A 2026. október 21-i PHP- és Node.js-frissítések, majd a másnap közzétett Node.js-kutatás újra megmutatták: egy széles körben használt technológia hibája gyors üzemeltetési döntést igényel. A kibertámadások komolyan vétele ma azt jelenti, hogy mérhetően tudjuk, mit védünk, ki javítja, és hogyan állítjuk helyre a működést.
A friss hírek mellett a legutóbbi jelentések adatai is indokolják ezt a hozzáállást. Három eltérő nézőpontot mutatunk be: az FBI-nak bejelentett internetes bűncselekmények veszteségét, a Verizon adatvédelmi incidensmintáját és a Microsoft októberi fenyegetési helyzetképét. Ezeket nem szabad egyetlen „világszintű hackertámadás-számmá” összeadni.
Miért aktuális ez éppen most?
A Node.js október 21-én javított Brotli-hibájáról az Imperva október 22-én olyan tesztet ismertetett, amelyben a sebezhető hivatalos runtime-on támadó által küldött adatból kódfuttatás lett. A javított kiadás ugyanazt a bemenetet elutasította. Ez jól körülhatárolt műszaki bizonyíték, nem globális áldozatstatisztika. Forrás: Imperva, 2026. október 22.
A Microsoft október 1-jén publikált helyzetképe szerint a megfigyelt kezdeti hozzáférések 30%-ában felhasználói végrehajtás, további 20%-ában érvényes fiókok játszottak szerepet. A jelentés hangsúlyozza, hogy az automatizálás gyorsítja a támadási láncot, de ebből nem következik, hogy minden összetett támadás már teljesen önálló AI-művelet lenne. Microsoft Digital Defense Report, 2026. október 1.
Interaktív grafikon: a bejelentett károk növekedése
Az FBI IC3 2025-ös éves jelentése 1 008 597 bejelentést és 20,877 milliárd dollár veszteséget közöl. A jelentés a 2024-es évhez viszonyítva 26%-os növekedést jelez. A káradat internetes bűncselekményeket és csalásokat is magában foglal: nem kizárólag szerverfeltörések vagy zsarolóvírusok költsége. Forrás: FBI IC3, 2025 Annual Report, 4. és 6. oldal
A zsarolóvírus és a beszállítói kockázat nem rétegprobléma
A Verizon 2026-os DBIR jelentésében a zsarolóvírus az elemzett adatvédelmi incidensek 48%-ában szerepelt, az előző kiadás 44%-ával szemben. Ez 4 százalékpontos emelkedés. Ugyanebben a mintában a harmadik fél érintettségével járó esetek aránya is 48%; a két kategória átfedhet, ezért összeadásuk hibás volna. A jelentés szerint a zsarolóvírus-áldozatok 69%-a nem fizetett váltságdíjat. Ez nem azt jelenti, hogy nem keletkezett náluk helyreállítási vagy üzleti veszteség. Forrás: Verizon 2026 DBIR, 11. oldal
A számok gyakorlati üzenete: a saját szerverek mellett a beszállítói hozzáféréseket és a szolgáltatások közötti kapcsolatokat is számon kell tartani. Egy letiltott munkatársi fiók kevés, ha a hozzá tartozó integrációs kulcs vagy megosztott adminisztrátori hozzáférés tovább él. A védelem szervezési feladat is.
Mit jelent a komolyan vétel egy kisebb cégnél?
A jó kiindulópont egy rövid, ellenőrizhető lista. Nem az számít, hány biztonsági termék neve szerepel az ajánlatban, hanem hogy egy péntek esti riasztásnál ismert-e a felelős, rendelkezésre áll-e a napló, és visszaállítható-e a szolgáltatás. Egy működő mentési feladat még nem egyenlő egy sikeresen visszaállított rendszerrel.
Mit tegyél az első gyanús jel után?
Rögzítsd, mit és mikor észleltél, és értesítsd a kijelölt üzemeltetőt. A bejelentkezési riasztás, a szokatlan fájlmódosítás és a szolgáltatáskimaradás eltérő helyzetet jelenthet; ne állíts automatikusan behatolást, de ne is söpörd félre az eseményt. Az érintett hozzáférés korlátozását és a bizonyítékok megőrzését összehangoltan kell elvégezni, különösen több szolgáltató bevonásakor.
A javítás után kérj rövid lezáró feljegyzést: mely rendszer volt érintett, milyen verzió fut most, milyen hozzáférések változtak, mit állítottak helyre, és milyen bizonyíték támasztja alá a működés ellenőrzését. Ez teszi megismételhető folyamattá azt, ami különben egy kapkodó javítás maradna.
„Túl kicsik vagyunk ahhoz, hogy célpontok legyünk.”
Ezt nem érdemes védelmi feltételezésként használni. A hozzáférhető rendszer, az újrahasznált jelszó vagy a javítatlan komponens a cég ismertségétől függetlenül problémát jelenthet. Az itt idézett nagy mintákból viszont nem számítható ki a te céged egyéni támadási valószínűsége.
„A 48% azt jelenti, hogy majdnem minden második céget megtámadták?”
Nem. A DBIR elemzett adatvédelmi incidenseinek arányáról van szó, nem a világ összes vállalkozásáról. A nevező elhagyása félrevezetővé tenné a számot.
A friss runtime-hibák konkrét teendőihez olvasd el a PHP-javításokról és felelősségekről szóló összefoglalónkat. A komolyan vétel a gyors, igazolható cselekvésben látszik: kijelölt felelős, telepített javítás, működési próba és visszaállítható rendszer.
Szerkesztve és források ellenőrizve: 2026. október 23. A hírek dátuma és az éves jelentések mérési időszaka szándékosan külön szerepel. Az interaktív ábra nem élő támadásszámláló.
A weboldalon megjelenő szöveges és vizuális tartalmak előállításához mesterséges intelligenciát (AI) használunk.