Röviden: A elterjedt tartalomkezelő rendszerek (CMS) és webshoprendszerek nagy része PHP-ban íródott, köztük a WordPress a WooCommerce-szel, a TYPO3, a Joomla, a Drupal, a Contao, a Shopware, a Magento, illetve az Adobe Commerce és a PrestaShop. Ehhez jönnek az olyan belső alkalmazások, mint a Nextcloud, a Moodle, a MediaWiki és a Matomo. Aki ezek egyikét üzemelteti, azt érintik a PHP-értelmezőben lévő rések, mint a PHP2Shell, függetlenül attól, mennyire naprakész maga a CMS.
Miért fut ennyi weboldal PHP-n
A PHP az 1990-es évek óta webszerverekre szabott, és gyakorlatilag minden tárhelyszolgáltatónál elérhető. Egy PHP-alapú CMS ezért saját szerverinfrastruktúra nélkül is üzemeltethető, ami különösen a kis- és középvállalkozások, az egyesületek és a hatóságok számára volt és ma is vonzó.
Az üzemeltetőknek ez azt jelenti: a weboldal nem csak „WordPress” vagy „Shopware”, hanem több rétegből álló köteg. Lent fut az operációs rendszer, fölötte a webszerver, majd a PHP-értelmező, legfelül pedig a CMS a bővítményekkel. Minden réteg saját frissítéseket igényel. A PHP-ban lévő rés az összes ráépülő rendszert érinti.
Ehhez jönnek a bővítmények: a pluginek, témák, modulok és webshop-interfészek szintén PHP-kódok, gyakran kis szolgáltatóktól. Ugyanazokkal a jogokkal futnak, mint a CMS, és ugyanaz a PHP-futtatókörnyezet hajtja végre őket. Sok bővítménnyel rendelkező CMS-nek ezért nagyobb a támadási felülete, mint egy karcsú telepítésnek, még akkor is, ha a mag naprakész.
Az egyes rendszerek elterjedtségére vonatkozó számokat itt elhagyjuk. Nincs rá olyan forrás, amelyet megbízhatónak és összehasonlíthatónak minősítenénk.
Elterjedt PHP-alapú CMS- és webshoprendszerek
A táblázat ismert rendszereket nevez meg, és azt, amit a gyártók maguk mondanak a műszaki alapjukról. A verziókövetelményeket szándékosan nem említjük, mert minden kiadással változnak.
| Rendszer | Fajta | Megjegyzés a műszaki alapról |
|---|---|---|
| WordPress, WooCommerce | CMS, webshop-bővítmény | PHP-alkalmazás, a követelmények szerint MySQL vagy MariaDB |
| TYPO3 | CMS | a dokumentáció szerint webszervert, PHP-t és SQL-adatbázist igényel |
| Joomla | CMS | PHP MySQL-lel, MariaDB-vel vagy PostgreSQL-lel |
| Drupal | CMS | PHP; a mag bővítményei a core/composer.json fájlban |
| Contao | CMS | a gyártó szerint a Symfony full-stack keretrendszerre épül |
| Craft CMS | CMS | a gyártó a használt eszközök között megnevezi a Yii-t |
| Shopware 6 | webshop | a fejlesztői dokumentáció a bővítményeket Symfony-bundle-ként kezeli |
| Magento Open Source, Adobe Commerce | webshop | PHP és Composer a rendszerkövetelményekben |
| PrestaShop | webshop | PHP saját kompatibilitási táblázattal |
| Nextcloud | fájltárolás | Apache mod_php-val vagy PHP-FPM-mel, Nginx PHP-FPM-mel |
| Moodle | tanulási platform | a dokumentáció szerint PHP-ban fejlesztve |
| MediaWiki, Matomo | wiki, statisztika | PHP a telepítési követelmények szerint |
E rendszerek közül sok belsőleg a PHP-keretrendszerek építőelemeit használja, és a programkönyvtárakat a Composeren keresztül tölti be. A legtöbbhöz saját oldalaink vannak a védelemre vonatkozó tanácsokkal, például a WordPress, a Shopware 6 és a TYPO3.
Hogyan derítem ki, hogy a weboldalam PHP-n fut-e?
Sok vállalkozás nem tudja pontosan, mely rendszerek futnak nála, különösen, ha a weboldalt egy ügynökség építette. Ezek a lépések tisztázzák a helyzetet:
- Leltár létrehozása: Az összes domain, aldomain és belső webes felület felsorolása, a tesztrendszereké és a régi kampányoldalaké is.
- A tárhelyszolgáltató vagy az ügynökség megkérdezése: Melyik rendszer, melyik PHP-verzió, melyik üzemmód (PHP-FPM, mod_php, LiteSpeed)? Kérjen írásbeli választ.
