Röviden: A BSI (a német Szövetségi Információbiztonsági Hivatal) a PHP2Shellre 3-as figyelmeztetési szintet (narancs) hirdetett ki. Az ajánlás egyértelmű: a PHP-t azonnal frissíteni kell, és ha ez nem azonnal lehetséges, az érintett webszervereket ideiglenesen le kell venni a hálózatról. A BSI gyors, nagy léptékű kihasználással számolt; széles körű, megerősített sikeres támadások eleinte nem voltak ismertek.
A BSI PHP-figyelmeztetése dióhéjban
A Bundesamt für Sicherheit in der Informationstechnik (BSI, német Szövetségi Információbiztonsági Hivatal) a kiberbiztonság központi szakhatósága Németországban. A PHP2Shellről 3-as szintű (narancs) figyelmeztetést tett közzé. Az ok két kritikus rés magában a PHP-ban: a CVE-2026-109618 és a CVE-2026-109619, mindkettő CVSS v4.0 9,2 értékű. Lehetővé teszik a támadóknak, hogy bejelentkezés nélkül kártékony kódot futtassanak a szerveren.
A figyelmeztetés fő megállapításai így foglalhatók össze:
| Megállapítás | Jelentés az üzemeltetőnek |
|---|---|
| 3-as figyelmeztetési szint / narancs | komoly helyzet, cselekvés szükséges |
| Azonnali frissítés ajánlott | a javított PHP-verziókat telepíteni |
| Egyébként ideiglenesen le a hálózatról | az elérhetőséget alárendelni a védelemnek |
| Gyors, nagy léptékű kihasználás várható | nem várni az első kárjelentésekre |
| Széles körű sikeres támadások eleinte nem megerősítettek | nem ok a riadómentesítésre |
Az aktuális változatot a BSI weboldalán találja.
Mit jelent a gyakorlatban az „azonnal frissíteni”
A PHP-projekt 2026. október 21-én 14:00 UTC-kor (német idő szerint 16 órakor) kiadta a javított verziókat: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP 8.1-hez és a régebbiekhez már nincs hivatalos frissítés, csupán minimális forráskód-backportok a 7.4, 8.0 és 8.1 verzióhoz.
Egy frissítés csak akkor hatásos, ha az összes PHP-folyamatot újraindították. Az új fájlok önmagukban nem elegendők, amíg régi workerek futnak a memóriában. Emellett érvényes: a disztribúciók és a tárhelyszolgáltatók a javításokat részben backportként telepítik. Ilyenkor például a Plesk továbbra is 8.2.34-et mutat, noha javítva van. A csomagállapot és a szolgáltató megerősítése a döntő. És egy CMS-frissítés, például a WordPressé, nem zárja be a PHP-rést.
Ha a frissítés nem lehetséges azonnal
Erre az esetre a BSI azt ajánlja, hogy a webszervereket ideiglenesen vegyék le a hálózatról. Ez kemény intézkedés, de egyértelmű. Sok vállalkozásnak egy tervezett, néhány órás kiesés kevésbé árt, mint egy adatkiáramlással járó betörés.
A php.net emellett átmeneti intézkedéseket nevez meg, amelyek csökkentik a kockázatot, de kifejezetten nem nyújtanak teljes védelmet. Ide tartozik a session.upload_progress.enabled=0 a szerverkonfigurációban, korlátozott post_max_size értékek, konténerek vagy cgroupok útján történő memóriakorlátok, és a PHP 8.5-ön a fatal_error_backtraces=0, mindegyik az összes worker ezt követő újraindításával. A részleteket a következő oldal tartalmazza: Azonnali intézkedések javítás nélkül.
Ha egy nyilvánosan elérhető webszerver még javítatlan PHP-vel és átmeneti intézkedések nélkül fut, a BSI ajánlásából az következik: a szervert le kell venni a hálózatról, amíg a frissítést nem telepítették, és az összes folyamatot nem indították újra.
