzétételét véglegesítő külön módosítás a 17:05-ös ellenőrzéskor még nyitott volt, és a hivatalos image-jegyzék még a régi kiadásokat mutatta. Ezért a Docker Hubon minden javított image teljes elérhetősége még nem volt megerősíthető. Docker PHP – beolvasztott javítás; Docker Official Images – nyitott közzétételi javaslat.

CloudLinux: a 16:55-ös helyzetjelentés szerint a javított PHP-csomagok összeállítása és a régebbi ágak támogatása is folyamatban van; a szolgáltató körülbelül ötórás célt jelzett, nem garantált kiadási határidőt. Az Imunify360 ideiglenes védelmi szabályai nem helyettesítik a javított PHP telepítését. CloudLinux – incidensoldal; CloudLinux – technikai tájékoztató.

Mit írnak az üzemeltetők? A Reddit r/sysadmin és r/selfhosted közösségeiben, illetve a Hacker Newson a sok száz weboldal frissítése, az elavult PHP-rendszerek és a késve érkező konténerképek a visszatérő témák. Egyesek átmeneti leállításokról számolnak be, mások a frissített képfájlok terjesztését követik. Ezek személyes tapasztalatok, nem hiteles globális incidensstatisztikák. A Patchstack továbbra is kihasználási kísérletekről számol be, de igazolt tömeges sikeres feltörési összesítés nincs. Reddit-beszélgetés; Docker PHP – üzemeltetői vita; Patchstack.

Újabb fontos lépés történt a védekezésben: a PHP fejlesztői után már a Debian és az Ubuntu Linux-rendszerek készítői is kiadták a két kritikus hiba javítását egyes támogatott verziókhoz. A Debian 13-hoz a DSA-6574-1, az Ubuntu 26.10, 26.04 LTS, 24.04 LTS és 22.04 LTS rendszerekhez a USN-8948-1 figyelmeztetés tartalmaz javított csomagokat. A Red Hat és a CloudLinux esetében a konkrét, már elérhető javításokat a szerkesztőségi ellenőrzéskor még nem tudtuk megerősíteni. Ez nem jelenti azt, hogy minden Debian- vagy Ubuntu-alapú weboldal automatikusan biztonságos: a szerverek üzemeltetőinek telepíteniük kell a megfelelő frissítéseket, majd ellenőrizni, hogy a rendszerek rendben működnek. Aki webáruházat vagy céges honlapot üzemeltet, kérjen visszaigazolást a tárhelyszolgáltatótól, hogy a sérülékenységet javították-e. Egyes Linux-rendszereknél a PHP verziószáma réginek látszhat, mert a javítást ugyanabba a korábbi verzióba építették be; a szolgáltató hivatalos biztonsági csomagja a mérvadó. Debian – DSA-6574-1; Ubuntu – USN-8948-1; CloudLinux – csomagok elérhetősége.

A PHP hivatalosan már kiadta a négy javított verziót (8.5.12, 8.4.27, 8.3.36, 8.2.35), de az egyes csomagok és konténerképfájlok külön közzétételi folyamaton mennek át. A Docker Official Images hivatalos docker-library/php forrásának legutóbb elérhető verziójegyzéke még 8.5.11, 8.4.26, 8.3.35 és 8.2.34 verziókat mutatott. Ez önmagában nem bizonyítja, hogy a Docker Hubon még nincs új image, mert a lekérdezhető adatok késhetnek; a friss javított tagek tényleges registry-elérhetőségét és image-digestjét külön kell ellenőrizni. A Hetzner hivatalos PHP-incidensoldalának ellenőrizhető változata továbbra is Investigating állapotú, és a javítás telepítését ígéri: ebből nem következik minden Hetzner-szolgáltatás kiesése vagy helyreállása. A CloudLinux szerint az Imunify360 8.83 WAF-szabálycsomag ismert támadási minták ellen nyújt részleges védelmet, míg az alt-php és ea-php javított csomagok elérhetőségét külön státuszoldalon követik. Docker PHP hivatalos forrásjegyzék; Docker hivatalos taglista; Hetzner státusz; CloudLinux státusz; PHP biztonsági közlemény.

