# Contao biztonság a PHP2Shell után: weboldalak helyes védelme > Contao biztonság a PHP2Shell után: a web és a Contao Manager PHP-jának ellenőrzése, .env és sablonok átnézése, a backend és a Manager védelme. Forrás: https://phpsos.de/hu/plattformen/contao/ Állapot: 2026. 10. 25. Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6 **Röviden:** A Contao biztonsága a PHP2Shell esetében a szerver PHP-jától függ, nem a Contaótól. Ügyeljen rá, hogy mind a webes PHP, mind a Contao Manager parancssori PHP-ja javítva legyen. Utána ellenőrizze a `.env` fájlt, a saját sablonokat, a `files` mappát, valamint a backend és a Manager hozzáféréseit. ## A Contao és a PHP2Shell: miről van szó A Contao a német nyelvterületen elterjedt CMS, amely a 4-es verzió óta a Symfony keretrendszerre épül. A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül. Magát a PHP-t érintik, tehát minden Contao-telepítést is egy javítatlan szerveren. Sok Contao-weboldal közép-vállalkozások, szövetségek és önkormányzatok tulajdonában van, és ügynökségek gondozzák őket. Tisztázza ezért először, ki felel a PHP-ért: a tárhelyszolgáltató, az ügynökség vagy a saját informatikája. Gyakori tévedés a karbantartási módot érinti. A Contao le tudja zárni a weboldalt a látogatók elől, de ezt a zárat maga a PHP szolgálja ki. Minden kérés tehát továbbra is eléri a PHP-értelmezőt. A PHP2Shell ellen a karbantartási mód ezért nem véd. Ha a BSI (a német Szövetségi Információbiztonsági Hivatal) azt javasolja, hogy a webszervereket a frissítésig le kell választani a hálózatról, az szerver- vagy tárhelyszintű zárat jelent, nem a CMS egyik beállítását. ## A Contao biztonsága két PHP-verzióval kezdődik A Contao kétféle módon használja a PHP-t. A webszerver az oldalmegnyitásokat többnyire PHP-FPM-en át dolgozza fel. A Contao Manager és a Contao-konzol ezenfelül egy parancssori PHP-val dolgozik, például telepítésekhez, frissítésekhez és cron-feladatokhoz. A több PHP-verziót tartalmazó tárhelycsomagokon ez két különböző program is lehet. A Contao Manager a szerverkonfigurációjában mutatja, melyik PHP-programfájlt használja. A webes verziót a tárhelypanelben látja. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a backportok régebbi számot is viselhetnek. Mindkét útnak javítottnak kell lennie, és az összes folyamatot újra kell indítani. Hogy a Contao-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a contao.org oldalon ellenőrizheti. Az ellenőrzésről bővebben a [A PHP-verzió és a javítási állapot helyes ellenőrzése](https://phpsos.de/hu/php2shell/php-version-pruefen/) oldalon. ## Könyvtárak és fájlok a Contaóban | Hely | Tartalom | Ellenőrzési pont | |---|---|---| | `.env`, `.env.local` | adatbázis-hozzáférés, `APP_SECRET` | gyanú esetén megújítani | | `config/config.yaml` | a telepítés konfigurációja | váratlan változások | | `public/` (régebbi verzióknál `web/`) | dokumentumgyökér az `index.php`-vel, a Contao Manager fájljával, assetekkel | további PHP-fájlok | | `files/` | a szerkesztők fájlkezelője | nincs PHP-fájl | | `templates/` | saját sablonok, klasszikusan `.html5` PHP-val | ismeretlen vagy módosított sablonok | | `system/config/localconfig.php` | régebbi beállítások | beszúrt kód | | `var/` | gyorsítótár és naplók | naplók mentése, gyorsítótár újragenerálása | Éppen a `templates/` mappát becsülik alá: a klasszikus, `.html5` végződésű Contao-sablonok PHP-fájlok. Egy saját sablonba beszúrt parancs minden oldalmegnyitásnál lefut, és túléli a Contao-frissítéseket. Veszélytelen első ellenőrzések: ```bash # PHP-fájlok a fájlkezelőben find files -type f -name "*.php" # A 2026. 