Hogyan fedezte fel a mesterséges intelligencia a PHP2Shell-hibákat?

Nem egyetlen weboldal hibája volt

Amikor október 21-én rendkívüli biztonsági frissítést adtak ki a PHP-hoz, sokan először csak azt látták, hogy tárhelyszolgáltatók átmenetileg leállítanak rendszereket, és világszerte sürgős frissítést kérnek. A történet azonban hónapokkal korábban kezdődött: a PHP programkódjában két olyan súlyos sérülékenységet találtak, amelynek valódi veszélyességét fejlett mesterségesintelligencia-eszközök segítettek bizonyítani.

A PHP nem egy különálló internetes szolgáltatás, hanem számos honlap és webalkalmazás mögött működő programozási technológia. Egy webáruház tulajdonosa például lehet, hogy sohasem látja a nevét, a weboldal kezelése, a bejelentkezés vagy az adatfeldolgozás mégis egy PHP-t futtató szerveren történik. Ezért különösen veszélyes, ha nem egy adott weboldal bővítményében, hanem magában a futtatókörnyezetben van a hiba. Forrás: Wiz Research.

Kik fedezték fel a PHP2Shell-hibákat?

Két kutatócsoport egymástól függetlenül jutott el a problémákhoz. Az OpenAI október 21-i közleménye szerint a Calif biztonságkutatói a Patch the Planet kezdeményezés keretében, a GPT-5.6 Sol modell segítségével azonosítottak egy kritikus PHP-hibát. Ettől függetlenül a Wiz Research is felfedezte és jelentette mindkét sérülékenységet.

A Wiz saját eseménynaplója szerint augusztus 19-én találták meg az első problémát, majd augusztus 20-án Drupalon, augusztus 21-én pedig WordPressen igazoltak laboratóriumi, bejelentkezés nélküli támadhatóságot. Augusztus 24-én a kutatók értesítették a PHP biztonsági csapatát. Forrás: OpenAI; Wiz Research.

Hogyan segített a mesterséges intelligencia?

A mesterséges intelligencia nem egyetlen gombnyomásra találta meg és javította ki a hibákat. A kutatóknak először meg kellett érteniük, hogyan dolgozza fel a PHP a webes kéréseket, miként használja a memóriát, és milyen helyzetekben kerülhet hibás állapotba a szerver. Az AI a nagy mennyiségű programkód vizsgálatában, a lehetséges hibák értelmezésében, a tesztek kiértékelésében és az új próbálkozási irányok megtalálásában segített.

A Wiz beszámolója szerint a sérülékenységek egyes elemei már több mint egy évtizede jelen lehettek a PHP működésében. A nehézség nem pusztán az volt, hogy valaki észrevegye a hibás állapotot, hanem az, hogy megbízhatóan bizonyítsa: ebből valódi biztonsági veszély lehet. Különféle PHP-verziók, szerverbeállítások és webalkalmazások esetén ugyanaz a hiba eltérően jelentkezhet, és a kutatási módszereket ehhez kellett igazítani.

A Wiz Research a Wiz Atlas kutatási rendszerét, a Gemini 4 Argont és a GPT-5.6 Solt is felhasználta. Saját értékelése szerint a Gemini 4 Argon különösen sokat segített a sérülékenység felismerésében, a tesztelésben és a javítás ellenőrzésében. A Calif kutatásához az OpenAI a GPT-5.6 Sol szerepét emeli ki. Ezek a közlések a kutatócsapatok saját beszámolói, nem azt jelentik, hogy az AI emberi szakértők nélkül végezte volna a teljes folyamatot. Forrás: Wiz; OpenAI.

Mitől ennyire súlyos ez a két hiba?

A PHP2Shell névvel összefoglalt két sérülékenység a PHP memóriakezeléséhez kapcsolódik. Bizonyos hibahelyzetekben a program olyan belső adatot is felhasználhat, amely már nem érvényes, vagy a kérés feldolgozása közben hibás állapotban maradhat. Egyszerű hasonlattal: a rendszer egy már lezárt ügy aktáját ismét érvényesnek tekintheti, és emiatt rossz helyről olvashat adatot vagy hibás műveletet végezhet.

A két nyilvántartott sérülékenység a CVE-2026-109618 és a CVE-2026-109619 azonosítót kapta; a PHP biztonsági csapata mindkettőt 9,2-es súlyosságúnak minősítette a CVSS 4.0 skálán. A legsúlyosabb esetben egy támadó úgy is futtathat saját kódot az érintett szerveren, hogy nincs hozzá felhasználói fiókja. Bizonyos támadási utak akár a weboldal saját beléptetési ellenőrzése előtt érvényesülhetnek.