Európában a CERT-EU 2026-018-as figyelmeztetése, a francia CERT-FR, a brit NCSC és a magyar NKI riasztása elérhető; az egyes dokumentumok közül több még a gyártói javítás közzététele előtti állapotot tükrözi. Ázsiában a szingapúri CSA, a japán IPA és a hongkongi GovCERT is kiemelt figyelmeztetést tett közzé. Észak-Amerikában a kanadai Kiberbiztonsági Központ AV26-1070 számú tanácsadója figyelmeztet a frissítésre. Óceániában az ausztrál ACSC kritikus riasztása jelent meg; a közzétételkori szöveg nem jelzett saját maga által igazolt aktív kihasználást, és még a tervezett javításra utalt. Latin-Amerikából és Afrikából ezen ellenőrzés során nem sikerült konkrét, friss, elsődleges PHP2Shell-hatósági közleményt hitelesíteni – ez nem jelenti, hogy ott nincs érintettség vagy támadás. A régiók hatósági figyelmeztetései nem szolgálnak bizonyítékként az adott régióban sikeres betörések számára. CERT-EU; Szingapúri CSA; Japán IPA; Kanadai Cyber Centre; Ausztrál ACSC.

Az internetes támadási aktivitás már nem puszta feltételezés. A Patchstack október 21-i közleménye szerint több tárhelyszolgáltató partnere 07:34 UTC-kor (09:34 magyar idő szerint) aktív kihasználási eseteket jelentett. A Cloudflare technológiai vezetője 07:43 UTC-kor korai támadások észleléséről és a WAF-szabályok folyamatos frissítéséről tájékoztatott. Az üzemeltetői közösségekben — így a Reddit r/selfhosted és r/sysadmin fórumain — automatikus szkenneléstől, a javítások csomagtárolói késésétől és saját szerverek ideiglenes leállításáról írnak. Ezek a hozzászólások nem egyenértékűek ellenőrzött incidensjelentéssel. A Patchstack és a Cloudflare sem közölt hiteles, globális adatot a sikeresen feltört szerverek számáról. Az általános botforgalmat, a kihasználási próbálkozást és a bizonyított kompromittálódást külön kell kezelni. Az üzemeltetők azonnal telepítsék a javított PHP 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 kiadást, illetve az igazolt disztribúciós visszaportolt javítást, és ellenőrizzék a naplókat. Patchstack – saját támadási helyzetjelentés; Tenable – Cloudflare által észlelt támadások; PHP – hivatalos javítások.

A PHP most közzétett technikai tanácsadói szerint a CVE-2026-109618 hibánál az Apache mod_php esetében az alkalmazáskód futtatása előtt is igazolt a támadhatóság; a PHP-FPM érintettségét itt forráskód-elemzés támasztja alá, teljes FPM-támadást nem mutattak be. A CVE-2026-109619 más mechanizmusú hiba, és a gyártói jelentés bizonyos alkalmazásfüggő PHP-FPM kihasználási útvonalakat is megerősít. A hivatalos PHP-közlemény arra figyelmeztet, hogy a rpms.remirepo.net nem kap aznap frissítést, ezért disztribúciós vagy más ellenőrzött csomagforrásra lehet szükség. A Wordfence nyilvános státuszoldala még szolgáltatáskimaradásokat mutatott, a Hetzner saját PHP-incidense vizsgálat alatt szerepelt. Ez nem bizonyít tömeges sikeres feltörést, és a helyreállítási állapot szervezetenként külön ellenőrzendő. PHP közlemény; Első technikai tanácsadó; Második technikai tanácsadó; Wordfence státusz; Hetzner státusz.

