Röviden: A PHP2Shell PHP-sebezhetőség a 8.2-től 8.5-ig terjedő ágakat érinti a 2026. október 21-i kiadásokig, a szakmai sajtó szerint szinte az összes verziót egészen a PHP 5.4-ig visszamenőleg. Javítva a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verzióban. A PHP 8.1-hez és a régebbiekhez már nincs hivatalos frissítés, csak minimális forráskód-backportok a 7.4, 8.0 és 8.1 verzióhoz.
Mely verziókat érintette a PHP-sebezhetőség?
A PHP2Shell a két rést, a CVE-2026-109618-at és a CVE-2026-109619-et foglalja magában, mindkettőt CVSS v4.0 9,2 értékkel minősítették. Mindkettő kártékony kód távoli futtatását teszi lehetővé bejelentkezés nélkül. 2026. október 21-én 14:00 UTC-kor (német idő szerint 16 órakor) a PHP-projekt javításokat tett közzé az összes támogatott ághoz.
| PHP-ág | Utolsó állapot a javítás előtt | Javítva ettől | Támogatás |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | hivatalosan támogatott |
| 8.4 | 8.4.26 | 8.4.27 | hivatalosan támogatott |
| 8.3 | 8.3.35 | 8.3.36 | hivatalosan támogatott |
| 8.2 | 8.2.34 | 8.2.35 | 2026. 12. 31-én ér véget |
| 8.1, 8.0, 7.4 | minden állapot | nincs hivatalos kiadás | csak minimális forráskód-backportok |
| 7.3-tól 5.4-ig | a szakmai sajtó szerint szinte mind érintett | nincs frissítés | évek óta támogatás nélkül |
A 8.2-től 8.5-ig terjedő adatok a php.net közleményeiből származnak. Az 5.4-ig terjedő verziókra vonatkozó állítás a szakmai sajtóból származik; a régi verziókra nincs teljes hivatalos lista.
Nem műszaki olvasóknak néhány mondatban: ha a szerverén a „Javítva ettől“ oszlopból való vagy magasabb verzió áll, és utána az összes PHP-folyamatot újraindították, a PHP2Shell le van zárva. Ha régebbi szám áll ott, vagy egy backport van a háttérben, amelyet a szolgáltatónak kell megerősítenie, vagy a rés nyitva van. Kétség esetén kérdezze meg az informatikusát vagy a tárhelyszolgáltatóját pontosan erről a három pontról: verzió, backport, újraindítás.
Érintett üzemmódok
A verziószám csak a fele a válasznak. Érintett a PHP webszerveren való üzemeltetésének minden szokásos módja: a PHP-FPM, az Apache mod_php-val, a php-cgi, a FrankenPHP és a LiteSpeed. A PHP-csapat a mod_php esetében értékeli a kockázatot a legmagasabbra, mert ott exploitot mutattak be, még mielőtt az alkalmazáskód egyáltalán futna. Részletek a Miért a mod_php viseli a legnagyobb kockázatot oldalon.
Az alkalmazásból nem adódik védelem: legyen az WordPress, Shopware, TYPO3, Laravel vagy saját fejlesztés, az alkalmazás frissítése nem zárja le a PHP-ban lévő rést.
Backportok: amikor a verziószám megtéveszt
Sok Linux-disztribúció és tárhelyszolgáltató saját csomagokban szállítja a PHP-t. Ahelyett, hogy új upstream verzióra ugranának, a javítást backportként veszik át a meglévő verziójukba. Ennek gyakorlati következménye van: a kijelzett szám régi marad. Példa az aktuális helyzetből a Plesk, amely továbbra is 8.2.34-et mutathat, noha a hiba javítva van.
