Röviden: Aki PHP-frissítést akar telepíttetni, annak nem elég az új csomag: a helyes csomagállapot, az összes PHP-folyamat újraindítása és ennek igazolása a döntő. Pontosan ezt nyújtja a PHP-javítási szolgáltatásunk. Szerverenként írásos igazolást kap, amelyet belsőleg vagy harmadik felek előtt bemutathat.
Miért nem elég gyakran önmagában a PHP-frissítés
-
-
- óta léteznek javítások a PHP2Shell rések, a CVE-2026-109618 és a CVE-2026-109619 ellen. A BSI (a német Szövetségi Információbiztonsági Hivatal) azonnali frissítést ajánl. A gyakorlatban három tipikus buktatót látunk.
-
Először: a verziószám nem mindig mutatja a valódi állapotot. A disztribúciók és a tárhelyszolgáltatók időnként backportokat telepítenek; ilyenkor a Plesk például továbbra is 8.2.34-et jelez, noha a csomagállapot javított. Másodszor: a telepítés után gyakran tovább futnak a régi PHP-folyamatok. A lemezen lévő új fájlok nem védenek, amíg a régi workerek a memóriában dolgoznak. Harmadszor: egy szerveren gyakran több PHP-verzió fut egyszerre, és az egyiket elfelejtik.
PHP-frissítés telepíttetése: a javított verziók
| Ág | Javítva ettől | Előző állapot | Megjegyzés |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.11 | emellett ellenőrizendő a fatal_error_backtraces |
| PHP 8.4 | 8.4.27 | 8.4.26 | |
| PHP 8.3 | 8.3.36 | 8.3.35 | |
| PHP 8.2 | 8.2.35 | 8.2.34 | a támogatás 2026. 12. 31-én ér véget |
| PHP 8.1 és régebbi | nincs hivatalos frissítés | – | csak minimális forráskód-backportok a 7.4, 8.0, 8.1 verzióhoz |
A disztribúciókból vagy tárhelyszolgáltatóktól származó csomagoknál nem a „PHP“ mögötti szám számít, hanem az a csomagállapot, amelyet a szolgáltató javítottként igazol. Hogyan ellenőrizheti ezt maga, azt a PHP-verzió és javítási állapot helyes ellenőrzése oldal írja le.
Hogyan segít konkrétan a PHP SOS?
- Leltár: Felmérjük a szerveren lévő összes PHP-telepítést, az üzemmódot (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed), és hogy melyik weboldal melyik verziót használja.
- Frissítés telepítése: A javított verziókat a disztribúciója, a panele vagy a hivatalos projekt csomagforrásából telepítjük. Konténereknél Önnel együtt új image-eket építünk.
- Az összes folyamat újraindítása: A PHP-FPM-et, az Apache-ot, a LiteSpedet vagy az adott workereket teljesen újraindítjuk, és ellenőrizzük, hogy egyetlen folyamat sem régebbi a frissítésnél. A háttér a PHP-FPM és az összes worker újraindítása oldalon olvasható.
- Működésellenőrzés: Megnyitjuk a legfontosabb oldalakat és funkciókat, például a nyitóoldalt, a bejelentkezést, az űrlapokat és a pénztárat, és átnézzük a hibanaplókat.
- Igazolás: Szerverenként jegyzőkönyvet kap a verzióval, a csomagállapottal, az újraindítás időpontjával és a nyitott pontokkal.
Egy tipikus ellenőrző lépés az újraindítás után így néz ki:
# a PHP-CLI és az FPM bináris verziója (az útvonal rendszertől függ)
php -v
php-fpm8.3 -v
# az FPM-folyamatok indulási ideje: a frissítés utánra kell esnie
ps -o pid,lstart,cmd -C php-fpm8.3
Különleges esetek: panelek, konténerek és több PHP-verzió
Plesk vagy cPanel szervereken a PHP-verziók gyakran a panel csomagforrásaiból származnak, nem a disztribúcióból. Ott minden telepített verziót külön ellenőrzünk, azokat is, amelyek éppen nincsenek weboldalhoz rendelve. A használaton kívüli, elavult verziókat egyeztetés után eltávolítjuk, hogy véletlenül se lehessen őket újra aktiválni.