Megjelent a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP biztonsági csapata hivatalosan megerősítette, hogy a CVE-2026-109618 és CVE-2026-109619 azonosítójú, egyenként CVSS v4.0 9,2-es sérülékenység hitelesítés nélküli távoli kódfuttatásra adhat lehetőséget. A webszerverként futó PHP több módja érintett lehet, így a PHP-FPM, az Apache mod_php, a php-cgi, a FrankenPHP és a LiteSpeed is. A fejlesztők az Apache mod_php-t különösen kockázatosnak tartják, mert bemutattak olyan esetet, ahol egyetlen hitelesítés nélküli kérés az alkalmazáskód végrehajtása előtt kihasználhatja a hibát. Az átmeneti WAF- és konfigurációs védelem nem teljes megoldás: a javított PHP-verzió telepítése szükséges. PHP 8.1 és régebbi verziókra nincs új hivatalos támogatott kiadás; a PHP csapata ugyanakkor korlátozott forráskód-visszaportokat is biztosított a 7.4, 8.0 és 8.1 ágakhoz. A PHP hivatalos rendkívüli biztonsági közleménye; CVE-2026-109618; CVE-2026-109619.

A Hetzner saját státuszoldalán elismerte, hogy az általa használt PHP-verziók érintettek a CVE-2026-109618 és CVE-2026-109619 hibákban. A vállalat átmeneti enyhítő intézkedéseket vizsgál, a javításokat megjelenés után telepíti. Ez nem azonos az összes Hetzner-ügyfél vagy -szerver leállásával. Japánban a Science Tokyo egyetem a webhoszting-szolgáltatásának valamennyi kiszolgálóján ideiglenesen letiltja a PHP fájlfeltöltés-előrehaladásának funkcióját; az Apache újraindítása rövid kiesést okozhat. A japán Cyber Wave Japan tárhelyszolgáltató ugyanezt az átmeneti intézkedést minden hosztingkiszolgálón tervezi, és figyelmeztet a feltöltési funkciókat érő lehetséges mellékhatásokra. Ezek nem teljes körű javítások. Hetzner hivatalos státusz; Science Tokyo hivatalos üzemeltetői közlemény; Cyber Wave Japan karbantartási közlemény.

GovCERT.HK magas fenyegetettségi szintű riasztást tett közzé; a hatóság szerint az érintett PHP-verziókat a fejlesztők még nem erősítették meg. A japán IPA állami információbiztonsági szervezet előzetes figyelmeztetése szerint saját információi alapján a közzététel idején nem igazolt aktív kihasználást, de a gyors telepítéshez rendszerleltárt és felkészülést kér. Az osztrák CERT.at közölte, hogy támadókód már terjed, működőképességét azonban nem tudták megerősíteni. A hatóság szerint a PHP gyártói kiadása és a Linux-disztribúciók csomagtárolóiban ténylegesen megjelenő javított csomagok között késés várható. A 15:59-es ellenőrzéskor a hivatalos PHP-honlapon még az október 20-i bejelentés volt látható; a rendkívüli javítást 16:00-ra tervezik. GovCERT.HK; Japán IPA; CERT.at; PHP hivatalos oldal.

A finn Valtori állami informatikai központ elővigyázatosságból egyes kormányzati webszolgáltatások leállítását kezdte meg. Németországban a Hochschule München státuszoldala a Moodle, Mahara, LimeSurvey és UCware rendszerek átmeneti kieséséről számolt be; a Ruhr-Universität Bochum az egyetemi weboldalak külső elérését korlátozta. A Bécsi Műszaki Egyetem rendkívüli karbantartást és belső hálózatra/VPN-re korlátozott hozzáférést jelentett be. A Wordfence saját státuszoldala is több átmenetileg nem elérhető szolgáltatást mutatott a PHP2Shell elleni védekezés idején; ez nem jelenti azt, hogy minden WordPress-oldal leállt. A német DENIC egyes honlapjait lekapcsolta, de kiemelte, hogy a domainregisztráció és a DNS-hez kapcsolódó alapvető infrastruktúra zavartalan. Ezek az események jellemzően elővigyázatossági intézkedések, nem bizonyított tömeges feltörések. Források: Yle / Valtori; Hochschule München; Ruhr-Universität Bochum; TU Wien; Wordfence státuszoldal; DENIC.