Ez Önnek azt jelenti: a fenti táblázat a php.net hivatalos kiadásaira érvényes. A disztribúciójából vagy a tárhelyszolgáltatótól származó csomagoknál a csomagállapot és a szolgáltató megerősítése dönt. Hogyan ellenőrizheti mindkettőt, azt a PHP-verzió és javítási állapot helyes ellenőrzése mutatja. A gyorsteszt a parancssorban:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, a csomag neve verziónként és forrásonként eltér
dnf info php-fpm # RHEL-család
A merevlemezen lévő javított verziószám még nem jelenti, hogy az fut is. Csak az összes PHP-folyamat újraindítása után dolgozik a szerver a javított kóddal.
Mi érvényes a PHP 8.1-re és a régebbiekre?
A PHP 8.1-hez, 8.0-hoz és 7.4-hez csak minimális forráskód-backportok léteznek, vagyis olyan forráskódbeli javítások, amelyeket valakinek magának kell átvennie és lefordítania. Hivatalos kiadások nem jelennek meg. Egyes, hosszú távú gondozású disztribúciók beépítenek ilyen javításokat a csomagjaikba; hogy ez az Ön rendszerére érvényes-e, azt csak a csomag changelogja alapján vagy a szolgáltatónál lehet tisztázni.
Hosszabb távon nincs kiút egy támogatott verzió nélkül. Hogy a CMS-e vagy webshopja melyik PHP-verziót bírja el, azt a gyártó rendszerkövetelményei szerint ellenőrizze, például a wordpress.org, shopware.com vagy typo3.org oldalon. Többet erről a PHP 8.1 és régebbi: mi érvényes most oldalon talál.
És a CVE-2026-115560?
Október 23-án a php.net tudnivalót tett közzé egy harmadik résről. Csak szokatlan session-konfigurációnál érvényesül. Javított verzió az október 25-i állás szerint még nincs; a következő rendes hibajavító kiadásig a megoldás session.upload_progress.enabled=0. Verzióslista a teljes advisoryval várható.
Hogyan segít konkrétan a PHP SOS?
- Leltár: Felmérjük a szervereiken lévő összes PHP-verziót, az egyes weboldalakhoz tartozó, könnyen elkerülő másodtelepítéseket is.
- Összevetés: Minden telepítésnél tisztázzuk, hogy hivatalos kiadás, disztribúciós backport vagy semmilyen javítás áll fenn.
- Frissítés igazolással: A PHP-javítási szolgáltatáson keresztül telepítjük a javítást, és újraindítjuk az összes folyamatot.
- Migrációs terv: A hivatalos frissítés nélküli verzióknál a PHP 8.1 és régebbi migrációjával megtervezzük az átállást, és addig biztosítjuk a szervert.
Gyakori kérdések
A PHP 8.3.35 még biztonságos?
Nem, hacsak a szolgáltatója nem telepített backportot. A 8.3.35 a javítás előtti utolsó állapot; a PHP2Shell a 8.3 ágban a 8.3.36-tól javított. A disztribúciós csomagoknál a szám maradhat ugyanaz, noha a hiba javítva van. Ilyenkor a csomag changelogja vagy a szolgáltató megerősítése számít.
Érinti a PHP2Shell a PHP 7.4-et?
A szakmai sajtó szerint szinte az összes verzió érintett egészen a PHP 5.4-ig visszamenőleg. A 7.4, 8.0 és 8.1 verzióhoz csak minimális forráskód-backportok vannak, hivatalos kiadások nincsenek. A támogatott verzióra való átállás a megbízható út.
Miért mutat a Plesk 8.2.34-et, noha javították?
A disztribúciók és a tárhelyszolgáltatók a javításokat részben backportként veszik át a meglévő csomagjaikba. A verziószám ilyenkor ugyanaz marad, a hiba mégis javítva van. Ellenőrizze a csomagállapotot, vagy kérje a szolgáltatótól a javítás megerősítését.
Melyik PHP-verziót válasszam most?
Egy támogatott verziót, amelyet az alkalmazása a gyártó rendszerkövetelményei szerint jóváhagy. A PHP 8.2 2026. 12. 31-én éri el a támogatás végét; aki most úgyis vált, ezt vegye figyelembe.