Docker- és Kubernetes-környezetekben nem elég a hoszton végzett frissítés. A PHP az image-ben van, és a rést csak egy újonnan épített, javított alapállapotú image zárja le, amelyet az összes futó konténerre kigördítenek. Közben azt is ellenőrizzük, hogy a registryben vagy a deploymentekben nem használnak-e még régebbi image-eket. A részletek a PHP javítása Docker-konténerekben oldalon vannak.
A mod_php esetében a PHP közvetlenül az Apache-folyamatban fut. A PHP-csapat ott értékeli a kockázatot a legmagasabbra. A frissítés után ezért magát az Apache-ot kell teljesen újraindítani, a konfiguráció puszta újratöltése nem minden esetben elég.
Mit kap tőlünk
- szerverenkénti javítási jegyzőkönyv: telepített csomagok, verziók, forrás, időpont
- igazolás arról, hogy minden PHP-folyamatot újraindítottak
- az ellenőrzött weboldalak és funkciók listája
- tájékoztatás azokról a rendszerekről, amelyeket nem lehetett javítani, indoklással
- javaslat a további útra, például a PHP 8.2 esetében a közeli támogatási vég miatt
Mire van szükségünk Öntől
- Hozzáférés: SSH rendszergazdai jogokkal vagy panel-hozzáférés (Plesk, cPanel stb.)
- Karbantartási időablak: mikor végezhető rövid újraindítás
- Kapcsolattartó: kérdések esetén és a működésellenőrzés utáni jóváhagyáshoz
- Mentések: megerősítés arról, hogy van aktuális mentés, vagy megbízás arra, hogy előtte készítsünk egyet
- Megjegyzések saját fejlesztésekhez: különleges PHP-bővítmények vagy konfigurációk, amelyeket figyelembe kell venni
Saját szerverhozzáférés nélküli megosztott tárhelynél nem tudunk magunk javítani. Ilyenkor segítünk Önnek a megfelelő kérdéseket feltenni a tárhelyszolgáltatónak, és értékelni a választ.
Amit nem ígérünk
A javítási szolgáltatás lezárja az ismert rést. Nem válaszolja meg, hogy a szervert a frissítés előtt már feltörték-e, és nem távolít el bejuttatott kártékony szoftvert. Ha ezt tudni szeretné, a nyomkereséssel együtt a PHP2Shell azonnali segítség a megfelelő megbízás.
A PHP 8.1 és régebbi verziókhoz már nincs hivatalos frissítés. Itt átmeneti intézkedéseket hajtunk végre, és az átállást egy támogatott verzióra javasoljuk. A CMS-ével való kompatibilitásról nem emlékezetből adunk ígéretet, hanem a gyártó rendszerkövetelményei alapján ellenőrizzük.
Gyakori kérdések
Miért mutat a szerverem a frissítés után is régi PHP-verziót?
Ennek két oka lehet. Vagy a disztribúció backportot telepített, ilyenkor a verziószám ugyanaz marad, noha a csomagállapot javított. Vagy régi PHP-folyamatok még a memóriában futnak, és újra kell indítani őket.
Mely PHP-verziók zárják le a PHP2Shell rést?
A rést a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verzióban javították, 2026. 10. 21-én kiadva. A disztribúciós csomagoknál az a csomagállapot számít, amelyet a szolgáltató javítottként igazol.
Megbéníthatja a frissítés a weboldalamat?
Az ugyanazon főverzión belüli frissítés, például a 8.3.35-ről 8.3.36-ra, általában nem kritikus. A PHP-folyamatok rövid újraindítása azonban szükséges. Az időablakot egyeztetjük Önnel, és utána ellenőrizzük az oldalakat.
A javítással minden el van intézve?
Magára a résre igen, amint minden folyamatot újraindítottak. Hogy a javítás előtt bejutott-e már valaki, azt a javítás nem mutatja meg. Ehhez külön vizsgálat kell.