A francia nemzeti kiberbiztonsági válaszközpont CERTFR-2026-ALE-014 riasztása szerint a session.upload_progress funkció letiltása csak az egyik kritikus hiba támadási felületét csökkentheti. A hatóság az átmeneti megoldásokat nem minősítette teljes értékű védelemnek, a régi, nem támogatott PHP-verziókat használó rendszereknél pedig elkülönítést és támogatott verzióra áttérést javasol. A multipart webes kérések szűrése működési korlátozásokkal járhat, ezért csak átgondolt, tesztelt üzemeltetői intézkedésként kezelhető. A PHP hivatalos javítása továbbra is elsődleges. A francia közlemény az egyes régi verziók érintettségét tág körben értelmezi; a végleges javított verziólistát a PHP fejlesztőinek kiadása fogja hitelesíteni. CERT-FR hivatalos riasztás.

A holland kormány október 21-én 13:59-kor közzétett hivatalos tájékoztatásában az NCSC megerősítette, hogy saját honlapját elővigyázatosságból ideiglenesen lekapcsolta. A hatóság szerint már elérhető nyilvános Proof of Concept (PoC) támadókód, de a közlemény időpontjában nem észleltek aktív kihasználást. Ez nem zárja ki, hogy más szolgáltatók támadási próbálkozásokat észlelnek. A holland NCSC arra is felhívta a figyelmet, hogy a várható közvetlen javítások a PHP 8-as verziócsaládra korlátozódhatnak; az elavult PHP-ágak üzemeltetőinek ezért támogatott verzióra történő átállást kell mérlegelniük. Egyes átmeneti védekezési módszerek szolgáltatásmegtagadási (DoS) kockázattal járhatnak. 15:36-kor a PHP hivatalos oldalán még nem jelent meg a rendkívüli biztonsági kiadás; azt továbbra is 16:00-ra tervezik. Holland kormány – NCSC-közlemény; PHP hivatalos bejelentés.

A Cloudflare október 21-i hivatalos közleménye szerint a fizetős Managed Ruleset négy új felismerési szabályt kapott: kettő blokkol, kettő naplóz. Az ingyenes szabálykészletben két új blokkoló szabály jelent meg. Ez a webes kérések egy részénél mérsékelheti a kockázatot, de nem helyettesíti a PHP javítását. A PHP hivatalos honlapján 15:26-kor még az október 20-i előzetes figyelmeztetés szerepelt, javított verziókat nem jelentettek be. A tervezett kiadás időpontja magyar idő szerint 16:00. Cloudflare – Managed WAF; Cloudflare – Free WAF; PHP Security Team.

Hollandiában a PHP-sérülékenységek miatt több intézmény és szolgáltató elővigyázatosságból korlátozza webes szolgáltatásait. A DigiD, a MijnOverheid, a holland parlament és az RTL elérhetőségéről a holland sajtó számolt be. A Mijndomein saját státuszjelentése szerint 14:30-ra minden ügyfélweboldalát ideiglenesen lekapcsolta, és más kapcsolódó szolgáltatásokat is korlátozott. Amsterdam önkormányzata megerősítette, hogy a Stadspas nem érhető el, ugyanakkor Amsterdam.nl változatlanul működik. Ezek a szolgáltatáskimaradások elsősorban megelőző biztonsági döntések, nem bizonyított sikeres tömeges kibertámadások. Mijndomein – saját státuszjelentés; Amsterdam önkormányzata.

A Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézete külön riasztást tett közzé a CVE-2026-109618 és CVE-2026-109619 sérülékenységek miatt. Az NKI a biztonsági frissítések gyors alkalmazására való felkészülést, szükség esetén az internet felől elérhető érintett rendszerek ideiglenes elkülönítését vagy leállítását javasolja. A magyarországi tömeges lekapcsolásokról jelenleg nincs hitelesen igazolt összesítésünk. NBSZ NKI – hivatalos riasztás.

A CloudLinux október 21-i közleménye szerint a PHP munkamenet-kezelésének fájlfeltöltési funkcióját célzó támadási kód már nyilvánosan elérhető. A vállalat Imunify360 WAF 8.83-as szabálycsomagja a dokumentált támadási mintát blokkolja, ha a webalkalmazás-tűzfal engedélyezett. A gyártó külön hangsúlyozza: ez átmeneti, nem teljes védelem, a hivatalos PHP-frissítést továbbra is telepíteni kell. A CloudLinux előzetes tájékoztatása szerint a PHP 8.2–8.5 verzióágakhoz készül közvetlen javítás; a régebbi ágaknál verzióváltásra vagy támogatói visszaportolásra lehet szükség. A hivatalos PHP biztonsági kiadás a 15:03-as ellenőrzéskor még nem jelent meg. CloudLinux technikai közlemény; PHP fejlesztői tájékoztató.

A Cloudflare technológiai vezetője, Dane Knecht szerint a vállalat kezdeti támadási aktivitást észlel, és a védekezési szabályokat az új módszereknek megfelelően frissíti. A bejelentést a Tenable biztonságkutató csapata is idézi. A támadási próbálkozások észlelése nem azonos sikeres szerverfeltörés igazolásával. A Cloudflare sürgősségi WAF-szabályai csak átmeneti védelmet jelentenek; a PHP hivatalos javítását az ellenőrzés időpontjáig még nem tették közzé. A javítás tervezett időpontja október 21., magyar idő szerint 16:00. Tenable – helyzetjelentés; Cloudflare WAF-változásnapló; PHP fejlesztői közlemény.

A Cloudflare hivatalos változásnaplója október 21-i sürgősségi frissítéseket jelez a Managed és a Free Ruleset számára. A szabályok rendellenes webes kérések felismerését és egy részük blokkolását szolgálják. Ez átmeneti hálózati védelem, nem a PHP-sérülékenységek javítása: az üzemeltetőknek továbbra is a gyártói biztonsági kiadást kell telepíteniük. Cloudflare – hivatalos WAF-változásnapló.

A VirusTotal saját internetes vizsgálata hozzávetőleg 5,1 millió PHP-t futtató IP-címet azonosított, közülük 3,8 millión legalább egy nyitott portot. Ezek nem bizonyítottan sérülékeny rendszerek. A kutatók szerint a kiszivárgott információk a PHP session.upload_progress funkciójára utalnak; az ennek kikapcsolására vonatkozó átmeneti közösségi javaslat nem tekinthető teljes védelemnek. A konkrét érintettséget a PHP hivatalos javítási közleménye tisztázhatja. VirusTotal – kutatási eredmények.

A brit Nemzeti Kiberbiztonsági Központ az internet felől elérhető PHP-rendszerek azonosítását, a gyanús tevékenység figyelését és a javítás mielőbbi telepítését kéri. A PHP-t beépítve használó termékek szállítóinak frissítéseit is érdemes követni. Hivatalos NCSC-közlemény.

A két sérülékenység azonosítója CVE-2026-109618 és CVE-2026-109619. A CERT-EU az azonnali frissítésre való felkészülést, szükség esetén a nyilvános rendszerek elkülönítését javasolja. A PHP 5-től kezdődő lehetséges érintettség külső információn alapul, még nem teljes, gyártói verziólista. CERT-EU.

A fejlesztők két, egyenként CVSS v4.0 9,2-es hibáról tájékoztattak. A javítás tervezett megjelenése október 21., magyar idő szerint 16:00. A javított és érintett verziókat a kiadáskor ígérik közzétenni. Hivatalos PHP-közlemény.