# PHP NAS-on, tűzfalakon és appliance-eken: az elfelejtett rendszerek

> PHP-biztonsági rés NAS-on, tűzfalon és appliance-en: mely eszközök használhatnak PHP-t, hogyan találja meg őket, és mit tegyen a firmware-frissítésig.

Forrás: https://phpsos.de/hu/blog/php-auf-nas-und-appliances/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A PHP nemcsak webszervereken fut, hanem NAS-rendszerek, tűzfalak és célberendezések webes felületében, vagy olyan webszerver-csomagokban is, amelyeket Ön telepített egy NAS-ra. Hogy egy eszközt érint-e a PHP2Shell, azt csak a gyártó mondhatja meg; a frissítés a firmware-en keresztül érkezik. Az Ön feladata ezeknek az eszközöknek a megkeresése, a webes felületeik levétele az internetről és a gyártói közlemények követése.

## Miért tartoznak a webes felületű eszközök a PHP-kérdéshez

Amikor a PHP2Shellről beszélnek, a legtöbben a céges weboldalra vagy a webshopra gondolnak. Pedig a PHP olyan eszközökben is ott van, amelyeket senki sem tekint webszervernek. A szerverteremben vagy az irodában állnak, a felügyeletükhöz webes felület tartozik, és gyakran évekig futnak figyelem nélkül.

A CVE-2026-109618 és a CVE-2026-109619 rések a php.net szerint magát a PHP-t érintik a PHP-FPM, az Apache mod_php-val, a php-cgi, a FrankenPHP és a LiteSpeed üzemmódban. Ha egy eszköz webes felülete ezen üzemmódok egyikét használja sebezhető verzióval, a kockázat ott ugyanúgy fennáll. A különbség: a PHP-t az eszközön általában nem tudja maga frissíteni.

Az ilyen rendszerek elfelejtésének kézzelfogható okai vannak. Gyakran egy szolgáltató állította be őket, aki már rég nem gondozza őket. A firmware-frissítések nem maguktól futnak, hanem egy kattintást igényelnek, amelyet senki sem tesz meg. Egyes eszközök kényelmes távoli hozzáférési funkciókkal érkeznek, amelyek az informatika tudta nélkül elérhetővé teszik a webes felületet az internetről. Egy olyan PHP-biztonsági résnél, mint a PHP2Shell, ebből a kényelemből kockázat lesz.

## PHP-biztonsági rés NAS-on és appliance-eken: mely rendszerek jöhetnek szóba

Itt eszköztípusokat nevezünk meg, nem állítunk semmit egyes modellekről. Hogy egy adott firmware érintett-e, kizárólag a gyártó közleményeiből derül ki.

| Eszköztípus | Hogyan kerül képbe a PHP | Ki frissít |
|---|---|---|
| NAS webszerver-csomaggal | Saját PHP-weboldalakat vagy alkalmazásokat üzemeltet a NAS-on | A gyártó szállítja a PHP-csomagot, Ön telepíti |
| Tűzfal- és útválasztó-disztribúciók | A felügyeleti felület egyes részei PHP-ban íródtak | A gyártó a firmware-en keresztül |
| Webes felületű célberendezések | pl. telefonközpontok, munkaidő-nyilvántartás, épületgépészet, ha a gyártó PHP-t használ | A gyártó vagy a szakkereskedő |
| Virtuális appliance-ek | előre konfigurált virtuális gépek saját webes felülettel | A gyártó frissítési image-en keresztül |
| Konténerek a NAS-on | PHP-alkalmazások Docker-konténerekben | Ön, új image-en keresztül |

Két igazolt példa: a Synology a Web Stationben PHP-weboldalakat enged üzemeltetni választható PHP-profilokkal, és bejelentette a PHP 7.3, 7.4 és 8.0 támogatásának végét a DSM 7.3 alatt. A Netgate pfSense-re vonatkozó biztonsági közleményei a webes felület PHP-fájljait és PHP-hibaüzeneteit írják le. Ez csak azt mutatja, hogy a PHP ott előfordul, nem azt, hogy ezeket a termékeket érinti a PHP2Shell.

