PHP2Shell: állami portálok, egyetemek és online szolgáltatások álltak le világszerte

Miért reagáltak ilyen gyorsan az intézmények?

A PHP2Shell két kritikus PHP-sérülékenysége miatt 2026. október 21-én több szervezet elővigyázatosságból ideiglenesen lekapcsolt vagy korlátozott online szolgáltatásokat, amíg elvégezte a szükséges javításokat. Az intézmények nem egyformán védekeztek: volt, ahol teljes portálokat állítottak le, máshol a hozzáférést szűrték vagy célzott védelmet alkalmaztak.

A fejlemények időrendje a folyamatos PHP2Shell-helyzetjelentésünkben, a hibák működése pedig a technikai elemzésünkben olvasható. Ez a körkép azt mutatja be, ki milyen intézkedést hozott, és hogyan érintette a szolgáltatások használatát.

Ugrás az országokhoz

Hollandia  ·  Belgium  ·  Franciaország  ·  Ausztria  ·  Németország  ·  Svájc  ·  Finnország  ·  Dánia  ·  Lettország  ·  Egyesült Királyság  ·  Írország  ·  Spanyolország  ·  Magyarország  ·  Románia  ·  Portugália  ·  Svédország  ·  Szlovákia

Fontos: egyes országoknál tényleges leállítást vagy hozzáféréskorlátozást, másutt csak hatósági figyelmeztetést dokumentáltak. A felsorolás Svájcot és az Egyesült Királyságot is tartalmazza.

Hollandia: állami portálok kerültek offline állapotba

A holland kormány október 21-én megerősítette, hogy elővigyázatosságból több kormányzati weboldalt, köztük az Overheid.nl, a MijnOverheid és a DigiD felületeit lekapcsolták. A holland Nemzeti Kiberbiztonsági Központ (NCSC) a saját honlapját is ideiglenesen elérhetetlenné tette, miközben más csatornákon és a biztonsági közleményeket közlő oldalon folytatta a tájékoztatást.

A DigiD és a MijnOverheid fontos szerepet tölt be az elektronikus ügyintézésben, de a portálok leállásából nem következik automatikusan, hogy valamennyi háttérszolgáltatás is működésképtelenné vált. A holland kormány 15:13-kor közzétett közleménye ekkor még nem számolt be igazolt aktív kihasználásról. Az NCSC külön tájékoztatója az üzemeltetőknek a frissítés előkészítését és az érintett rendszerek egyedi kockázatértékelését javasolta.

Belgium: állami honlapok, oktatási platform és médiaportálok is érintettek

Belgiumban a PHP2Shell miatti kockázatkezelés a közszférában is láthatóvá vált. A külügyminisztérium, a szövetségi pénzügyi és foglalkoztatási hivatal több weboldala ideiglenesen elérhetetlen volt; Brüsszel régiós portáljának egyes részei is karbantartási módba kerültek. A MyMinfin elektronikus ügyintézési szolgáltatás ugyanakkor továbbra is működött. A belga kiberbiztonsági központ (CCB) a sajtó tájékoztatása szerint ekkor még nem észlelt igazolt támadást belga honlapok ellen. BX1 / Belga – állami intézkedések.

A Smartschool iskolai kommunikációs platform, a flamand kormány több weboldala, valamint különböző média- és egészségügyi szereplők webes felületei is érintettek voltak. Az AZ Monica kórház honlapjának elérhetetlenségéből nem következik a betegellátás leállása. VRT – Smartschool; The Brussels Times – további érintettek.

Franciaország: állami ügyintézés, közegészségügyi honlap és nagy tárhelyszolgáltatók reagáltak

Franciaországban 2026. október 21-én nem pusztán néhány kisebb honlapot érintettek a PHP2Shell miatti intézkedések. A belügyminisztérium az ANSSI kibervédelmi ügynökség kérésére megelőző karbantartásba helyezte a sérülékeny webes felületeit, így több prefektúra honlapja – köztük a párizsi rendőr-főkapitányságé – átmenetileg nem volt elérhető. A tájékoztatást más csatornákon folytatták. A nemzeti CERT-FR – hivatalos riasztás az érintett rendszerek azonosítását, azonnali javítását és szükség esetén elkülönítését kérte.

