Röviden: A PHP 8.1 PHP2Shell biztonsági résére nincs hivatalos frissítés. A PHP-projekt a 7.4, 8.0 és 8.1 verzióhoz csak minimális forráskód-backportokat ad, kész kiadásokat nem. Aki ezeket a verziókat üzemelteti, a szolgáltatója megerősített backportjára vagy átmeneti intézkedésekre szorul, és most kell megterveznie az átállást egy támogatott verzióra.
Van frissítés a PHP 8.1 biztonsági rése ellen?
A PHP-projekttől nincs. 2026. október 21-én hivatalos javítások csak a támogatott ágakhoz jelentek meg: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP 8.1 és a régebbi verziók már nem kapnak hivatalos frissítést.
Érintettek ennek ellenére. A szakmai sajtó szerint a sebezhető verziók szinte folyamatosan egészen a PHP 5.4-ig nyúlnak vissza. Aki ezek egyikét nyilvánosan elérhetően üzemelteti, annak tehát egy kritikus, CVSS v4.0 9,2 értékű rése van kész javítás nélkül.
Sok vállalkozás számára ez meglepetés, mert az ilyen rendszerek gyakran évek óta stabilan és feltűnés nélkül futnak. Hogy egy verzió már nem kap frissítést, azt a mindennapokban nem veszik észre, amíg fel nem bukkan egy olyan rés, mint a PHP2Shell. A 7.4, 8.0 és 8.1 forráskód-backportjai kivételek, és nem a rendes gondozás újrafelvételét jelentik.
Mit jelentenek a forráskód-backportok
A 7.4, 8.0 és 8.1 verzióhoz minimális forráskód-backportok léteznek. Ezek forráskódbeli javítások, amelyeket átvittek ezekre a régebbi ágakra. Nem hivatalos kiadások verziószámmal, tesztelt csomaggal és changeloggal.
Gyakorlatilag ez azt jelenti: valakinek át kell vennie a backportot, újra kell építenie belőle a PHP-t, tesztelnie és kigördítenie. Ez három úton történhet:
- A disztribúciója átveszi a javítást a csomagjaiba, például hosszú távú gondozás keretében.
- A tárhelyszolgáltatója saját PHP-csomagokat épít, és telepíti a backportot.
- Ön maga vagy egy szolgáltató építi a PHP-t a forrásokból. Ez igényes, és minden további résnél meg kell ismételni.
Hogy a rendszere kapott-e backportot, azt a csomag changelogján ellenőrizheti:
apt changelog php8.1-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # Debian/Ubuntu
rpm -q --changelog php-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # RHEL-család
A csomagnevek disztribúciónként és csomagforrásonként eltérnek. Ha hiányzik a bejegyzés, kérdezze meg a szolgáltatót. Hogyan működik az ellenőrzés részletesen, azt a PHP-verzió és javítási állapot helyes ellenőrzése oldal írja le.
A régi szerver biztosítása a migrációig
Amíg nem fut megerősített backport, a php.net átmeneti intézkedései érvényesek: nem felülírható memory_limit=-1 cgroupon keresztüli memóriahatárral, 8M vagy 32M post_max_size az alatta lévő upload_max_filesize értékkel, és session.upload_progress.enabled=0 a szerverkonfigurációban, majd az összes worker újraindítása. Nem teljes védelem. Részletek az Azonnali intézkedések, ha még nem tud javítani oldalon.
Ehhez jönnek az elérhetőséget csökkentő intézkedések: rendszergazdai területek csak VPN-en vagy engedélyezett IP-címekről, a nem szükséges weboldalak kikapcsolása, a szerverhez való hozzáférések szoros korlátozása. A BSI azt ajánlja, hogy a frissítés nélküli szervereket átmenetileg vegyék le a hálózatról. Egy régi, nehezen migrálható alkalmazásnál egy elszigetelt megoldás őszintébb válasz lehet, mint az üzem a nyílt interneten.
