Kedves Ügyfeleink!
Két kritikus biztonsági hibát hoztak nyilvánosságra a PHP-ban (CVE-2026-109618 és CVE-2026-109619, más néven PHP2Shell). A sebezhetőségek bizonyos körülmények között lehetővé tehetik, hogy egy támadó bejelentkezés nélkül, távolról kódot futtasson az érintett PHP-folyamat jogosultságaival.
Webtárhely-szolgáltatásainkon a szükséges PHP biztonsági frissítéseket elvégeztük. Webtárhelyes ügyfeleinknek a szerveroldali PHP frissítésével kapcsolatban nincs teendőjük. A weboldalak, CMS-ek és bővítmények rendszeres frissítése továbbra is fontos.
Saját üzemeltetésű VPS-t vagy bérelt szervert használó ügyfeleinket kérjük, hogy mielőbb végezzék el az alábbiakat!
1. Átmeneti védelem: a session upload progress letiltása
A frissítés telepítéséig javasolt kikapcsolni a PHP beépített feltöltésifolyamat-követését. Ez lezárja az egyik ismert támadási útvonalat, azonban nem nyújt teljes védelmet a két sebezhetőség ellen.
Az érintett PHP-verziók központi php.ini konfigurációjában állítsák be:
session.upload_progress.enabled = 0
A normál fájlfeltöltések továbbra is működnek. Azoknál az alkalmazásoknál, amelyek kifejezetten ezt a funkciót használják a feltöltés előrehaladásának kijelzésére, ez a kijelzés megszűnhet.
A módosítás után indítsák újra az érintett PHP-folyamatokat, és ellenőrizzék a weben érvényes beállítást. Az alkalmazáskódban használt ini_set() erre nem megfelelő.
2. A javított PHP-csomagok telepítése
Telepítsék az operációs rendszer vagy a használt szerverkezelő panel gyártójának javított PHP-csomagjait minden webes kiszolgálásra használt PHP-verzióhoz.
A PHP projekt javított kiadásai: 8.2.35, 8.3.36, 8.4.27 és 8.5.12. Egyes gyártók a javítást korábbi verziószámú csomagokba is visszaportolják, ezért a teljes csomagkiadást és a gyártói biztonsági közleményt is ellenőrizni kell.
3. Újraindítás és ellenőrzés
Frissítés után indítsák újra az érintett PHP-FPM-, LSAPI- vagy webkiszolgáló-folyamatokat. Konténeres környezetben frissítsék a PHP-t tartalmazó image-eket, és hozzák újra létre az érintett konténereket.
Ellenőrizzék, hogy a weboldalak ténylegesen a javított PHP-t használják. A parancssori php -v önmagában ezt nem igazolja.
A WordPress vagy más webalkalmazás frissítése önmagában nem javítja ezt a hibát: a PHP futtatókörnyezetét kell frissíteni. A WAF-védelem és az átmeneti beállítások csökkenthetik a kockázatot, de nem helyettesítik a biztonsági frissítést.
Hivatalos tájékoztatás: PHP biztonsági közlemény.
Üdvözlettel:
HostingBazis