- A tárhelyvezérlő panel megtekintése: A Pleskben, a cPanelben és hasonló felületeken weboldalanként látható a PHP-verzió. Vegye figyelembe, hogy a disztribúció backportjai a kijelzett számot nem változtatják meg.
- Ellenőrzés a szerveren: Az adminisztrátorok a folyamatokról és a webszerver konfigurációjáról látják, melyik PHP-futtatókörnyezet szolgáltat ténylegesen.
- Ne feledkezzen meg az eszközökről: A NAS-rendszereknek, routereknek és berendezéseknek gyakran van webes felületük, amely szintén futhat PHP-n.
# A szerveren: mely PHP-folyamatok futnak?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
A rendszerkövetelményeket komolyan kell venni
Minden gyártó közzéteszi, mely PHP-verziókkal tesztelték a szoftverét. Ezek az adatok minden frissítési terv alapjai: egy olyan PHP-verzióra való frissítés, amelyet a CMS még nem támogat, megbéníthatja a weboldalt. Egy olyan CMS, amely csak biztonsági frissítések nélküli PHP-verzióval fut, tartós kockázat.
Ellenőrizze ezért a gyártó rendszerkövetelményei szerint az Ön pontos verziójára, mely PHP-verziók jönnek szóba, és vesse össze a javított PHP-verziókkal. Azokhoz a rendszerekhez, amelyek csak PHP 8.1-gyel vagy régebbivel futnak, a PHP-projekt már nem ad hivatalos frissítést.
Mit jelent a PHP2Shell a CMS- és webshop-üzemeltetők számára
A PHP2Shell a PHP-értelmezőben lévő CVE-2026-109618 és CVE-2026-109619 résekből áll, mindkettő CVSS 9,2 pontos. Bejelentkezés nélkül lehetővé teszik kártékony kód végrehajtását. A PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verzióban javították őket. A CMS-frissítés nem zárja be ezeket a réseket; hogy miért, azt a Miért nem segít a WordPress-frissítés a PHP2Shell ellen cikkünk magyarázza.
A webshopoknál ez különösen súlyos, mert ott vannak az ügyféladatok, a rendelések, valamint a fizetési és szállítási szolgáltatások hozzáférési adatai. Egy javítás emellett nem távolítja el azt a kártevőt, amelyet előtte juttattak be, és nem bizonyítja, hogy semmi sem történt.
Hogyan segít konkrétan a PHP SOS?
- Leltárt készítünk a PHP-alapú weboldalairól és belső alkalmazásairól a rendszerrel, a PHP-verzióval és az üzemmóddal.
- Összevetjük a gyártói követelményeket a javított PHP-verziókkal, és rendszerenként megtervezzük a frissítést.
- Telepítjük a PHP-frissítéseket, újraindítjuk az összes folyamatot, majd ellenőrizzük, hogy a CMS és a webshop helyesen fut-e.
- Incidens gyanúja esetén a PHP2Shell azonnali segítség keretében megvizsgáljuk a rendszert.
Gyakori kérdések
A WordPress PHP-n fut?
Igen. A WordPress PHP-alkalmazás, és a hivatalos követelmények szerint PHP-t, valamint MySQL- vagy MariaDB-adatbázist igényel. A PHP-értelmezőben lévő rések ezért minden WordPress-telepítést érintenek, a WordPress saját állapotától függetlenül.
Segít a CMS-frissítés a PHP2Shell ellen?
Nem. A rés a PHP-ban van, nem a CMS-ben. A drweb.de szerint a WordPress.org ezért saját frissítést sem tervez ellene. Csak egy javított PHP-verzió és az összes PHP-folyamat újraindítása zárja be.
Honnan tudom meg, melyik PHP-verzióra van szüksége a webshopomnak?
A gyártó rendszerkövetelményeiből az Ön konkrét verziójára. Ezek az adatok minden nagyobb kiadással változnak, ezért közvetlenül a gyártónál olvassa el őket, és ne régebbi útmutatókból vegye át.
A belső alkalmazásokat is érinti?
Igen, ha PHP-n futnak. A fájltárolók, például a Nextcloud, a tanulási platformok, például a Moodle, a MediaWikivel működő belső wikik vagy a statisztikához használt Matomo PHP-alkalmazások. Az állományfelméréseknél gyakran megfeledkeznek róluk.
Ha egy weboldal címében nincs .php, akkor nem PHP?
Nem feltétlenül. A modern rendszerek az összes címet egy központi index.php-n keresztül vezetik, így az URL-ben soha nem jelenik meg a .php. Csak a szerverre pillantás vagy a tárhelyszolgáltató, illetve az ügynökség tájékoztatása biztos.