# 22,6 millió kitett példány: így értelmezze helyesen a számokat

> 22,6 millió példány, 2,24 millió host: hány szervert érint a PHP2Shell, miért térnek el a számok, és mit jelentenek az Ön vállalatára nézve.

Forrás: https://phpsos.de/hu/blog/exponierte-instanzen-einordnen/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Hogy hány szervert érint a PHP2Shell, azt csak becsülni lehet. A Unit 42 a TechTarget szerint több mint 22,6 millió kitett példányt számolt össze, a CybelAngel nagyjából 2,24 millió PHP-hostot említ, a BleepingComputer a VirusTotalra hivatkozva több mint 5,1 millióról számol be. A számok különböző dolgokat mérnek, ezért nem mondanak ellent egymásnak. Az Ön vállalata számára egy másik szám számít: hány saját PHP-rendszere elérhető, és ezek közül mennyi igazoltan javított.

## A kiindulópont: egy szám főcímet csinál

„22 millió szerver veszélyben” állt 2026. október 21-én számos főcímben. A szám a Unit 42-től, a Palo Alto Networks kutatási részlegétől származik, és egyebek mellett a TechTarget számolt be róla. Nem sokkal később más számok kezdtek keringeni, részben nagyjából tízszer kisebbek.

Az olvasóban az a benyomás keletkezik, hogy senki sem tudja a választ. Valójában a szolgáltatók egyszerűen különböző dolgokat számolnak különböző módszerekkel. Aki ezt érti, használni tudja a számokat ahelyett, hogy elbizonytalanítanák.

## Hány szervert érint a PHP2Shell? A számok áttekintése

| Forrás | Szám | Mit számoltak |
|---|---|---|
| Unit 42 (Palo Alto Networks), a TechTarget szerint | több mint 22,6 millió | kitett, potenciálisan sebezhető példányok; a módszert a jelentés nem magyarázza |
| VirusTotal, a BleepingComputer szerint | több mint 5,1 millió | az internetről elérhető PHP-hostok |
| CybelAngel, Shodan-adatok alapján | nagyjából 2,24 millió | PHP-t az azonosítóikban jelző hostok |
| CybelAngel | 59 % a nagyjából 1,5 millióból | a látható verziójú hostok aránya olyan ágakon, amelyekhez nincs hivatalos frissítés |
| CybelAngel | nagyjából 740 000 | PHP-t jelző, de a verzióját elrejtő hostok |

Az összes szám az október 20-i és 21-i helyzetre vonatkozik. Pillanatfelvételek, és minden telepített frissítéssel változnak.

## Miért esnek ennyire távol az összeszámlálások

Három hatás magyarázza a különbségek nagy részét.

**Példány, host, weboldal.** Egy host többnyire egy IP-cím vagy egy szerver. Egy példány lehet egyetlen szolgáltatás vagy egyetlen weboldal. Egy megosztott tárhelyes szerveren gyakran több száz weboldal fut. A CybelAngel maga is rámutat: hostokat számolnak, nem szervezeteket vagy weboldalakat, az elérhető alkalmazások tényleges száma valószínűleg magasabb.

**Elrejtett verziók.** Sok szerver nem árulja el a PHP-verzióját, például azért, mert az `expose_php` ki van kapcsolva. Hiányoznak a verzióalapú statisztikákból. Hogy az elrejtés miért értelmes, de nem pótolja a védelmet, azt a [Verziójelzések és expose_php](https://phpsos.de/hu/blog/expose-php-versionsangaben/) írás magyarázza.

**Backportok.** A disztribúciók és a tárhelyszolgáltatók részben a verziószám megváltoztatása nélkül telepítik a javításokat. Egy szerver, amely kifelé régi számot mutat, tehát lehet javított. A kijelzett verzió alapján végzett összeszámlálások ezért túlbecsülik a javítatlan rendszerek számát. Hogyan ellenőrizheti a valós állapotot Önnél, azt a [PHP-verzió és javítási állapot ellenőrzése](https://phpsos.de/hu/php2shell/php-version-pruefen/) tartalmazza.

### Hogyan keletkeznek az ilyen összeszámlálások

A legtöbb szám olyan keresőszolgáltatásokon alapul, amelyek folyamatosan lekérdezik az internetet, és eltárolják, mit közölnek magukról a szerverek. Egy webszerver a válaszaiban gyakran megnevezi a szoftvert és a verziót, például az `X-Powered-By` fejlécben. A CybelAngel saját bemutatása szerint a Shodan-adatokból származó ilyen azonosítókra támaszkodik. Közben semmit sem támadnak meg, csak azt olvassák, ami amúgy is nyilvánosan látható.

Ebből egyszerű olvasási szabály következik minden új médiaszámra. Kérdezze meg: mit számoltak, hostokat, példányokat vagy weboldalakat? Mikor mértek, október 21. előtt vagy után? És hogyan határozták meg a verziót, a kijelzett szám alapján vagy valódi teszttel? Aki erre a három kérdésre nem tud válaszolni, durva nagyságrendként kezelje a számot, ne mérési értékként.

