# Mit ajánl a BSI a PHP2Shell esetében

> BSI-figyelmeztetés a PHP-ról: mit jelent a 3-as figyelmeztetési szint (narancs) a PHP2Shellnél, mit ajánl a BSI, és hogyan hajthatja végre ezt a webszervereinél.

Forrás: https://phpsos.de/hu/compliance/bsi-empfehlungen/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A BSI (a német Szövetségi Információbiztonsági Hivatal) a PHP2Shellre 3-as figyelmeztetési szintet (narancs) hirdetett ki. Az ajánlás egyértelmű: a PHP-t azonnal frissíteni kell, és ha ez nem azonnal lehetséges, az érintett webszervereket ideiglenesen le kell venni a hálózatról. A BSI gyors, nagy léptékű kihasználással számolt; széles körű, megerősített sikeres támadások eleinte nem voltak ismertek.

## A BSI PHP-figyelmeztetése dióhéjban

A Bundesamt für Sicherheit in der Informationstechnik (BSI, német Szövetségi Információbiztonsági Hivatal) a kiberbiztonság központi szakhatósága Németországban. A PHP2Shellről 3-as szintű (narancs) figyelmeztetést tett közzé. Az ok két kritikus rés magában a PHP-ban: a CVE-2026-109618 és a CVE-2026-109619, mindkettő CVSS v4.0 9,2 értékű. Lehetővé teszik a támadóknak, hogy bejelentkezés nélkül kártékony kódot futtassanak a szerveren.

A figyelmeztetés fő megállapításai így foglalhatók össze:

| Megállapítás | Jelentés az üzemeltetőnek |
|---|---|
| 3-as figyelmeztetési szint / narancs | komoly helyzet, cselekvés szükséges |
| Azonnali frissítés ajánlott | a javított PHP-verziókat telepíteni |
| Egyébként ideiglenesen le a hálózatról | az elérhetőséget alárendelni a védelemnek |
| Gyors, nagy léptékű kihasználás várható | nem várni az első kárjelentésekre |
| Széles körű sikeres támadások eleinte nem megerősítettek | nem ok a riadómentesítésre |

Az aktuális változatot a BSI weboldalán találja.

## Mit jelent a gyakorlatban az „azonnal frissíteni”

A PHP-projekt 2026. október 21-én 14:00 UTC-kor (német idő szerint 16 órakor) kiadta a javított verziókat: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP 8.1-hez és a régebbiekhez már nincs hivatalos frissítés, csupán minimális forráskód-backportok a 7.4, 8.0 és 8.1 verzióhoz.

Egy frissítés csak akkor hatásos, ha az összes PHP-folyamatot újraindították. Az új fájlok önmagukban nem elegendők, amíg régi workerek futnak a memóriában. Emellett érvényes: a disztribúciók és a tárhelyszolgáltatók a javításokat részben backportként telepítik. Ilyenkor például a Plesk továbbra is 8.2.34-et mutat, noha javítva van. A csomagállapot és a szolgáltató megerősítése a döntő. És egy CMS-frissítés, például a WordPressé, nem zárja be a PHP-rést.

## Ha a frissítés nem lehetséges azonnal

Erre az esetre a BSI azt ajánlja, hogy a webszervereket ideiglenesen vegyék le a hálózatról. Ez kemény intézkedés, de egyértelmű. Sok vállalkozásnak egy tervezett, néhány órás kiesés kevésbé árt, mint egy adatkiáramlással járó betörés.

A php.net emellett átmeneti intézkedéseket nevez meg, amelyek csökkentik a kockázatot, de kifejezetten nem nyújtanak teljes védelmet. Ide tartozik a `session.upload_progress.enabled=0` a szerverkonfigurációban, korlátozott `post_max_size` értékek, konténerek vagy cgroupok útján történő memóriakorlátok, és a PHP 8.5-ön a `fatal_error_backtraces=0`, mindegyik az összes worker ezt követő újraindításával. A részleteket a következő oldal tartalmazza: [Azonnali intézkedések javítás nélkül](https://phpsos.de/hu/php2shell/sofortmassnahmen-ohne-patch/).

> **Azonnal cselekedjen:**
> Ha egy nyilvánosan elérhető webszerver még javítatlan PHP-vel és átmeneti intézkedések nélkül fut, a BSI ajánlásából az következik: a szervert le kell venni a hálózatról, amíg a frissítést nem telepítették, és az összes folyamatot nem indították újra.

