Főoldal Blog PHP2Shell biztonsági hiba – PHP frissítés lépésről lépésre

PHP2Shell biztonsági hiba – PHP frissítés lépésről lépésre

A PHP2Shell egy kritikus PHP-biztonsági sérülékenység, amely komoly veszélyt jelenthet az elavult PHP-verziókat használó weboldalakra és webáruházakra. A 2026. október 21-én kiadott biztonsági javítások miatt érdemes mielőbb ellenőrizni a szerver PHP-verzióját. Cikkünkben lépésről lépésre bemutatjuk, hogyan ellenőrizheted a PHP-verziódat a phpinfo() segítségével, hogyan telepítheted a javítást Debian szerveren SSH-n keresztül, és mit tehetsz, ha régebbi, már nem támogatott PHP-verziót használsz.
PHP2Shell: kritikus PHP biztonsági hiba – így ellenőrizheted és frissítheted a szerveredet

2026. október 21-én két kritikus PHP-biztonsági sérülékenységre adtak ki figyelmeztetést és javítást.

A PHP2Shell néven ismert hibák lehetőséget teremthetnek arra, hogy támadók távolról, akár bejelentkezés nélkül rosszindulatú kódot futtassanak egy érintett szerveren.
A sérülékenységek azonosítói:
  • CVE-2026-109618
  • CVE-2026-109619
A probléma különösen súlyos, mert nem egy adott tartalomkezelő rendszerben vagy weboldalban, hanem magában a PHP futtatókörnyezetben található.
Ez azt jelenti, hogy WordPress, Joomla, egyedi PHP-weboldalak és webáruházak egyaránt érintettek lehetnek, ha sérülékeny PHP-verziót használnak.

1. Ellenőrizd, milyen PHP-verziót használ a weboldalad!

Első lépésként meg kell állapítani, hogy a weboldal ténylegesen melyik PHP-verzióval működik.
Ehhez hozz létre egy phpinfo.php nevű fájlt a weboldal gyökérkönyvtárában, a következő tartalommal: 
<?php phpinfo(); ?>
Ezután nyisd meg böngészőből:
https://weboldalad.hu/phpinfo.php
A megjelenő oldal tetején találod a PHP pontos verziószámát.

Például:
PHP Version 8.4.26
Ez a verzió még érintett. A javított változat:
PHP Version 8.4.27
Fontos! A phpinfo.php fájlt az ellenőrzés után azonnal töröld a szerverről, mert részletes rendszer- és konfigurációs információkat jeleníthet meg.

2. Mely PHP-verziókhoz érhető el hivatalos javítás?

A PHP fejlesztői 2026. október 21-én az alábbi javított kiadásokat tették elérhetővé:
PHP-verzióJavított kiadás
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12

A PHP hivatalos, önálló biztonsági frissítései jelenleg a 8.2-es és újabb, támogatott verziókhoz érhetők el.

A PHP 8.1 és korábbi verziói már nem támogatottak, ezért ezekhez nem jelent meg új, hivatalos stabil PHP-kiadás a PHP2Shell javítására.
Egyes Linux-disztribúciók és kereskedelmi támogatási szolgáltatók biztosíthatnak visszamenőleges biztonsági javításokat (backportokat), de ez nem helyettesíti hosszú távon a támogatott PHP-verzióra történő átállást.
Ha a weboldalad PHP 7.4, 8.0 vagy 8.1 verziót használ, mielőbb javasolt áttérni legalább PHP 8.4-re, a weboldal kompatibilitásának ellenőrzésével.