Adóügyintézés és városi portálok. Az impots.gouv.fr egyes dokumentációs, híroldali és űrlapfelületei karbantartási üzenetet mutattak, de a személyes és vállalati adózói terek bizonyos külön belépési linkeken továbbra is hozzáférhetők maradtak. A főoldali karbantartás tehát nem jelentette a teljes francia adóügyintézés leállását. Párizs városa saját Párizs városának közleménye szerint több városi weboldalt kapcsolt le átmenetileg. A Météo-France előrejelzési és veszélyjelzési honlapjai szintén érintettek voltak; az időjárási figyelmeztetéseket közösségi csatornákon is közzétették. Forrás: Anadolu – állami portálok és szolgáltatások.

Egészségügy: egy közegészségügyi honlap kiesése nem azonos a betegellátás leállásával

A Santé publique France országos közegészségügyi hatóság weboldala is az október 21-én elérhetetlenné vált intézményi felületek között szerepelt (Le Parisien – érintett közintézmények). Ugyanakkor nem sikerült elsődleges forrással megerősítenünk, hogy a PHP2Shell miatt francia kórházi betegellátás, sürgősségi szolgáltatás vagy országos egészségügyi nyilvántartás leállt volna. A külön Santé.fr nyilvános státuszoldala aznapi összefoglalója nem jelzett PHP2Shell-incidenst. Ebből nem következik a teljes egészségügyi ágazat érintetlensége sem: a megerősített tény a közegészségügyi honlap kiesése.

Nagy infrastruktúra-szolgáltatók: a Scaleway lekapcsolt, az OVHcloud inkább korlátozással védett

A Scaleway a PHP2Shell javításának telepítésére hivatkozva ideiglenesen lekapcsolta webtárhelyes ügyféloldalait (Scaleway Web Hosting státuszüzenetének archivált másolata). Emellett a Dedibox kezelőkonzolját és az ahhoz tartozó API-t is karbantartási módba helyezte; ez utóbbi intézkedés nem állította le a már futó Dedibox-szervereket (Dedibox Console státuszüzenet). A vállalathoz tartozó BookMyName domainkezelési szolgáltatásnál ugyancsak az összes szolgáltatás ideiglenes elérhetetlenségét jelezték (BookMyName státuszüzenet). A Scaleway – hivatalos szolgáltatásállapot ezeket külön incidensekként kezelte, nem általános, minden termékére kiterjedő kiesésként.

Ezzel szemben az OVHcloud a webtárhelyes klaszterein október 21-én reggel 08:00 UTC-től átmeneti védelmi megoldást vezetett be, és a javított PHP-kiadások telepítését készítette elő. A OVHcloud Web Hosting – hivatalos státusz a műveletnél átmeneti lassulás lehetőségét jelezte, de nem jelentett be általános, minden ügyfélszolgáltatást érintő leállítást.

Összkép: Franciaországban egyszerre figyelhető meg a kormányzati honlapok megelőző lekapcsolása, egy egészségügyi tájékoztató oldal kiesése, a Scaleway konkrét ügyféloldal-leállítása és az OVHcloud frissítésre, kitettségcsökkentésre épülő megközelítése. Egyik példa sem bizonyítja önmagában az adott intézmény sikeres kompromittálódását. Az eltérő beavatkozások és a helyreállításról kiadott nyilatkozatok 2026. október 21-i pillanatképet tükröznek.

Ausztria: a Bécsi Egyetem több központi szolgáltatását lekapcsolta

A Bécsi Egyetem informatikai központja a PHP hibái miatt átmenetileg elérhetetlenné tette többek között a weboldalakat és online űrlapokat, a Moodle oktatási felületet, a webmailt, az u:cloud fájlszolgáltatást, a BigBlueButton videókonferenciát, valamint az u:ai és u:rise alkalmazásokat. Ez a mindennapi tanulási és munkafolyamatokat is érintette.