## Leltár: így találja meg az elfelejtett rendszereket

A legfontosabb lépés egy lista. Sok vállalat pontosan tudja, melyik weboldalakat üzemelteti, de azt nem, melyik eszköznek van webes felülete. Hogyan néz ki egy tartós leltár, azt a [Az összes weboldal és szerver leltára](https://phpsos.de/hu/blog/inventar-websites-server/) cikk írja le.

1. **Hálózat felmérése:** Gyűjtse össze az eszközöket a DHCP-listából, a switch vagy a tűzfal áttekintéséből.
2. **Webes felületek megjelölése:** Minden eszköznél jegyezze fel, hogy HTTP-n vagy HTTPS-en keresztül kezelik-e.
3. **Engedélyek ellenőrzése:** Sorolja fel az útválasztóban a portátirányításokat és a távoli hozzáférési szolgáltatásokat. Minden, az internetről elérhető webes felület a lista elejére kerül.
4. **Gyártó hozzárendelése:** Jegyezze fel a modellt, a firmware állapotát és a gyártó biztonsági közleményeire mutató linket.
5. **Saját szolgáltatások felvétele:** A NAS-rendszereken telepített webszerver-csomagokat és konténereket külön tüntesse fel.

Az első támpont egy ártalmatlan fejléclekérdezéssel szerezhető. A parancs csak a nyitóoldalt kéri le, és semmit sem változtat:

```bash
# Egy webes felület szerverfejléceinek megjelenítése (a cím példa)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
```

Ha ott PHP-re utaló jelzés áll, az támpont. Ha hiányzik, az nem bizonyít semmit, mert sok eszköz szándékosan elnyomja az ilyen adatokat.

## Mit tehet, ha nem tud maga javítani

Eszközöknél a javítás a gyártónál van. Az elérhetőség Önnél van, és éppen ott a legnagyobb a mozgástere. A BSI (a német szövetségi információbiztonsági hivatal) a PHP2Shellnél azt javasolja, hogy a frissítés nélküli webszervereket átmenetileg vegyék le a hálózatról; az eszközök felügyeleti felületeire ez értelemszerűen még inkább érvényes.

- **Levétel az internetről:** Távolítsa el a webes felületekre mutató portátirányításokat, és a távoli hozzáférést csak VPN-en keresztül engedélyezze.
- **A felügyeleti hálózat elválasztása:** A webes felületeket csak egy külön hálózati tartományból tegye elérhetővé az adminisztrátorok számára. A hátteret az [Admin területek elzárása](https://phpsos.de/hu/blog/admin-bereiche-abschirmen/) cikk ismerteti.
- **A nem használt kikapcsolása:** Kapcsolja ki a NAS-on azokat a webszerver-csomagokat vagy alkalmazásokat, amelyekre senkinek sincs szüksége.
- **Firmware-közlemények követése:** Kapcsolja be a frissítési értesítéseket, és a frissítéseket késedelem nélkül telepítse, amint a gyártó kiadja őket.
- **Régi eszközök cseréje:** A gyártói támogatás nélküli eszközöket ne üzemeltesse tovább az internetről elérhetően, és tervezze meg a cserét.

> **Tipp:**
> Ha egy NAS-on saját PHP-weboldalakat üzemeltet, ezekre ugyanaz érvényes, mint bármely webszerverre: a verzió ellenőrzése, a csomag frissítése, a szolgáltatás újraindítása. A rés alapjait a [Mi a PHP2Shell?](https://phpsos.de/hu/php2shell/was-ist-php2shell/) oldal magyarázza.

