Két kritikus PHP-sebezhetőség részleteit és javításait hozták nyilvánosságra 2026. október 21-én. A CVE-2026-109618 és CVE-2026-109619 azonosítójú hibák hitelesítés nélküli távoli kódfuttatást tehetnek lehetővé. Mindkettő CVSS 4.0 szerinti súlyossága 9,2 pont. A veszély a weboldalak alatt működő PHP-futtatókörnyezetet érinti, ezért a védekezéshez nem elegendő egy WordPress-bővítmény frissítése. PHP biztonsági közlemény
A történet felelősségi kérdése könnyen félreérthető. A PHP belső programhibájának forráskódjavítását alapvetően a PHP projekt karbantartói készítik el. Egy tárhelyszolgáltatótól nem azt kell elvárni, hogy önállóan újraírja a nyelv memóriakezelését. A már elkészült javítás telepítése viszont az adott futtatókörnyezet üzemeltetőjének feladata; menedzselt tárhelyen ez rendszerint a szolgáltató. A két feladat összemosása éppúgy hibás, mint a hostingcégek teljes felmentése.
Mi történt a PHP-ban?
A CVE-2026-109618 a memóriahiány kezelésével függ össze. A PHP egy kérés feldolgozását olyan pillanatban szakíthatja meg, amikor valamely belső adatszerkezet még nincs teljesen előkészítve. A kérés lezárásakor a rendszer mégis érvényes adatként kezelheti ezt az állapotot. Ez a körülmény kódfuttatásig vezethet.
A hivatalos technikai leírás Apache mod_php környezetben igazolt távoli kihasználást ismertet, amelyhez az alkalmazás saját kódjának még el sem kell indulnia. Ezért ennél a támadási útnál egy alkalmazáson belül futó biztonsági bővítmény nem jelent megfelelő védelmi határt. Az FPM viselkedése eltér: az indulás közben elbukó kéréshez tartozó munkafolyamat kilép, de az alkalmazás futása során bekövetkező memóriahiány miatt ezt a környezetet sem lehet általánosan védettnek tekinteni. CVE-2026-109618: hivatalos technikai leírás
A CVE-2026-109619 másik életciklusproblémát érint. Egy kiszolgáló munkafolyamatban megmaradhat olyan belső állapot, amely egy korábbi kérés már felszabadított memóriájára mutat. Ha egy későbbi kérés ezt a hivatkozást túl korán használja, felszabadított memória újbóli használata, úgynevezett use-after-free történhet. Megfelelő feltételek mellett ez is kódfuttatáshoz vezethet.
A kihasználás részletei a konfigurációtól, a bővítményektől és az alkalmazás működésétől is függenek. A leírás FPM alatt is bemutat igazolt, alkalmazásfüggő útvonalat. Az, hogy egy konkrét Apache-os támadási lánc máshol nem ugyanúgy működik, nem bizonyítja a másik környezet biztonságát. CVE-2026-109619: hivatalos technikai leírás
Mely verziók tartalmazzák a javítást?
A PHP projekt az alábbi javított kiadásokat tette elérhetővé:
| PHP-verzióág | Javított kiadás |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
A PHP közleménye minden webes kéréseket kiszolgáló telepítés frissítését sürgeti, beleértve a PHP-FPM, mod_php, php-cgi, FrankenPHP és LiteSpeed környezeteket. A konfigurációs enyhítések nem jelentenek teljes megoldást. PHP kiadási és frissítési tájékoztató
Linuxon a csomag teljes verziószámát és a disztribúció biztonsági közleményét együtt kell értelmezni. A karbantartó visszaültetheti a javítást egy korábbi alapverzióra. Az Ubuntu például a 24.04-es kiadáshoz a 8.3.6-0ubuntu0.24.04.13 csomagot jelöli javítottként. A rövid „8.3.6” kijelzés önmagában ezért nem dönti el az érintettséget. A Canonical arra is figyelmeztet, hogy a frissített összetevőket használó alkalmazásokat újra kell indítani: a csomag telepítése és a javított kód tényleges futása két külön ellenőrzési pont. Ubuntu: javított csomagok és telepítési tudnivalók
Mit kell és mit nem kell a hostingcégnek megoldania?
