PHP2Shell

A PHP2Shell egy rendkívül súlyos, 2026. október 21-én nyilvánosságra hozott PHP-biztonsági probléma, amely potenciálisan több millió weboldalt érint, köztük WordPress-alapú rendszereket is.

A különösen veszélyes része, hogy nem szükséges hozzá hibás WordPress-plugin, sérülékeny weboldalkód vagy felhasználói bejelentkezés. A hiba magában a PHP futtatókörnyezetben található

Érintett sérülékenységek:

• CVE-2026-109618
• CVE-2026-109619

Lehetséges következmények: távoli kódfuttatás (RCE), érzékeny memóriatartalom kiszivárgása, szerverkompromittálódás.

1. Hogyan működik a PHP2Shell?

A PHP2Shell két, egymással összefüggő memóriakezelési sérülékenység összefoglaló elnevezése.

CVE-2026-109618 – Hibás memóriakezelés memóriahiány esetén

Amikor a PHP memóriafoglalási hibába ütközik (Out of Memory), bizonyos belső adatszerkezetek inicializálása félbeszakadhat.

A kérés lezárásakor a PHP olyan memóriatartalmat próbálhat feldolgozni, amely nincs megfelelően inicializálva. Ezt egy támadó kihasználhatja.

CVE-2026-109619 – Felszabadított memória ismételt használata

Ebben az esetben a PHP egyes globális belső mutatói már felszabadított memóriaterületekre hivatkozhatnak.

Amikor ugyanaz a PHP-folyamat egy későbbi kérést dolgoz fel, a megmaradt érvénytelen hivatkozás memóriasérüléshez, végső esetben kódfuttatáshoz vezethet.

A támadások speciálisan kialakított HTTP-kérésekkel válthatók ki. Bizonyos környezetekben a sérülékenység már az alkalmazás PHP-kódjának végrehajtása előtt kihasználható.

2. Mely PHP-verziók érintettek?

A 2026. október 21-én kiadott biztonsági javítások:

PHP-ág	Sérülékeny verziók	Első javított verzió
PHP 8.5	8.5.11 és korábbi	8.5.12
PHP 8.4	8.4.26 és korábbi	8.4.27
PHP 8.3	8.3.35 és korábbi	8.3.36
PHP 8.2	8.2.34 és korábbi	8.2.35
PHP 8.1 és régebbi	Régebbi ágak is érintettek	Támogatott verzióra váltás javasolt

Az egyes Linux-disztribúciók és tárhelyszolgáltatók visszaportolt javításokat is alkalmazhatnak; ilyen esetben a verziószám önmagában nem feltétlenül bizonyítja a sérülékenységet.

Fontos, hogy a PHP 8.4.26, amely korábban naprakésznek számított, már nem biztonságos alapértelmezés szerint, ha nem kapta meg a javítást.

3. Mely szerverkörnyezetek veszélyeztetettek?

A hivatalos PHP-tájékoztató alapján többek között:

• Apache + mod_php – különösen magas kockázat.
• Apache vagy Nginx + PHP-FPM.
• PHP-CGI, LiteSpeed és FrankenPHP.
• PHP-t futtató Docker-konténerek.

A támadások WordPress, Drupal és Joomla környezetekben is demonstrálhatók voltak

4. Mit érdemes azonnal elvégezni?

1. Ellenőrizni az összes weboldal PHP-verzióját.
2. Telepíteni a biztonsági javításokat.
3. Újraindítani az érintett PHP-folyamatokat.
4. Átvizsgálni az Apache és PHP hibanaplóit rendellenes HTTP-kérések, összeomlások és memóriahibák után.
5. Megvizsgálni, történt-e illetéktelen fájlmódosítás vagy ismeretlen PHP-fájl létrehozása.