## Ha egy eszköz nyitva állt a hálózaton

Ha egy webes felület október 17. és 21. között elérhető volt az internetről, és az eszköz érintett, nem elég frissíteni. Ellenőrizze, hogy módosítottak-e fiókokat, megosztásokat vagy átirányításokat, mentse a rendelkezésre álló naplókat, és változtassa meg a hozzáférési adatokat. Az az eszköz, amely egy támadóval volt a hálózatban, ugródeszkaként szolgálhat más rendszerekhez.

Tűzfalaknál és útválasztóknál ez különösen kényes, mert a teljes adatforgalmat látják. Kétség esetén a gyári beállítások visszaállítása tiszta újrakonfigurálással megbízhatóbb, mint az egyes nyomok keresése; előtte a naplókat és a konfigurációt le kell menteni.

NAS esetén az adatok kérdése is felmerül. Ott gyakran szerződések, személyzeti iratok vagy ügyféladatok vannak. Ha a támadó hozzáférhetett az eszközhöz, tisztáznia kell, hogy érintettek lehetnek-e személyes adatok; ekkor a GDPR szerinti bejelentési kötelezettség állhat fenn. Egyeztessen erről korán az adatvédelmi felelősével, ez nem jogi tanácsadás.

## Hogyan segít konkrétan a PHP SOS?

- **Állomány felvétele:** Önnel együtt felmérjük az összes webes felületű rendszert, a NAS-t, az appliance-eket és a virtuális gépeket is.
- **Az elérhetőség ellenőrzése:** Kívülről ellenőrizzük, mely felületek érhetők el az internetről, és elzárási javaslatokat teszünk. Mélyebb vizsgálatot kínál a [Biztonsági audit penetrációs teszttel](https://phpsos.de/hu/leistungen/sicherheitsaudit-penetrationstest/).
- **A gyártói helyzet követése:** A gyártók biztonsági közleményeit hozzárendeljük az eszközeihez, és megtervezzük a frissítéseket.
- **A gyanú tisztázása:** Ha egy érintett eszköz nyitva állt a hálózaton, mentjük a naplókat, és nyomok után kutatunk.


## Gyakori kérdések

**Érinti a NAS-omat a PHP2Shell?**  
Ezt kötelező érvénnyel csak a gyártó mondhatja meg az Ön modelljére és firmware-ére vonatkozóan. Nézze meg a gyártó biztonsági közleményeit, és azt, hogy üzemeltet-e PHP-weboldalakat magán a NAS-on, például egy webszerver-csomagon keresztül. A tisztázásig a felület ne legyen elérhető az internetről.

**Frissíthetem magam a PHP-t egy NAS-on vagy tűzfalon?**  
Általában nem. A PHP ott a firmware vagy egy gyártói csomag része. A frissítések az eszköz frissítési funkcióján keresztül érkeznek. A firmware-be való kézi beavatkozás veszélyeztetheti a garanciát és a stabilitást.

**Elég, ha a webes felületet csak a helyi hálózaton használom?**  
Jelentősen csökkenti a kockázatot, de nem szünteti meg. Egy már feltört gép ugyanabban a hálózatban továbbra is elérheti a felületet. Jobb egy külön felügyeleti hálózat vagy a hozzáférés kizárólag VPN-en keresztül.

**Honnan tudom, hogy egy eszköz PHP-t használ?**  
Néha elárulja a szerver fejléce vagy a .php végződés a felület címeiben. Ha ilyen jelek hiányoznak, az nem bizonyít semmit. Megbízható a gyártói dokumentáció és a biztonsági közlemények.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [BSI: a német szövetségi információbiztonsági hivatal](https://www.bsi.bund.de/)
- [Synology: a PHP 7.3, 7.4 és 8.0 támogatásának vége](https://www.synology.com/en-global/products/status/eol-php73-php74-php80)
- [Netgate: pfSense Security Advisory SA-24_03 (webes felület)](https://docs.netgate.com/downloads/pfSense-SA-24_03.webgui.asc)