Két programhiba miatt álltak le kormányzati és vállalati oldalak világszerte
Kormányzati portálok, banki és közlekedési szolgáltatások, kórházi weboldalak és a Wikipédia háttérrendszerei is leálltak a héten világszerte. A rendkívüli intézkedések mögött nem egy mindent elsöprő kibertámadás, hanem az internet egyik legelterjedtebb technológiájában felfedezett két biztonsági rés áll. A PHP2Shell néven ismert probléma megmutatta, hogy évtizedekig rejtőző programhibák akár országok digitális szolgáltatásait is veszélybe sodorhatják.
Az internet egyik alappillérében találtak hibát
A PHP egy szerveroldali programozási nyelv: a böngészőben látható oldalak mögött gyakran ez állítja össze a tartalmat, kezeli a bejelentkezést vagy dolgozza fel az adatokat. Erre épül a WordPress, a Drupal, a Joomla és a Wikipédiát működtető MediaWiki is. Egy októberi felmérés szerint az ismert szerveroldali programozási nyelvű weboldalak 69,3 százalékánál használják a PHP-t. Ez nem jelenti, hogy mindegyik automatikusan feltörhető, azt viszont igen, hogy a programozási nyelvben lévő hiba rendkívül sok szolgáltatást érinthet.
A PHP2Shell két sérülékenység összefoglaló neve: CVE-2026-109618 és CVE-2026-109619. Mindkettő 9,2-es besorolást kapott a tízpontos biztonsági súlyossági skálán. A hibák gyökerei a több mint tíz éve kiadott PHP-változatokig nyúlnak vissza, így hosszú időn át észrevétlenek maradhattak.
Mit tehet egy támadó a sérülékeny szerverrel?
A problémák a számítógép memóriájának hibás kezeléséből erednek. Bizonyos kérések feldolgozásakor a PHP már felszabadított vagy hibás állapotú memóriaterületekre támaszkodhat, és az erre felkészült támadók kihasználhatják a működésben keletkező zavart. A legsúlyosabb következmény a távoli kódfuttatás: a támadó bejelentkezés nélkül is utasításokat hajthat végre a szerveren, hozzáférhet érzékeny adatokhoz, például hozzáférési kulcsokhoz vagy munkamenet-azonosítókhoz, ami adatlopáshoz és további behatolásokhoz vezethet.
Nem szükségszerű, hogy maga a weboldal hibás legyen: egy gondosan megírt alkalmazás is sebezhetővé válhat, ha alatta érintett PHP-verzió fut. A kockázat a szerver beállításaitól is függ, ám a PHP fejlesztői minden internetes kérést kiszolgáló érintett telepítés sürgős frissítését kérték.
Több mint egy évtizedig rejtőzött a hiba
A Wiz biztonsági kutatói augusztusban, AI-eszközök segítségével azonosították a problémákat, majd működő támadási módszereket dolgoztak ki. A Calif és az OpenAI szakemberei szintén részt vettek a hibák feltárásában, a javítás és a nyilvánosságra hozatal összehangolásában. A Wiz szerint a kihasználáshoz korábban rendkívül összetett műveletre volt szükség, az AI-modellek viszont felgyorsították a kódelemzést és a támadási módszerek tesztelését, így hamarabb láthatóvá vált a veszély.
A javítások október 21-én megjelentek, de egy nagy informatikai rendszer frissítése nem egyetlen kattintás. Fel kell mérni az érintett szervereket, ellenőrizni kell, hogy az új PHP-változat együttműködik-e a meglévő alkalmazásokkal, majd tesztelni kell a szolgáltatásokat. Ez különösen kényes a banki, egészségügyi és állami rendszereknél, ahol egy elrontott frissítés önmagában is fennakadást okozhat.
A magyar Nemzeti Kiberbiztonsági Intézet ezért javasolta, hogy ahol a frissítés nem végezhető el azonban, ott válasszák le az érintett rendszereket a külső hálózatról, vagy függesszék fel ideiglenesen a működésüket. A leállás sok esetben nem a védelem kudarca volt, hanem maga a védekezés.
A Wikipédia és a magyar ügyintézés is érintett volt
A Wikipédia több fejlesztői és háttérszolgáltatását, köztük a Toolforge és Cloud VPS rendszereket is leállította, a fő funkciókat azonban igyekeztek fenntartani. A háttérrendszerek egy részét önkéntes fejlesztők kezelik, ezért a frissítésük különösen összetett.
Németországban, Hollandiában, Finnországban és Franciaországban is közszolgáltatásokat korlátoztak, Japánban pedig pénzintézetek, légitársaságok és vasúti társaságok vezettek be óvintézkedéseket. Magyarországon október 22-én a magyarorszag.hu és több kormányzati oldal ideiglenes leállítását jelentették be; a kormány tájékoztatása szerint nem észleltek behatolásra utaló jeleket. Az oldalak egy részét éppen azért tették elérhetetlenné, hogy senki ne használhassa ki a biztonsági réseket.
A nyilvánosságra hozatal után meredeken emelkedett a támadási kísérletek száma. A Cloudflare a Reuters szerint a bejelentés előtti tíz órában több ezer próbálkozást érzékelt, utána néhány órával már milliós nagyságrendet. Ezek nem milliónyi sikeres feltörést, hanem észlelt támadási kísérleteket jelentenek.
Négy javított verzió jelent meg
A PHP fejlesztői négy javított verziót adtak ki: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A Cloudflare forgalomszűrő védelmet is bevezetett, ám az nem helyettesíti a frissítést. A már nem támogatott, régi rendszereknél teljes verzióváltás válhat szükségessé.
