# Megosztott tárhely: mit tesz a szolgáltató, és mit kell Önnek tennie

> Webtárhely és a PHP2Shell PHP-sebezhetőség: mit vállal át a tárhelyszolgáltató, mit ellenőrizzen Ön, és hogyan kérdezze meg írásban a javítási állapotot.

Forrás: https://phpsos.de/hu/server/shared-hosting/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A PHP2Shellhez hasonló PHP-sebezhetőségnél webtárhely esetén a tárhelyszolgáltató felel a PHP-frissítésért, nem Ön. Az Ön feladata írásos megerősítést kérni, az ügyfélmenüben támogatott PHP-verziót választani, és ellenőrizni a weboldalt támadás nyomaira. A szolgáltató javítása nem távolítja el a kártevőt, amely korábban került a weboldalra.

## A helyzet egyszerű szavakkal

A PHP az a programozási nyelv, amelyen a legtöbb weboldal, webshop és CMS, például a WordPress fut. A PHP2Shell két kritikus hibát jelöl magában a PHP-ban (CVE-2026-109618 és CVE-2026-109619). A támadók ezeken keresztül jelszó nélkül saját kódot futtathatnak a szerveren. A BSI (a német Szövetségi Információbiztonsági Hivatal) a 3-as figyelmeztetési szintet (narancs) hirdette ki, és azonnali frissítést javasol.

Megosztott tárhelynél sok ügyfél osztozik egy szerveren. Az alatta lévő technikát, vagyis az operációs rendszert, a webszervert és a PHP-t a szolgáltató üzemelteti. Ön csak a weboldalát, az adatbázisát és a hozzáféréseit kezeli. Ezért a PHP-frissítést nem tudja maga telepíteni, és nem is kell.

## Webtárhely és PHP-sebezhetőség: ki felel miért?

A felosztás a szerződésből adódik. A legtöbb csomagnál nagyjából a következő megoszlás érvényes:

| Feladat | Szolgáltató | Ön mint ügyfél |
|---|---|---|
| PHP-csomagok frissítése | igen | nem |
| PHP-folyamatok újraindítása | igen | nem |
| Szerverszintű átmeneti értékek beállítása | igen | nem |
| A weboldal PHP-verziójának kiválasztása | biztosítja | kiválasztja |
| CMS, bővítmények, sablonok frissítése | nem | igen |
| Hozzáférési adatok és adminisztrátori fiókok | nem | igen |
| A weboldal ellenőrzése kártékony kódra | részben | igen |
| Adatvédelmi jogi értékelés | nem | igen |

Az utolsó sor a fontos: ha a weboldalán személyes adatokat érintő incidens történik, általában Ön mint üzemeltető felel, nem a szolgáltató. Erről többet itt talál: [GDPR-bejelentési kötelezettség](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/).

## Mit érdemes most magának tennie

**1. Megerősítés beszerzése.** Kérdezze meg írásban a szolgáltatótól, hogy a csomagjában lévő PHP-verziók védve vannak-e mindkét CVE ellen, mióta, és hogy az összes PHP-folyamatot újraindították-e. Kész mintát talál itt: [A javítási állapot megkérdezése a tárhelyszolgáltatótól](https://phpsos.de/hu/ratgeber/hoster-patch-status-erfragen/). Ne csodálkozzon, ha az ügyfélmenüben továbbra is régebbi verziószám áll, például 8.2.34: egyes szolgáltatók a javításokat backportként szállítják, anélkül hogy a szám megváltozna.

**2. A PHP-verzió ellenőrzése.** Nézze meg az ügyfélmenüben, melyik PHP-verziót használja a weboldala. A PHP 8.1-hez és a régebbiekhez a PHP-projekt már nem ad hivatalos frissítést. A PHP 8.2 2026. december 31-én éri el a támogatás végét. Hogy a CMS-e elbír-e egy újabb verziót, azt a gyártó rendszerkövetelményei alapján ellenőrizze, például a wordpress.org oldalán.

**3. A weboldal ellenőrzése.** Figyeljen az ismeretlen adminisztrátori fiókokra, a váratlan átirányításokra, az idegen fájlokra az FTP-hozzáférésen és a Google Search Console figyelmeztetéseire. A tipikus jelek listáját itt találja: [Már megtámadták?](https://phpsos.de/hu/php2shell/bin-ich-gehackt-anzeichen/).

**4. Biztonsági mentés készítése.** Töltsön le egy friss mentést a fájlokról és az adatbázisról, és őrizze külön. Kérje meg emellett a szolgáltatót, hogy a csomagja hozzáférési naplóit őrizze meg 2026. október 20-tól.