Az egyetem hivatalos frissítése később arról számolt be, hogy már telepítik a PHP-javítást, és az első szolgáltatások, köztük a főoldal, ismét elérhetők; a többi rendszert egyenként ellenőrzik és indítják újra.

Németország: Freiburgban hálózati hozzáférést is korlátoztak

A Freiburgi Egyetem központi honlapok, MyLogin-hoz kapcsolódó belépési felületek, intranetes rendszerek, az ILIAS oktatási platform és a hallgatói webmail hozzáférhetőségét korlátozta. Egyes ILIAS-felületek csak az egyetemi hálózatról vagy VPN-en keresztül voltak használhatók.

Az egyetem 18 órás helyzetfrissítése szerint megkezdték a javításokat, a visszakapcsolást pedig alapos ellenőrzés után, fokozatosan, a következő délelőttől tervezték.

Svájc: egyetem és informatikai szolgáltató is lekapcsolt rendszereket

A Bázeli Egyetem informatikai szolgálata október 21-én elővigyázatosságból felfüggesztette az ADAM tanulási platformot, a Viawebet, a személyinformációs és személykereső szolgáltatásokat, az Avatart és több más egyetemi funkciót. A TYPO3-alapú bejelentkezés letiltása még az intézményi tájékoztatás további frissítését is megnehezítette. A visszakapcsolást a PHP-javítások telepítéséhez és ellenőrzéséhez kötötték. Bázeli Egyetem – hivatalos üzemeltetési közlemény.

A svájci MTF informatikai szolgáltató egyes nyilvánosan elérhető ügyfélrendszereket szintén elővigyázatosságból lekapcsolt; más szolgáltatásai tovább működtek. Felhívta a figyelmet arra, hogy a harmadik fél által fejlesztett alkalmazások frissítési kompatibilitása egyes ügyfeleknél meghosszabbíthatja a helyreállítást. MTF – saját státuszközlemény.

Finnország: hatósági rendszereket védtek leállítással

A Finn Élelmiszer-biztonsági Hatóság több szakmai alkalmazását ideiglenesen elérhetetlenné tette. Az érintettek között volt az ételmérgezési nyilvántartás (RYMY), laboratóriumi jelentési rendszer (Pathogenix), növényegészségügyi és egyéb hatósági szolgáltatások, valamint a kívülről érkező e-mail-forgalom.

A hatóság hivatalos közleménye kifejezetten jelezte: saját rendszereiben nem észlelte a sérülékenységek kihasználását. A korlátozás tehát megelőző lépés volt.

Dánia: az Aula és önkormányzati szolgáltatások korlátozása

A dán KOMBIT önkormányzati informatikai szervezet több megoldását teljesen vagy részlegesen leállította. A családok és iskolák közötti kommunikációt szolgáló Aula teljesen leállt, a könyvtári rendszer csak részben volt érintett; más önkormányzati munkafolyamatok, köztük támogatások feldolgozása is érintett lehetett.

Az intézkedésekről a KOMBIT sajtóvezetőjének nyilatkozata alapján a Ritzau hírügynökség számolt be. A nyilatkozat a mögöttes technológiai biztonsági kockázatra hivatkozott; önmagában nem bizonyított sikeres kibertámadást.

Lettország: nem teljes leállítás, hanem földrajzi szűrés

Lettország eltérő megoldást választott: több állami digitális erőforráshoz szelektíven korlátozták a külföldről történő hozzáférést. A CERT.LV október 21-i tájékoztatója szerint a korlátozás a javítások telepítésétől függően akár október 26-ig is fennmaradhat. A helyben hozzáférő felhasználókra várhatóan nem volt hatással.

