Ma hozták nyilvánosságra azt a két biztonsági hibát, amelyekről valószínűleg te is hallottál már a hírekben. A hibák magát a PHP-t érintik, azt a programozási nyelvet, amelyen a weboldalak nagy része fut, köztük minden PrestaShop webáruház is. Összeszedtem, mit lehet most tudni, miért érinti különösen a régebbi webshopokat, és mit teszek az általam kezelt oldalak védelméért.
Mi történt?
Két hibát találtak a PHP-ban (hivatalos jelölésük CVE-2026-109618 és CVE-2026-109619, a sajtóban „PHP2Shell” néven fut). Mindkettő a legsúlyosabb kategóriába esik: 10-es skálán 9,2 pontot kaptak.
A hibákat a Calif és a Wiz biztonsági kutatói találták meg mesterséges intelligencia segítségével, és a jelek szerint több mint egy évtizede ott lapultak a PHP-ban.
Egyszerűen fogalmazva: egy támadó jelszó nélkül, távolról, egyetlen speciálisan összeállított kéréssel akár saját programot is futtathat a szerveren. A legkellemetlenebb, hogy mindez a PHP mélyén történik, még mielőtt a webáruház bármilyen kódja (a PrestaShop, a modulok vagy bármilyen biztonsági bővítmény) egyáltalán elindulna.
Az uniós CERT-EU kritikusnak minősítette a hibát, a magyar Nemzeti Kibertudományi Intézet szintén. Már nyilvánosan elérhetők működő bemutató támadókódok, és a Cloudflare a javítás megjelenése előtt is látott kihasználási kísérleteket.
Kit érint?
Gyakorlatilag mindenkit, akinek a weboldala PHP-n fut, és a szerverén még nem frissítették a PHP-t. A hiba a megszokott futtatási módokat mind érinti (PHP-FPM, Apache mod_php, LiteSpeed stb.).
A PHP fejlesztői javított verziókat adtak ki: 8.2.35, 8.3.36, 8.4.27 és 8.5.12.
Miért nehezebb a helyzet a régebbi webshopoknál?
Itt jön a kellemetlen rész. Rengeteg PrestaShop webáruház fut még régebbi, hivatalosan már nem támogatott PHP-verzión (7.1, 7.2, 7.4, 8.0, 8.1), főleg az 1.6-os és 1.7-es rendszerek.
- A 7.4-es, 8.0-s és 8.1-es PHP-hoz a fejlesztők csak egy minimális javítócsomagot adtak ki forráskódként. Ezt a tárhelyszolgáltatóknak maguknak kell beépíteniük.
- A 7.3-as és régebbi verziókhoz nincs hivatalos javítás. Itt a tárhelyszolgáltató saját vagy beszerzett javításán múlik minden; a nagyobb tárhelyes rendszerek (pl. CloudLinux) dolgoznak ilyeneken.
Fontos: ezt nem lehet egy modul- vagy PrestaShop-frissítéssel megoldani. A hiba nem a webáruházban, hanem a szerveren futó PHP-ban van.
Vagyis a javítás két szereplőn múlik:
- A tárhelyszolgáltatón, aki frissíti a szerveren a PHP-t.
- A webshop fejlesztőjén, aki gondoskodik róla, hogy a bolt a frissebb PHP-verzión is hibátlanul működjön, és addig ideiglenes védelmet tesz fel. Egy régi, régóta nem frissített boltnál ez komolyabb munka lehet.
Mit teszek az általam kezelt webshopokért?
- Egyeztetek a tárhelyszolgáltatókkal. Minden általam kezelt oldal szolgáltatójától megkérdezem, mikor és milyen javított PHP-csomagokat telepítenek, kifejezetten a régebbi verziókra is, és alkalmaznak-e átmeneti védelmet a szerver szintjén.
- Ahol a szerver az én kezemben van, ott magam frissítek, és beállítom azokat az ideiglenes szerverbeállításokat is, amelyeket a PHP fejlesztői javasolnak.
- Előszűrést építek be a PHP elé. Mivel a támadás még a webáruház kódja előtt lefut, a védelemnek is korábban kell működnie: a webszerver szintjén kiszűröm azokat a kéréstípusokat, amelyekre a nyilvános támadás épül. Ezt oldalanként kell beállítani és tesztelni, hogy a vásárlás és az adminfelület zavartalanul működjön.
- Figyelem az oldalakat. Az általam kezelt oldalakon fájlfigyelő rendszer működik: ha a szerveren váratlanul megváltozik vagy új fájl jelenik meg (ami egy sikeres támadás tipikus jele), néhány percen belül értesítést kapok, és azonnal tudok lépni.
- Ellenőrzöm, nem érte-e már támadás valamelyik oldalt, a jellemző hátrahagyott nyomok (pl. gyanús új PHP-fájlok) alapján.
- Hosszabb távon: ahol a webshop még nagyon régi PHP-verzión fut, ott egyeztetjük a frissítést. Ez a hiba is jól mutatja, hogy egy évek óta nem frissített rendszer nemcsak lassabb és kényelmetlenebb, hanem kockázatos is.
Fontos tisztán látni: ezek az átmeneti lépések csökkentik a kockázatot, de a valódi megoldás a javított PHP telepítése. Addig is mindent megteszek, ami ésszerű keretek között lehetséges.
Mit tegyél, ha webshopod van?
- Kérdezd meg a tárhelyszolgáltatódat, hogy telepítették-e már a javított PHP-t, és milyen verzión fut a webáruházad.
- Nézd meg, milyen PHP-verziót használ a boltod. Ha 7.x-es vagy 8.0/8.1-es, mindenképp érdemes a fejlesztőddel beszélni a frissítésről.
- Ne kapcsold le pánikszerűen az oldalt, de ha a szolgáltatód hosszabb ideig nem tud javítást adni egy régi PHP-verzióra, komolyan kell venni a kérdést.
- Ha bizonytalan vagy, vagy szokatlant tapasztalsz (furcsa átirányítás, ismeretlen admin-felhasználó, idegen fájlok), szólj. Szívesen átnézem a boltodat.
