PHP2Shell
A PHP fejlesztői október 21-én soron kívüli biztonsági frissítéseket adtak ki két kritikus, PHP2Shell néven emlegetett sérülékenység javítására. A CVE-2026-109618 és CVE-2026-109619 egyaránt 9,2-es CVSS 4.0 besorolást kapott. A hibák hitelesítés nélküli távoli kódfuttatást tehetnek lehetővé, így veszélyeztethetik a PHP-t használó weboldalakat és alkalmazásszervereket.
Mindkét sérülékenység a PHP memóriakezeléséhez kapcsolódik. Az első esetben egy rendellenesen megszakadó kérés memóriakorrupciót idézhet elő, míg a másodiknál egy korábbi kérésből megmaradt belső állapot újrafelhasználása vezethet use-after-free hibához. A CVE-2026-109619 emellett érzékeny szervermemória-tartalom kiszivárgását is lehetővé teheti.
A veszély különösen jelentős, mert a támadás az alkalmazás saját kódjának sérülékenysége nélkül is működhet. A PHP-FPM, az Apache mod_php, a php-cgi és más webes futtatókörnyezetek egyaránt érintettek lehetnek. A kutatók WordPress-, Drupal- és Joomla-környezetekben is demonstráltak támadási lehetőségeket.
A javított verziók a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A régebbi, már nem támogatott kiadásokhoz a disztribúciók és hosszú távú támogatást nyújtó szolgáltatók biztosíthatnak külön javításokat. Frissítés után a PHP-folyamatokat és webkiszolgálókat újra kell indítani, hogy a sérülékeny kód ne maradjon memóriában.
A javítás eredetileg október 22-én jelent volna meg, de a sérülékenységekről idő előtt kiszivárgott információk miatt előrehozták a kiadást. A CERT-EU a közvetlenül internetre kapcsolódó PHP-rendszerek sürgős frissítését, ennek hiányában ideiglenes elkülönítését javasolja. A konfigurációs kerülőmegoldások csak részleges védelmet nyújtanak.