A helyzet besorolása
A BSI nincs egyedül az értékelésével. A Cloudflare megfigyelt támadási kísérletekről számolt be, és védelmi szabályokat vezetett be, de figyelmeztet, hogy a kéradatok alapján működő szabályok önmagukban nem elegendők. A Palo Alto Networks (Unit 42) több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt. Médiabeszámolók szerint az első támadási kísérletet már 2026. október 17-én megfigyelték, vagyis a javítások közzététele előtt.
Az üzemeltetők számára ebből józan értékelés adódik: aki mostanáig nem javított, annak nem csak javítania kell, hanem azt is ellenőriznie, hogy történt-e már valami. A javítás nem távolítja el a bejuttatott kártevőt. Közzétett, megerősített Indicators of Compromise nincsenek; az észlelés viselkedéselemzésen alapul. A szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. október 20-tól őrizzék meg. A kereséshez útmutatás a következő oldalon van: Már megtámadták?.
Mit jelent az ajánlás a felelősöknek
A BSI-figyelmeztetés nem törvény. Az illetékes szakhatóság értékelése azonban, és a döntések későbbi megítélésénél szerepet játszhat, például biztosítók vagy ellenőrök részéről. Az ügyvezetéseknek ezért dokumentálniuk kell, mikor szereztek tudomást a figyelmeztetésről, hogyan értékelték a saját rendszereiket, és milyen intézkedéseket hoztak. Általános tudnivalók erről a következő oldalon vannak: Az ügyvezetés felelőssége; ez nem jogi tanácsadás.
A gyakorlatban ajánlott a figyelmeztetést nem csak egyszer elolvasni. A BSI frissíti a közleményeit, ha a helyzet változik, például a kihasználásra vagy további résekre vonatkozó új megállapítások esetén. 2026. október 23. óta ezenkívül van egy php.net-tájékoztatás a CVE-2026-115560-ról, amely csak szokatlan konfigurációkat érint, és szintén a session.upload_progress.enabled=0 beállítással enyhíthető. Nevezzen meg egy személyt, aki a helyzet lezárultáig naponta ellenőrzi a BSI-t és a php.net-et, és a változásokat továbbadja a műszaki területnek és a vezetésnek. Így nem keletkezik tudáskülönbség azok között, akik döntenek, és akik megvalósítják.
Hogyan segít konkrétan a PHP SOS?
- Összevetjük a webszervereit a BSI ajánlásával: verzió, csomagállapot, újraindítás, elérhetőség.
- A PHP2Shell azonnali segítség keretében javítunk, újraindítjuk az összes folyamatot, és igazolást adunk.
- Ahol a frissítés nem azonnal lehetséges, átmeneti intézkedéseket állítunk be, és szükség esetén statikus pótoldalt biztosítunk.
- Mentjük a naplókat és nyomokat keresünk, hogy a javítás után megbízhatóan értékelhesse a helyzetet.
Gyakori kérdések
Mit jelent a BSI 3-as figyelmeztetési szintje (narancs)?
A szín megnövekedett, komoly fenyegetettségi helyzetet ír le cselekvési kényszerrel. A PHP2Shellnél a BSI ezt a rések kritikusságával és a várt gyors kihasználással indokolja. A szintek pontos meghatározását a BSI weboldalán találja.
Követnem kell a BSI ajánlását?
A BSI figyelmeztetése ajánlás, nem törvény. Ugyanakkor az illetékes szakhatóság súlyos értékelése, amelyhez a biztosítók, az ellenőrök és a bíróságok igazodhatnak. Aki eltér tőle, dokumentálja az okokat. Ez nem jogi tanácsadás.
Voltak a BSI szerint már sikeres támadások?
Széles körű, megerősített sikeres támadások a BSI szerint eleinte nem voltak ismertek. A BSI azonban gyors, nagy léptékű kihasználással számolt. Más szervezetek már támadási kísérleteket jelentettek.
Hol találom a figyelmeztetés aktuális változatát?
A BSI weboldalán az aktuális biztonsági figyelmeztetések között. A helyzet változhat; ott és a php.net oldalán rendszeresen ellenőrizze a legfrissebb állapotot.