A Wiz laboratóriumban WordPress-, Drupal- és Joomla-alapú környezetekben demonstrálta a veszélyt. Ez nem azt jelenti, hogy ezeket a rendszereket világszerte feltörték, és nem bizonyít konkrét ügyfélincidenst. A kutatások a PHP alapvető sérülékenységét igazolták. A PHP hivatalos közleménye szerint többféle webszerver-beállítás érintett lehet, különösen az Apache mod_php. Forrás: PHP; Wiz.

A felfedezéstől a javításig: nemzetközi összefogás

Egy ilyen hiba kijavítása önmagában nem elég: a frissítésnek el is kell jutnia a weboldalakat működtető szerverekre. A PHP fejlesztői irányították a technikai javítás és a rendkívüli kiadás elkészítését, miközben az OpenAI, a Calif, a Wiz és több infrastruktúra-szolgáltató kutatással, ellenőrzéssel és felkészüléssel segítette a munkát.

Az OpenAI a Patch the Planet program keretében a kutatók, a szabad szoftverek karbantartói és a biztonsági szolgáltatók közötti egyeztetést is támogatta. A Cloudflare és más webes infrastruktúra-szolgáltatók átmeneti védelmi szabályokat készítettek, míg a Linux-rendszerek terjesztői saját csomagjaikhoz dolgoztak javításokon. A cél az volt, hogy a védekezés már a nyilvános technikai részletek megjelenése előtt megkezdődhessen. Forrás: OpenAI.

A PHP biztonsági csapata október 20-án előzetes riasztást adott ki, majd 2026. október 21-én négy rendkívüli, javított verzió jelent meg: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A folyamat azonban itt nem ért véget: az üzemeltetőknek, tárhelyszolgáltatóknak és vállalatoknak saját rendszereikben is telepíteniük kell a megfelelő frissítést. Forrás: PHP biztonsági közlemény.

Miért érdekes ez Magyarországon egy webáruház vagy vállalkozás számára?

Az online ügyfélportálok, foglalási rendszerek, webshopok, számlázó-kapcsolatok és belső vállalati alkalmazások gyakran többféle szoftverre épülnek. Előfordulhat, hogy egy cég naprakészen tartja a webáruházát, de a mögötte működő PHP-t más üzemelteti, és annak frissítését külön kell elvégezni. A biztonsági rés akkor is fennállhat, ha a weboldal látszólag rendben működik.

Az érintettséget ezért nem a honlap kinézete, hanem az alatta futó technológia és a telepített biztonsági csomag dönti el. Az üzemeltetőnek ellenőriznie kell a megfelelő javítást, szükség esetén újraindítania a szolgáltatást, majd meggyőződnie a weboldal, a bejelentkezés és az online fizetések zavartalan működéséről. Régebbi PHP-verziókhoz egyes disztribúciók és hosszabb támogatást nyújtó szolgáltatók külön javítást biztosíthatnak; a PHP-projekt a 7.4, 8.0 és 8.1 ágakhoz minimális forráskód-javítást is közölt, de ezek nem jelentenek új, támogatott kész kiadást.

A gyakorlati kérdés egyszerű: ha a céged honlapja PHP-t használ, kérj visszaigazolást a tárhelyszolgáltatótól vagy az informatikai felelőstől, hogy a sérülékenység javítása megtörtént-e. Tűzfalszabály vagy ideiglenes beállítás segíthet csökkenteni a kockázatot, de nem helyettesíti a megfelelő frissítést. Forrás: PHP.

Mit tanít a PHP2Shell az AI és a kibervédelem jövőjéről?

A történet legfontosabb tanulsága nem az, hogy a mesterséges intelligencia ezentúl magától minden programhibát megtalál. Inkább az, hogy a szakemberek korábban rendkívül időigényes vizsgálatokat tudnak felgyorsítani vele. Ugyanez a képesség a rosszindulatú szereplők dolgát is megkönnyítheti. A védekezés ezért egyre inkább azon múlik, hogy a megtalált hibából milyen gyorsan lesz tesztelt javítás, és az valóban eljut-e a működő rendszerekre.

Kapcsolódó olvasnivalók: PHP2Shell: a legfrissebb rendkívüli helyzetjelentés és DORA 2026: digitális működési és kiberbiztonsági követelmények a pénzügyi szektorban.