Ha egy PHP 8.1-es vagy régebbi szerver október 17. óta védtelenül volt a hálózaton, vegye komolyan: a BSI gyors, nagy léptékű kihasználással számolt. Mentse a naplókat október 20-tól, és migrálás előtt vizsgáltassa át nyomok szempontjából.
A migráció megtervezése: melyik verzióra?
A cél olyan verzió, amelyet a PHP-projekt támogat, és amelyet az alkalmazása elbír. A PHP 8.2 a 8.2.35-től lezárja a rést, de 2026. 12. 31-én eléri a támogatás végét. Aki most migrál, ezért lehetőleg a 8.3-ra vagy újabbra menjen, amennyiben az alkalmazás ezt megengedi. Az aktuális állapotot a php.net a támogatott verziók oldalán közli.
Hogy a CMS-e vagy webshopja melyik PHP-verziót támogatja, azt a gyártó rendszerkövetelményei szerint ellenőrizze, például a wordpress.org, shopware.com vagy typo3.org oldalon. Gyakran előbb magát az alkalmazást kell frissíteni, mielőtt a PHP-t válthatják. Tipikus eset a régebbi webshopok, amelyeket a Shopware 5 oldalon írunk le. Az elavult verziók következményeinek hátteréről a PHP end of life: az elavult verziók kockázatai oldalon olvashat.
| Lépés | Tartalom |
|---|---|
| Állomány | PHP-verzió, alkalmazás, bővítmények, saját módosítások |
| Követelmények | támogatott PHP-verziók a gyártó szerint |
| Tesztkörnyezet | másolat az új PHP-verzióval, a hibanapló kiértékelése |
| Átállás | tervezett karbantartási időablak, előkészített visszaút |
| Utómunka | az átmeneti értékek ellenőrzése, felügyelet beállítása |
Hogyan segít konkrétan a PHP SOS?
A PHP 8.1 és régebbi migrációjával a régi verziótól egy támogatottig vezetjük Önt:
- Azonnali biztosítás: a backport-állapot ellenőrzése, átmeneti intézkedések beállítása, az elérhetőség csökkentése.
- Nyomok ellenőrzése: a naplók mentése október 20-tól és feltűnő jelek kiértékelése.
- A migráció előkészítése: a kompatibilitás tisztázása a gyártó szerint, tesztkörnyezet felépítése, hibák javítása.
- Átállás és igazolás: az új PHP-verzió telepítése, az összes folyamat újraindítása, az állapot dokumentálása.
Gyakori kérdések
Érinti a PHP2Shell a PHP 8.1-et?
A szakmai sajtó szerint szinte az összes verzió érintett egészen a PHP 5.4-ig visszamenőleg, a PHP 8.1-et is beleértve. A PHP-projekt a 8.1-hez már nem ad ki hivatalos frissítéseket, csak minimális forráskód-backportokat.
Mi az a forráskód-backport?
Egy forráskódbeli javítás, amelyet átvittek egy régebbi verzióágra. Nem kész kiadás: valakinek át kell vennie, újra kell építenie a PHP-t, tesztelnie és kigördítenie. Ezt elvégezheti a disztribúció szolgáltatója, a tárhelyszolgáltatója vagy egy szolgáltató.
Elég átállni a PHP 8.2-re?
Rövid távon a PHP 8.2.35 lezárja a rést. A PHP 8.2 azonban 2026. 12. 31-én éri el a támogatás végét. Aki úgyis migrál, ezért vizsgálja meg, hogy az alkalmazás a gyártó szerint a 8.3-at vagy újabbat is támogatja-e.
A webshopom csak PHP 7.4-gyel fut. Mi most a teendő?
Akkor két dolog szükséges párhuzamosan: a szervert átmeneti intézkedésekkel és elszigeteléssel biztosítani, és az alkalmazást olyan verzióra hozni, amely elbír egy támogatott PHP-verziót. Hogy melyik ez, azt a gyártó rendszerkövetelményei írják le.