## A helyzet besorolása

A BSI nincs egyedül az értékelésével. A Cloudflare megfigyelt támadási kísérletekről számolt be, és védelmi szabályokat vezetett be, de figyelmeztet, hogy a kéradatok alapján működő szabályok önmagukban nem elegendők. A Palo Alto Networks (Unit 42) több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt. Médiabeszámolók szerint az első támadási kísérletet már 2026. október 17-én megfigyelték, vagyis a javítások közzététele előtt.

Az üzemeltetők számára ebből józan értékelés adódik: aki mostanáig nem javított, annak nem csak javítania kell, hanem azt is ellenőriznie, hogy történt-e már valami. A javítás nem távolítja el a bejuttatott kártevőt. Közzétett, megerősített Indicators of Compromise nincsenek; az észlelés viselkedéselemzésen alapul. A szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. október 20-tól őrizzék meg. A kereséshez útmutatás a következő oldalon van: [Már megtámadták?](https://phpsos.de/hu/php2shell/bin-ich-gehackt-anzeichen/).

## Mit jelent az ajánlás a felelősöknek

A BSI-figyelmeztetés nem törvény. Az illetékes szakhatóság értékelése azonban, és a döntések későbbi megítélésénél szerepet játszhat, például biztosítók vagy ellenőrök részéről. Az ügyvezetéseknek ezért dokumentálniuk kell, mikor szereztek tudomást a figyelmeztetésről, hogyan értékelték a saját rendszereiket, és milyen intézkedéseket hoztak. Általános tudnivalók erről a következő oldalon vannak: [Az ügyvezetés felelőssége](https://phpsos.de/hu/compliance/geschaeftsfuehrer-haftung/); ez nem jogi tanácsadás.

A gyakorlatban ajánlott a figyelmeztetést nem csak egyszer elolvasni. A BSI frissíti a közleményeit, ha a helyzet változik, például a kihasználásra vagy további résekre vonatkozó új megállapítások esetén. 2026. október 23. óta ezenkívül van egy php.net-tájékoztatás a CVE-2026-115560-ról, amely csak szokatlan konfigurációkat érint, és szintén a `session.upload_progress.enabled=0` beállítással enyhíthető. Nevezzen meg egy személyt, aki a helyzet lezárultáig naponta ellenőrzi a BSI-t és a php.net-et, és a változásokat továbbadja a műszaki területnek és a vezetésnek. Így nem keletkezik tudáskülönbség azok között, akik döntenek, és akik megvalósítják.

## Hogyan segít konkrétan a PHP SOS?

- Összevetjük a webszervereit a BSI ajánlásával: verzió, csomagállapot, újraindítás, elérhetőség.
- A [PHP2Shell azonnali segítség](https://phpsos.de/hu/leistungen/php2shell-soforthilfe/) keretében javítunk, újraindítjuk az összes folyamatot, és igazolást adunk.
- Ahol a frissítés nem azonnal lehetséges, átmeneti intézkedéseket állítunk be, és szükség esetén statikus pótoldalt biztosítunk.
- Mentjük a naplókat és nyomokat keresünk, hogy a javítás után megbízhatóan értékelhesse a helyzetet.


## Gyakori kérdések

**Mit jelent a BSI 3-as figyelmeztetési szintje (narancs)?**  
A szín megnövekedett, komoly fenyegetettségi helyzetet ír le cselekvési kényszerrel. A PHP2Shellnél a BSI ezt a rések kritikusságával és a várt gyors kihasználással indokolja. A szintek pontos meghatározását a BSI weboldalán találja.

**Követnem kell a BSI ajánlását?**  
A BSI figyelmeztetése ajánlás, nem törvény. Ugyanakkor az illetékes szakhatóság súlyos értékelése, amelyhez a biztosítók, az ellenőrök és a bíróságok igazodhatnak. Aki eltér tőle, dokumentálja az okokat. Ez nem jogi tanácsadás.

**Voltak a BSI szerint már sikeres támadások?**  
Széles körű, megerősített sikeres támadások a BSI szerint eleinte nem voltak ismertek. A BSI azonban gyors, nagy léptékű kihasználással számolt. Más szervezetek már támadási kísérleteket jelentettek.

**Hol találom a figyelmeztetés aktuális változatát?**  
A BSI weboldalán az aktuális biztonsági figyelmeztetések között. A helyzet változhat; ott és a php.net oldalán rendszeresen ellenőrizze a legfrissebb állapotot.

## Források

- [BSI](https://www.bsi.bund.de/)
- [php.net: biztonsági közlemények](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [TechTarget: PHP2Shell](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)