3. A PHP frissítéséhez SSH-hozzáférés szükséges

A következő lépések Debian Linuxot és PHP-FPM-et használó szerverekhez készültek, ahol a PHP-csomagok APT segítségével kezelhetők.
A parancsok futtatásához SSH-hozzáférés és rendszergazdai (root vagy sudo) jogosultság szükséges.
Ha csak a weboldal adminisztrációs felületéhez vagy FTP-hozzáféréshez rendelkezel jogosultsággal, az nem elegendő a rendszerszintű PHP-csomagok frissítéséhez.
Ebben az esetben fordulj a rendszergazdádhoz vagy a tárhelyszolgáltatódhoz, és kérd a PHP2Shell sebezhetőséghez tartozó biztonsági javítások telepítését.
A következő parancsok nem minden tárhelyen alkalmazhatók. Különösen fontos, hogy a szerver már rendelkezzen megfelelő PHP-csomagtárolóval.

4. Telepített PHP-verziók lekérdezése SSH-n keresztül

Először ellenőrizzük, milyen PHP-FPM csomagok vannak telepítve: 
dpkg-query -W 'php*-fpm' 2>/dev/null
Ezután frissítsük a csomaglistát: 
apt update
Ellenőrizzük a PHP 8.4 és 8.5 jelenlegi, illetve elérhető verzióit: 
apt-cache policy php8.4-fpm
apt-cache policy php8.5-fpm
A Candidate mező mutatja a telepítésre elérhető csomagverziót, az Installed pedig a jelenleg telepítettet.
Listázzuk ki a frissíthető PHP-csomagokat: 
apt list --upgradable 2>/dev/null | grep '^php'
Ha az új biztonsági kiadás megjelenik a csomaglistában, folytathatjuk a frissítést.
Ha nem jelenik meg, ellenőrizni kell a konfigurált csomagtárolókat és az adott Debian-verzió támogatását. Ilyenkor ne telepítsünk ellenőrizetlen forrásból származó PHP-csomagokat.

5. PHP 8.4 biztonsági frissítés telepítése

Először szimuláljuk a telepítést, hogy lássuk, milyen csomagok módosulnának: 
apt install --only-upgrade php8.4-fpm --dry-run
Ha a tervezett módosítások megfelelőek, elindíthatjuk a frissítést: 
apt install --only-upgrade php8.4-fpm
A parancs frissíti a PHP-FPM csomagot és a szükséges függőségeit, de a külön telepített PHP-bővítmények frissítését is ellenőrizni kell.
PHP 8.5 esetén ugyanez a folyamat: 
apt install --only-upgrade php8.5-fpm --dry-run
apt install --only-upgrade php8.5-fpm

6. PHP-FPM újraindítása

A telepítés után ellenőrizzük a konfiguráció helyességét: 
php-fpm8.4 -t
Ha a teszt sikeres, indítsuk újra a PHP-FPM szolgáltatást: 
systemctl restart php8.4-fpm
PHP 8.5 esetén: 
php-fpm8.5 -t
systemctl restart php8.5-fpm
Az újraindítás azért fontos, mert a korábban elindított PHP-folyamatok még a régi futtatókörnyezethez tartozhatnak.

7. Ellenőrizzük, sikeres volt-e a frissítés!

Kérdezzük le a PHP-FPM verzióját: 
php-fpm8.4 -v
Ellenőrizzük a szolgáltatás állapotát: 
systemctl status php8.4-fpm --no-pager
Majd futtassuk a konfigurációellenőrzést: 
php-fpm8.4 -t
Sikeres konfiguráció esetén az alábbihoz hasonló üzenet jelenik meg:
test is successful
A szolgáltatásnak aktív állapotban kell lennie.
Végezetül a weboldalon is ellenőrizzük a phpinfo() segítségével, hogy valóban az új PHP-verzió fut-e, hiszen egy szerveren több PHP-verzió is telepítve lehet.