A lett hatóság a közlemény idején nem rendelkezett olyan információval, hogy valamely lett rendszert a két sérülékenység kihasználásával kompromittáltak volna.

Egyesült Királyság: a fizetési folyamat egy része is korlátozást kapott

A brit Szellemi Tulajdoni Hivatal (IPO) egyes szolgáltatásaiban átmenetileg letiltotta a letéti számláról történő fizetést, mert az ehhez kapcsolódó külső technológiai szolgáltató a PHP globális sérülékenységét vizsgálta. A bankkártyás fizetés a hivatal tájékoztatása szerint továbbra is használható volt.

A régebbi szolgáltatásoknál a letéti számlás tranzakciók feldolgozása vagy visszaigazolása késhetett. A brit IPO szolgáltatási státuszoldala jól mutatja: nem kell a teljes weboldalnak leállnia ahhoz, hogy egy üzletileg fontos fizetési funkció kiesése fennakadást okozzon.

Írország: a SmartHost ügyfélkérésre egyes oldalakat lekapcsolt

Az ír SmartHost tárhelyszolgáltató közölte, hogy több ügyfél kérésére ideiglenesen offline állapotba helyezett weboldalakat, és egyszerű tájékoztatóoldallal helyettesítette azokat a frissítésig. Eközben saját tárhelyszerverein kockázatcsökkentő intézkedéseket és javított PHP-verziókat vezetett be. A szolgáltató a délutáni frissítéseiben szerverenként jelezte a telepítés előrehaladását; ez nem az ország valamennyi tárhelyére vonatkozó leállás. SmartHost – élő biztonsági közlemény.

Spanyolország: kritikus kibervédelmi riasztás és egy nemzetközi szolgáltató Nextcloud-leállítása

A spanyol CCN-CERT 2026. október 21-én AL 11/26 jelzéssel kritikus riasztást adott ki a PHP két biztonsági hibájáról. A hatóság a PHP-alapú alkalmazások azonnali felmérését és frissítését javasolta, a nem nélkülözhetetlen, interneten elérhető, még nem javított szolgáltatások elkülönítésével. Ez ajánlás, nem általános spanyol állami leállás bejelentése. Forrás: CCN-CERT – eredeti riasztás.

Tényleges szolgáltatási korlátozást is dokumentáltak. Az IONOS a Spanyolország számára fenntartott hivatalos státuszoldalán 14:28-kor (CEST) közölte, hogy a kritikus PHP-sérülékenység miatt elővigyázatosságból ideiglenesen letiltotta a Nextcloud-példányok elérését. A Nextcloud Workspace, a menedzselt Nextcloud és az online tároláshoz kapcsolódó szolgáltatások jelentős kiesésként jelentek meg; az e-mail és a webmail működött. Az IONOS német hátterű, nemzetközi szolgáltató: a spanyol státuszoldali bejegyzés nem bizonyít kizárólag spanyol szervereket vagy állami rendszereket érintő leállást.

Más megközelítést választott a SiteGround: október 21-i saját tájékoztatása szerint még a javítás megjelenése előtt szerveroldali védelmi szabályokat vezetett be a teljes kezelt infrastruktúrán, az érintett PHP-funkciókat átmenetileg korlátozva. Általános ügyféloldali leállításról nem számolt be.

A vizsgált, nyilvánosan hozzáférhető közlemények között nem találtunk PHP2Shell-hez köthető, megerősített spanyol kórházi betegellátási, banki, Bizum/Redsys fizetési vagy nagy állami ügyintézési leállást. A különbség fontos: a kibervédelmi ajánlást és a Spanyolországban is elérhető nemzetközi szolgáltatás tényleges kiesését nem szabad összemosni.

Európai Szabadalmi Hivatal: már a helyreállítást is megerősítették

Az Európai Szabadalmi Hivatal (EPO) a CERT-EU biztonsági figyelmeztetése után elővigyázatosságból lekapcsolta az epo.org honlapot és több online portált. Az EPO azonban még október 21-én hivatalosan bejelentette, hogy a szükséges biztonsági javításokat sikeresen telepítették, és megkezdődött az érintett felületek fokozatos visszakapcsolása.