Az alábbi felosztás üzemeltetési szempontból mutatja be a feladatokat. A konkrét szolgáltatás tartalmát a megállapodás határozza meg.
| Szereplő | Jellemző feladat |
|---|---|
| PHP karbantartói | A futtatókörnyezet hibájának elemzése, forráskódjavítás és javított kiadás készítése. |
| Disztribúció vagy csomagszállító | A javítás beépítése a támogatott csomagba, biztonsági közlemény kiadása. |
| Menedzselt tárhely szolgáltatója | Az általa kezelt PHP-környezet frissítése, a folyamatok cseréje vagy újraindítása, ellenőrzés és tájékoztatás. |
| Saját kezelésű VPS üzemeltetője | A vendégrendszer és a benne futó PHP frissítése; ezt önmagában a VPS bérlése nem adja át a szolgáltatónak. |
| Weboldal fejlesztője és tulajdonosa | Kompatibilitásvizsgálat, alkalmazáshibák kezelése, valamint annak tisztázása, ki végzi és igazolja a frissítést. |
A hibás PHP-kód létezéséből nem következik, hogy azt a tárhelyszolgáltató okozta. Ugyanakkor az elkészült javítás üzembe helyezése nem halasztható arra hivatkozva, hogy a szoftvert más fejleszti. A korrekt ügyfélkommunikáció mindkét állítást egyszerre vállalja.
Mit tegyen most a weboldal tulajdonosa?
Elsőként kérjen konkrét visszajelzést az üzemeltetőtől: melyik javított PHP-csomag szolgálja ki a weboldalt, és az érintett munkafolyamatok újraindítása megtörtént-e. Több telepített PHP-verzió esetén a weboldalhoz ténylegesen hozzárendelt futtatókörnyezetet kell azonosítani. A parancssori PHP verziója eltérhet a webes kiszolgálásétól.
A frissítés után ellenőrizni kell a bejelentkezést, az űrlapokat, a fájlfeltöltést és – webáruháznál – a vásárlási folyamatot. A működő főoldal önmagában nem igazolja, hogy minden üzleti funkció rendben van. Egy korábbi, sérülékeny PHP-csomag visszaállítását nem szabad egyszerű kompatibilitási megoldásként kezelni.
A naplók és a fájlváltozások vizsgálata külön feladat. A frissítés a sérülékenységet kezeli, de nem bizonyítja, hogy korábban nem történt behatolás, és nem távolít el automatikusan egy esetleg már elhelyezett idegen fájlt. Gyanús jeleknél incidensvizsgálatra van szükség; a sebezhetőség puszta jelenléte viszont önmagában még nem bizonyít sikeres támadást.
A javítás és a telepítés külön felelősség
A mostani esetben a helyes elvárás világos: a PHP projekt készítse el a javítást, a csomagszállító tegye elérhetővé, a futtatókörnyezet üzemeltetője pedig gondoskodjon az alkalmazásáról. A weboldal tulajdonosa kérjen ellenőrizhető állapotjelentést, a fejlesztő pedig segítse a biztonságos átállást.
A tárhelyszolgáltatónak rendszerint nem a PHP forráskódját kell kijavítania. Az általa üzemeltetett tárhelyen azonban a javított PHP futtatásáról igenis gondoskodnia kell. Ez a különbség teszi a tájékoztatást szakmailag hitelessé és az ügyfél számára használhatóvá.
A cikk a 2026. október 21-én ellenőrzött közleményeken alapul; az egyes csomagszállítók frissítési állapota később változhat.
A weboldalon megjelenő szöveges és vizuális tartalmak előállításához mesterséges intelligenciát (AI) használunk.