8. Mi a helyzet a régebbi PHP-verziókkal?

Ha a weboldal PHP 7.4, 8.0 vagy 8.1 verziót használ, a hagyományos csomagfrissítés nem feltétlenül biztosít megoldást.
Ezek a PHP-ágak már nem részesülnek a PHP projekt hivatalos biztonsági támogatásában.
A tartós megoldás a weboldal és a szerverkörnyezet korszerűsítése:
  • A weboldal kompatibilitásának ellenőrzése PHP 8.4 vagy újabb verzióval.
  • Az elavult keretrendszerek, bővítmények és sablonok frissítése.
  • A weboldal tesztelése az új PHP-környezetben.
  • Az éles PHP-verzió átállítása, majd működésének ellenőrzése.
A kompatibilitási problémák miatt az átállást nem szabad előzetes tesztelés nélkül elvégezni, különösen régi webáruházaknál és egyedi fejlesztésű rendszereknél.

9. A PHP frissítése önmagában elegendő?

A biztonsági javítás telepítése az első és legfontosabb lépés, de ha a weboldal korábban sérülékeny verziót használt, érdemes a szervernaplókat és a gyanús tevékenységeket is ellenőrizni.
A PHP-frissítés ugyanis a sérülékenységet javítja, de egy esetlegesen korábban bekövetkezett kompromittálódást nem szüntet meg automatikusan.
Emellett fontos a WordPress, Joomla és más tartalomkezelők, valamint azok bővítményeinek rendszeres frissítése is.

Összefoglalás

A PHP2Shell egy súlyos, a PHP futtatókörnyezetét érintő biztonsági probléma, amelyet nem szabad figyelmen kívül hagyni.
A legfontosabb teendők:
  1. Ellenőrizd a weboldalad PHP-verzióját.
  2. Ha szükséges, telepítsd a biztonsági frissítést.
  3. Indítsd újra a PHP-FPM szolgáltatást.
  4. Ellenőrizd, hogy a weboldal valóban a javított verziót használja.
  5. Régi PHP esetén tervezz mielőbbi átállást támogatott verzióra.
Ha nincs SSH- vagy rendszergazdai hozzáférésed a szerverhez, mielőbb vedd fel a kapcsolatot a tárhelyszolgáltatóddal vagy a rendszergazdáddal!

Ne feledd: egy naprakész WordPress vagy webáruház sem helyettesíti a biztonságosan karbantartott PHP-környezetet.

Ajánlatkérés

Weboldalunk sütiket használ a működés biztosításához és a felhasználói élmény javításához. Ezek a sütik főként a weboldal funkcióinak fenntartásához szükségesek. Ezen kívül előfordulhat, hogy néhány nem létfontosságú süti is elhelyezésre kerül, amelyek segíthetnek a weboldal teljesítményének javításában és az Ön preferenciáinak jobb megértésében.

A sütik olyan kis szöveges fájlok, amelyeket egy weboldal felhasználhat arra, hogy még hatékonyabbá tegye a felhasználói élményt. A jogszabályok szerint a sütiket abban az esetben tárolhatjuk az eszközön, ha erre feltétlenül szükség van a weboldalunk működése érdekében. Minden egyéb típusú süti használatához az engedélyedre van szükségünk. Jelen weboldal különféle sütiket használ. A weboldalunkon megjelenő némelyik sütit harmadik fél szolgáltatóink helyezik.
Az elengedhetetlen sütik segítenek használhatóvá tenni a weboldalunkat azáltal, hogy engedélyeznek olyan alapvető funkciókat, mint az oldalon való navigáció és a weboldal biztonságos területeihez való hozzáférés. A weboldal ezen sütik nélkül nem tud megfelelően működni.
A preferenciális sütik használatával olyan információkat tudunk megjegyezni, amelyek megváltoztatják a weboldal magatartását, illetve kinézetét, erre példa lehet az Ön által előnyben részesített nyelv vagy a régió, amelyben tartózkodik.
A marketingsütiket a látogatók weboldal-tevékenységének nyomon követésére használjuk. A cél az, hogy releváns hirdetéseket tegyünk közzé az egyéni felhasználók számára, valamint aktivitásra buzdítsuk őket, ez pedig még értékesebbé teszi weboldalunkat a tartalmakat közzétevő és a harmadik fél hirdetők számára.