10. 17. óta módosított sablonok find templates -type f -newermt "2026-10-17" # Az elérhető Contao-parancsok és a függőségek ellenőrzése vendor/bin/contao-console list contao composer audit ``` > **Fontos:** > A Contao Manager csomagokat telepíthet, és így tetszőleges kódot juttathat a szerverre. Gyanú esetén ellenőrizze a felhasználói fiókjait, adjon új jelszavakat, és távolítsa el a volt szolgáltatók hozzáféréseit. ## Backend, Manager és bővítmények A backend a `/contao` alatt található. Ellenőrizze az adminisztrátori jogú felhasználókat és a messzemenő jogokkal rendelkező felhasználói csoportokat, például a fájlkezelőre, a sablonokra vagy a felhasználókezelésre. A Contao beépített kétfaktoros bejelentkezést hoz; használja minden emelt jogú fiókhoz. A bővítményeket a Composeren vagy a Contao Manageren keresztül telepítik. Mindegyik PHP-kódot hoz magával, és a gondozás nélküli régebbi bővítmények fékezik a PHP-frissítéseket. A több weboldalt kiszolgáló szervereken minden telepítésnek külön kell futnia, hogy egy incidens ne terjedjen át a szomszéd oldalakra; erről bővebben az [open_basedir és weboldalankénti elkülönítés](https://phpsos.de/hu/ratgeber/open-basedir/) oldalon. ## Mit tud egy Contao-frissítés, és mit nem Egy Contao-frissítés a Manageren vagy a Composeren át lezárja a Contao és a bővítmények ismert hibáit. A PHP-t nem javítja, és sem a PHP-FPM-et, sem a háttérfolyamatokat nem indítja újra. A saját sablonok, a `files/` mappa fájljai és az idegen felhasználói fiókok változatlanok maradnak. A PHP főverziójának váltása után a gyorsítótárat újra kell generálni, és a weboldalt tesztkörnyezetben ellenőrizni. A sok szerkesztővel rendelkező weboldalaknál a javítás után érdemes megnézni a backend jogait. Aki sablonokat szerkeszthet, PHP-kódot tehet a klasszikus `.html5` sablonokba. Ez a jogosultság csak kevés, műszaki jártasságú ember kezében legyen. Ugyanez érvényes a fájlkezelőhöz való hozzáférésre feltöltési jogokkal a nyilvánosan elérhető mappákba. ## Hogyan segít konkrétan a PHP SOS? - Megállapítjuk a Contao-telepítése web- és CLI-s PHP-ját, és megerősíttetjük a javítást és az újraindítást. - Mentjük a naplókat, a fájlokat és az adatbázist, mielőtt bármit megváltoztatnánk. - Ellenőrizzük a sablonokat, a `files/` mappát, a dokumentumgyökeret, a backend- és Manager-fiókokat. - A PHP-váltást igazolással együtt kérésére a [PHP-javítási szolgáltatásunk](https://phpsos.de/hu/leistungen/php-patch-service/) végzi el, az ügynökségével egyeztetve. ## Gyakori kérdések **Érinti a Contaót a PHP2Shell?** A Contaónak nincs új rése. Ha azonban a weboldal javítatlan PHP-n fut, mint minden PHP-alkalmazás, támadható. Egy Contao-frissítés nem zárja le a PHP-rést. **Miért biztonsági szempontból lényeges a Contao Manager?** A Contao Manager csomagokat telepíthet, frissíthet és távolíthat el. Aki hozzáfér, tetszőleges kódot juttathat be. A hozzáféréshez ezért erős jelszó és kevés jogosult kell. **Tartalmaznak a Contao-sablonok PHP-kódot?** A klasszikus, .html5 végződésű sablonok PHP-sablonok. A templates mappában lévő saját sablonok ezért tartalmazhatnak PHP-t. Az ismeretlen vagy nemrég módosított sablonokat meg kell tudnia magyarázni. ## Források - [php.net: biztonsági közlemények](https://www.php.net/) - [Contao](https://contao.org/) - [Támogatott PHP-verziók](https://www.php.net/supported-versions.php) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)