Ez jól példázza, hogy egy megelőző leállításnak dokumentált helyreállítási szakasza is van: a kezdeti szolgáltatáskiesés híre nem jelenti, hogy a rendszer továbbra is elérhetetlen.

További európai reakciók: riasztások és nem igazolt leállások

A következő országoknál különösen fontos megkülönböztetni a hatósági figyelmeztetést a bizonyított szolgáltatáskieséstől. Ahol nem találtunk elsődleges, konkrét leállási közleményt, azt nyíltan jelezzük.

Magyarország: hivatalos riasztás

Az NBSZ Nemzeti Kiberbiztonsági Intézet október 21-én hivatalos riasztást adott ki, azonnali javítást, szükség esetén pedig a nyilvánosan elérhető PHP-rendszerek elkülönítését vagy ideiglenes leállítását javasolva. Ez hatósági ajánlás, nem bizonyíték arra, hogy Magyarországon tömeges szolgáltatásleállítás történt volna.

Románia: nem megerősített intézményi leállás

A vizsgált, október 21-én elérhető nyilvános források alapján nem tudtunk azonosítani olyan konkrét román közintézményt vagy vállalatot, amely ellenőrizhetően a PHP2Shell miatt kapcsolta le szolgáltatását. Ez nem jelenti azt, hogy Romániában nem történhettek megelőző intézkedések; jelenleg nem sorolható igazolt leállításként a táblázatba.

Portugália: figyelmeztetés és frissítési felhívás, igazolt nagy leállás nélkül

A portugál Nemzeti Kiberbiztonsági Központ (CNCS) PHP2Shell miatt kiadott felhívásáról a TEK Notícias 2026. október 21-én számolt be. A tudósítás szerint a CNCS a sürgős biztonsági frissítéseket, szükség esetén a sérülékeny, nyilvános hálózatról elérhető alkalmazások elkülönítését javasolta. A CNCS közvetlen, eredeti riasztását ehhez az állításhoz nem tudtuk külön megnyitni, ezért az a portugál szakmai sajtón alapul.

Konkrét portugál szolgáltatásleállásról nincs megerősített intézményi közleményünk. A vizsgált nyilvános információk alapján nem sikerült igazolni PHP2Shell-hez kapcsolódó széles körű kiesést a gov.pt kormányzati ügyintézésében, az SNS/SPMS egészségügyi rendszereiben, a banki vagy SIBS-fizetési infrastruktúrában, illetve a nagy helyi tárhelyszolgáltatóknál. A 4gnews október 21-i portugál összefoglalója szintén azt jelezte, hogy ekkor nem tudtak Portugáliában általános, a sérülékenységhez közvetlenül kapcsolható leállásokat megerősíteni.

Ez nem azt jelenti, hogy portugál üzemeltetők ne alkalmaztak volna védelmi intézkedéseket, hanem azt, hogy egyelőre ellenőrzött hatósági felhívásról – és nem igazolt országos leálláshullámról – beszélhetünk.

Svédország: hatósági figyelmeztetés

A CERT-SE október 21-i közleménye sürgős PHP-frissítést, az érintett alkalmazások felmérését és esetleges behatolási jelek vizsgálatát javasolta. Ha az azonnali frissítés nem kivitelezhető, a nyilvános hálózati kapcsolatok korlátozását ajánlotta. A közlemény konkrét svéd intézményi leállítást nem erősített meg.

Szlovákia: hatósági figyelmeztetés

Az SK-CERT október 21-i figyelmeztetése ismertette a két kritikus PHP-hibát, és az érintett eszközök felmérését, frissítését, illetve szükség szerinti átmeneti elkülönítését hangsúlyozta. Ez ellenőrzött hatósági reakció, de nem egy konkrét szlovák szolgáltatásleállítás bejelentése.