> **Fontos:**
> A „kitett” azt jelenti: elérhető és külső jellemzők alapján esetleg sebezhető. Nem azt jelenti, hogy megtámadták, és nem is azt, hogy feltörték. A BSI kezdetben nem ismert megerősített, széles körű sikeres támadásokat.

## Mit mutatnak mégis megbízhatóan a számok

Még ha a nagyság ingadozik is, az összeszámlálások három megalapozott kijelentést hordoznak:

1. **A támadási felület óriási.** Még a legkisebb szám is milliónyi elérhető célpontot jelent. A támadóknak nem kell keresniük, automatizáltan ellenőrizhetnek.
2. **A régi verziók elterjedtek.** A CybelAngel szerint a látható verziójú hostok 59 százaléka olyan ágakon futott, amelyekhez a PHP-projekt nem ad ki hivatalos frissítést. Ezeknél a rendszereknél nem gyors javítás segít, hanem csak egy backport, egy harmadik fél vagy egy migráció. A kockázatokat a [PHP End of Life](https://phpsos.de/hu/ratgeber/php-end-of-life-risiken/) útmutató írja le.
3. **A probléma tovább marad.** Az elérhető rendszerek nagy része nem frissül napok alatt. A szkennelések és támadási kísérletek ezért várhatóan még sokáig tartanak.

## Határozza meg a saját számát

A világszintű szám főcím. A sajátja feladat. Így jut el hozzá:

1. **Domainek és aldomainek összegyűjtése:** DNS-zónákból, tanúsítványokból, az ügynökségekkel és tárhelyszolgáltatókkal kötött szerződésekből.
2. **Az elérhető szolgáltatások hozzárendelése:** Melyik szerver áll melyik cím mögött, ki üzemelteti?
3. **A PHP-állapot felmérése rendszerenként:** verzió, üzemmód, csomagforrás, backport-megerősítés.
4. **Az eredmény értékelése:** javított és igazolt, javított igazolás nélkül, javítatlan, ismeretlen.
5. **A rések bezárása:** az ismeretlent tisztázni először, a javítatlannal cselekedni először.

A végén egy rövid lista áll egy nagy szám helyett. Hogyan tartsa fenn tartósan a leltárt, azt a [Az összes weboldal és szerver leltára](https://phpsos.de/hu/blog/inventar-websites-server/) írás írja le.

## Hogyan segít konkrétan a PHP SOS?

- **Kívülről nézve:** Meghatározzuk, hogy mely rendszerei érhetők el az internetről, és ezek közül melyek használnak PHP-t.
- **Belülről nézve:** Ellenőrizzük a javítási állapotot és az újraindítást a szervereken, nem csak a kijelzett verziót.
- **Értékelés:** Állapottal rendszerenként és világos sorrenddel ellátott listát kap.
- **Utóellenőrzés:** Kívánságára a javítás után kívülről teszteljük, hogy a helyzet a várakozásoknak megfelelően javult-e.

Hogyan zajlik egy ilyen ellenőrzés, azt a [Biztonsági audit és penetrációs teszt](https://phpsos.de/hu/leistungen/sicherheitsaudit-penetrationstest/) írja le.

## Összegzés

22,6 millió, 5,1 millió, 2,24 millió: a számok ellentmondónak tűnnek, de csak különböző dolgokat mérnek. Együtt azt mutatják, hogy a PHP2Shell nagyon nagy támadási felületet érint, és sok régi verzió áll a hálón. Azt a számot, amely az Ön kockázatát eldönti, semmilyen tanulmány nem szolgáltatja. Csak a saját rendszereire vetett pillantásból keletkezik.


## Gyakori kérdések

**Hány szervert érint a PHP2Shell?**  
Ezt senki sem tudja pontosan. A Palo Alto Networks Unit 42 csapata a TechTarget szerint több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt össze. A CybelAngel nagyjából 2,24 millió, az internetről elérhető hostot említ, amely PHP-t jelez. A számok különböző dolgokat mérnek, és nem közvetlenül összehasonlíthatók.

**Miért térnek el ennyire a számok egymástól?**  
Mert különböző dolgokat számolnak: példányokat, hostokat, IP-címeket vagy szolgáltatásokat. Egy megosztott tárhelyes hoston több száz weboldal lehet. Ráadásul sok szerver nem jelzi ki a PHP-verzióját, mások régi számot mutatnak, noha backportot telepítettek.

**Azt jelenti a kitettség, hogy egy szervert megtámadtak?**  
Nem. A kitett csak annyit jelent, hogy egy PHP-szolgáltatás elérhető az internetről, és külső jellemzők alapján sebezhető lehet. Tényleges támadásokról ezek az összeszámlálások nem mondanak semmit.

**Melyik szám fontos az én vállalatomnak?**  
A saját nyilvánosan elérhető PHP-rendszereinek száma, és hogy ezek közül mennyi bizonyíthatóan javított. A világszintű számok a méretet mutatják, de nem helyettesítik a saját leltárt.

## Források

- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [CybelAngel: Critical PHP RCE vulnerabilities CVE-2026-109618 and CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)
- [PHP: támogatott verziók](https://www.php.net/supported-versions.php)