> **Tipp:**
> A szolgáltató megerősítése után elővigyázatosságból változtassa meg az ügyfélmenü, az FTP/SFTP, az adatbázis és a CMS-adminisztrátorok jelszavát, és ahol lehet, kapcsolja be a kétfaktoros bejelentkezést.

## Amit megosztott tárhelynél nem tud maga megoldani

A php.net által javasolt átmeneti intézkedések, például a `session.upload_progress.enabled=0`, csak akkor hatnak, ha a szerverkonfigurációban állítják be őket. A php.net szerint a `.user.ini` fájlba vagy a kódban `ini_set()`-tel megadott bejegyzés nem elég. A cgroup-szintű memóriakorlátok és a PHP-folyamatok újraindítása is a szolgáltatónál van.

Ha a szolgáltató nem válaszol, vagy csak kitérően, három lehetősége van: utánakérdez és határidőt szab, a weboldalt átmenetileg karbantartási módba helyezi, vagy olyan szolgáltatóhoz vált, amely egyértelműen nyilatkozik. A BSI azt javasolja, hogy ha a frissítés nem lehetséges azonnal, a webszervereket átmenetileg vegyék le a hálózatról.

Ellenőrizze azt is, hogy a díjcsomagja naprakész-e. Azok a csomagok, amelyek sok éve változatlanul futnak, néha régebbi szervergenerációkon vannak régebbi PHP-verziókkal, amelyeket a szolgáltató már csak korlátozottan gondoz. Az ugyanazon szolgáltató aktuális díjcsomagjára való váltás gyakran kevés ráfordítással jár, és újabb PHP-verziókat hoz. Kérdezzen rá, ha a javítási állapotra adott válasz nem kielégítő.

## Ha a weboldal már gyanús

A szolgáltatónál végzett javítás a jövőre nézve zárja be a rést. Nem távolítja el azt a hátsó kaput, amelyet a támadók korábban beépítettek, és nem bizonyítja, hogy korábban nem történt semmi. Ha gyanús jeleket talál, ne törölgessen válogatás nélkül fájlokat. Először mentse az állapotot, hogy az ok később is követhető maradjon.

## Hogyan segít konkrétan a PHP SOS?

- Megfogalmazzuk Önnel a szolgáltatónak szóló kérdést, és műszakilag értékeljük a válaszát.
- Ellenőrizzük a weboldalát webshellekre, idegen fiókokra és manipulált fájlokra, és megállapítás esetén megtisztítjuk a [kártevőeltávolításunkkal](https://phpsos.de/hu/leistungen/malware-entfernung/).
- Akut gyanú esetén átvesszük a [sürgősségi segítséget feltört weboldalakhoz](https://phpsos.de/hu/leistungen/website-gehackt-notfallhilfe/), bizonyítékrögzítéssel.
- Segítünk a megfelelő PHP-verzió kiválasztásában, és utána letesztelve a weboldalt.


## Gyakori kérdések

**Tárhelyügyfélként nekem kell magamnak frissítenem a PHP-t?**  
Általában nem, mert megosztott tárhelynél a PHP a szolgáltató platformjához tartozik. Az ügyfélmenüben viszont gyakran kiválaszthatja a PHP-verziót. Ha ott olyan verzió áll, amelyhez nincs hivatalos frissítés, váltson, vagy kérdezze meg a szolgáltatót, hogyan védi.

**A weboldalam nem elérhető. Feltörték?**  
Nem feltétlenül. Néhány szolgáltató elővigyázatosságból levette a weboldalakat a hálózatról, hogy a rést bezárja. Kérdezze meg a szolgáltatótól az okot, és kérje, hogy erősítse meg, vannak-e jelek arra, hogy a csomagját támadás érte.

**Beállíthatom magam az átmeneti intézkedéseket a .user.ini fájlban?**  
A session.upload_progress.enabled esetében a php.net kifejezetten megjegyzi, hogy a .user.ini és az ini_set() nem elegendő. Ezt a beállítást a szolgáltatónak kell megadnia a szerverkonfigurációban.

**Mit érdemes írásban kérnem a szolgáltatótól?**  
Megerősítést arról, hogy a csomagja PHP-verziói védve vannak a CVE-2026-109618 és a CVE-2026-109619 ellen, mikortól, és hogy a PHP-folyamatokat újraindították. Ezt a választ őrizze meg az iratai mellett.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [php.net: támogatott verziók](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)
- [Google Search Console súgó](https://support.google.com/webmasters/)