Röviden: A MediaWiki biztonsága a PHP2Shell után a szerver PHP-jánál kezdődik, mert a rés ott van, nem a wikiben. A belső wikikhez gyakran évekig nem nyúlnak, és régi PHP-verziókon futnak. Ellenőrizze az állapotot a Special:Version oldalon, javítson és indítson újra, majd vizsgálja át a LocalSettings.php fájlt, az images mappát és az interfész-adminisztrátorokat.
Miért jó célpontok a belső wikik
A MediaWiki sok vállalkozásnál, hatóságnál és kutatóintézetnél szolgál belső kézikönyvként. Ott állnak a folyamatok, a kapcsolattartók, a hálózati tervek, a szerverek útmutatói, és néha olyan hozzáférési adatok is, amelyeknek nem ott a helyük. Egy támadó számára egy ilyen wiki a vállalkozás térképe.
A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül. Egy „csak belsőnek” szánt, de az interneten át elérhető wiki így közvetlenül támadható. És mivel a wikik ritkán állnak az informatika fókuszában, gyakran régi szervereken futnak, sokszor még a PHP-val mint Apache-modullal, azzal az üzemmóddal, amely a PHP-csapat szerint a legmagasabb kockázatú.
MediaWiki biztonság: a PHP-verzió és a javítási állapot ellenőrzése
A Special:Version oldal megmutatja a MediaWiki, a PHP és az adatbázis verzióját, valamint az összes telepített bővítményt és skint. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Sok wiki-szerver backportokat használó Linux-disztribúciókon fut; a megjelenített szám ilyenkor ugyanaz marad, noha a javítás megtörtént.
Ha a wiki PHP 8.1-en vagy régebbin fut, a PHP-projekttől már nincsenek hivatalos frissítések, csak minimális forráskód-backportok a 7.4, 8.0 és 8.1 esetében. Hogy ilyenkor mi érvényes, azt a PHP 8.1 és régebbi oldal foglalja össze. Hogy a MediaWiki-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a mediawiki.org oldalon ellenőrizheti. Egy PHP-váltás MediaWiki-frissítést is feltételezhet.
A karbantartó szkriptek és a job runnerek a parancssori PHP-n át futnak. Ennek a verziónak is javítottnak kell lennie. Ha a job-sor tartósan futó szolgáltatásként működik, azt a frissítés után ugyanúgy újra kell indítani, mint a webszervert vagy a PHP-FPM-et. A mod_php esetében ez magának az Apache-nak az újraindítását jelenti, mert a PHP ott a webszerver-folyamatban van.
Tisztázza azt is, kié a wiki. A belső wikiket gyakran egy szakosztály állította fel, és a szokásos szervergondozáson kívül futnak. Egyértelmű felelősség nélkül a PHP-frissítés ott marad a legtovább.
Könyvtárak és fájlok a MediaWikiben
| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
LocalSettings.php |
adatbázis-hozzáférés, $wgSecretKey, $wgUpgradeKey, jogok, feltöltési beállítások |
beszúrt kód, gyanú esetén a kulcsok megújítása |
images/ |
feltöltött fájlok és előnézeti képek | nincs PHP-fájl, nincs PHP-futtatás |
extensions/, skins/ |
bővítmények és dizájnok | ismeretlen vagy módosított fájlok |
cache/ |
gyorsítótár | tisztítás után kiüríteni |
maintenance/ |
karbantartó szkriptek a parancssorhoz | ne használja a weben át |
A feltöltési könyvtárban a webszerver szintjén nem szabad szkripteket futtatni. Apache alatt ez a PHP üzemmódjától függetlenül így megy:
<Directory "/var/www/wiki/images">
<FilesMatch "\.(php|phtml|phar)$">
Require all denied
</FilesMatch>
</Directory>
Egy veszélytelen első ellenőrzés:
find images -type f -name "*.php*"
ls -l LocalSettings.php
Ellenőrizze a MediaWiki:Common.js és a MediaWiki:Common.css oldalak laptörténetét. Az ottani változtatások a wiki minden látogatójára hatnak, és a bejuttatott kód tipikus helyei.
Jogok, csoportok és bővítmények
A MediaWikiben a felhasználói csoportok döntenek a biztonságról. A Special:ListUsers és a Special:UserRights alatt ellenőrizze, ki tartozik az adminisztrátorok, a bürokraták és az interfész-adminisztrátorok csoportjába. Az interfész-adminisztrátorok a teljes wiki JavaScriptjét módosíthatják; ennek a csoportnak nagyon kicsinek kell lennie.
Egy belső wikinél az olvasást bejelentkezés nélkül ki kell kapcsolni, az új fiókok regisztrációját pedig le kell zárni. Feltöltést csak azokra a fájltípusokra engedélyezzen, amelyekre valóban szükség van. A bővítmények saját PHP-kódot hoznak; a gondozás nélküli bővítmények ezenfelül minden frissítést fékeznek. A szerveren lévő fájljogokhoz a Fájljogok a webszerveren útmutató nyújt tájékozódást.
Mit tud egy MediaWiki-frissítés, és mit nem
Egy MediaWiki-frissítés lecseréli a magot, és lezárja az abban lévő ismert hibákat. A PHP-t nem javítja, PHP-folyamatokat nem indít újra, a LocalSettings.php fájlon nem változtat, és sem az images/ mappa fájljait, sem a MediaWiki:Common.js módosításait, sem a további csoporttagokat nem távolítja el. Azt sem bizonyítja, hogy a javítás előtt senki nem olvasott bele.
Gyors áttekintést adnak ezenfelül a naplók a Special:Log alatt. Az új felhasználói fiókok, a csoportjogok változásai és az interfész-oldalak szerkesztései 2026. 10. 17. óta időponttal vannak ott feljegyezve.
Hogyan segít konkrétan a PHP SOS?
- Ellenőrizzük a wiki-szervere PHP-verzióját, üzemmódját és backport-állapotát, és megerősíttetjük az újraindítást.
- Mentjük a naplókat 2026. 10. 20-tól, az adatbázist és a fájlokat.
- Ellenőrizzük a
LocalSettings.phpfájlt, a feltöltéseket, a bővítményeket, a csoportjogokat és az interfész-oldalak laptörténetét. - A PHP2Shell azonnali segítség keretében Önnel együtt értékeljük, hogy a wikinek nyilvánosan elérhetőnek kell-e maradnia.
Gyakori kérdések
Érinti a MediaWikit a PHP2Shell?
A MediaWikinek nincs új rése, de PHP-n fut. Ha a szerver PHP-ja nincs javítva, a PHP-csapat szerint egy támadó bejelentkezés nélkül futtathat kódot. Egy MediaWiki-frissítés nem zárja le a rést.
Hol látom a wikim PHP-verzióját?
A Special:Version oldalon a MediaWiki felsorolja a telepített szoftvert, a PHP-verziót is. Hogy be van-e juttatva backport, abból nem ismerhető fel; ezt a szerver üzemeltetője erősíti meg.
Miért kockázat a MediaWiki:Common.js?
Ennek az oldalnak a tartalmát JavaScriptként szolgálják ki a wiki összes látogatójának. Aki módosítani tudja, kódot futtathat minden felhasználó böngészőjében. Az interfész-adminisztrátorok csoportja ezért legyen nagyon kicsi.
Elég, ha a wikit csak belsőleg tesszük elérhetővé?
A csak a céges hálózaton vagy VPN-en át elérhető wiki jelentősen csökkenti a kockázatot, mert az internetről érkező támadók nem érik el közvetlenül. Javítani ettől még kell, mert a belső hálózatból is jöhet támadás.