Mi történt Európán kívül?

Japán: konkrét PHP-funkciót tiltottak le

A Science Tokyo egyetem webszerver-szolgáltatásában átmenetileg letiltotta a session.upload_progress PHP-funkciót, és a kezelt webszerverek újraindítását jelentette be. A hivatalos japán üzemeltetői közlemény szerint ez ideiglenes kockázatcsökkentés, nem a végleges javítás helyettesítője; a PHP-frissítést külön tervezték.

Egyesült Államok: a tárhelyszolgáltató aktív védelemmel reagált

A Namecheap amerikai tárhelyszolgáltató státuszközleménye szerint több platformján védelmi intézkedéseket alkalmazott, majd a javított PHP-verziók megjelenése után megkezdte a frissítések telepítését. Ez nem jelentett minden ügyféloldalra kiterjedő általános leállítást.

Az EasyWP menedzselt tárhelyen külön HackGuardian-védelmet aktiváltak, amely átmenetileg részlegesen írásvédetté teszi az oldalakat; így például új bővítmények és témák telepítését is akadályozhatja.

Figyelmeztetés nem egyenlő leállással

Kanada és Ausztrália kibervédelmi hatóságai is adtak ki PHP-biztonsági riasztásokat. Az ilyen közleményeket nem soroljuk automatikusan az intézményi szolgáltatásleállások közé: az országos figyelmeztetés önmagában nem jelenti, hogy az adott országban egy konkrét szolgáltatás kiesett.

Mit jelent ez a magyar vállalkozásoknak?

A PHP2Shell nem kizárólag nagy külföldi intézmények problémája. Magyar webáruházak, ügyfélportálok, számlázási vagy banki adatkapcsolatokat használó integrációk üzemeltetőinek is ellenőrizniük kell a futtatókörnyezetet, és szükség esetén a tárhelyszolgáltatótól kell tájékoztatást kérniük.

Egy webshopnál különösen fontos a rendelésfeldolgozás, a fizetési szolgáltatóval fennálló kapcsolat, az adminisztráció és az automatizált adatkapcsolatok folytonossága. Ez azonban nem jelenti azt, hogy minden magyar PHP-alapú oldal érintettként leállt volna: a tényleges kitettséget verzió, konfiguráció és javítási állapot alapján kell megállapítani.

A magyar Nemzeti Kiberbiztonsági Intézet is az azonnali javítást, illetve addig az internet felől elérhető érintett rendszerek szükség szerinti elkülönítését javasolja.

A rendkívüli javított PHP-kiadások: 8.2.35, 8.3.36, 8.4.27 és 8.5.12. Régebbi és támogatott disztribúciós csomagok esetében figyelembe kell venni az esetleges visszaportolt biztonsági javításokat is, ezért a verziószám önmagában nem minden környezetben árulja el a védettség teljes állapotát. A PHP hivatalos tájékoztatója szerint a kiegészítő védekezések nem pótolják a javítást.

Mit tanít a PHP2Shell nemzetközi leálláshulláma?

A nemzetközi példák megmutatták, hogy egy széles körben használt szerveroldali technológia súlyos hibája az elektronikus ügyintézéstől az egyetemi oktatáson át egészen egy fizetési funkcióig sokféle szolgáltatást érinthet.

A különbség nem egyszerűen az volt, hogy egyes országok lekapcsoltak rendszereket, mások pedig nem: az intézmények az eltérő technikai környezetek és üzletmenet-folytonossági kockázatok alapján döntöttek. A megelőző leállítás lehet tudatos védelmi intézkedés, de a gyors visszakapcsolás csak telepített javításokkal és ellenőrzött működéssel tekinthető felelős helyreállításnak.

Az összeállítás a 2026. október 21-én közzétett intézményi állapotokat rögzíti, nem folyamatos szolgáltatás-elérhetőségi jelentés. A későbbi támadási fejleményeket külön, frissülő PHP2Shell-hírfolyamunk követi.