Két súlyos biztonsági rést tártak fel a széles körben használt PHP technológiában. A szakemberek sürgős frissítéseket végeznek, miközben a weboldalak biztonságának megőrzése jelentős karbantartási terhet ró az üzemeltetőkre.
A napokban komoly figyelmeztetést adtak ki a kiberbiztonsági szervezetek a PHP-t használó weboldalak és alkalmazások védelmével kapcsolatban. A programozási nyelv két kritikus sérülékenységére derült fény, amelyek lehetőséget adhatnak a támadóknak arra, hogy megfelelően nem védett rendszereken távolról, akár hitelesítés nélkül is rosszindulatú kódot futtassanak. A helyzet világszerte sürgős intézkedéseket követel a rendszergazdáktól, a tárhelyszolgáltatóktól és a weboldalak karbantartását végző szakemberektől.
Miért jelent komoly veszélyt a PHP hibája?
A PHP egy széles körben alkalmazott, szerveroldali programozási nyelv, amely számos weboldal és webes alkalmazás működésében játszik fontos szerepet. Többek között dinamikus oldalak, adatbázis-kapcsolatok és tartalomkezelő rendszerek működését támogatja. Éppen ezért egy, a nyelv alapvető működését érintő biztonsági hiba sok különböző szolgáltatást veszélyeztethet.
A két érintett sérülékenység azonosítója CVE-2026-109618 és CVE-2026-109619. A Google Cloud és a kiberbiztonsági szakértők tájékoztatása szerint a hibák lehetővé tehetik a távoli kódfuttatást, ami szélsőséges esetben a szerver feletti ellenőrzés megszerzéséhez, illetve az azon tárolt adatok veszélyeztetéséhez vezethet. A sebezhetőségek súlyossági besorolása 9,2 pont a 10-es skálán. Ez kritikus kockázatot jelent, különösen a nyilvánosan elérhető rendszereknél.
Az európai kiberbiztonsági szervezetek október 21-én szintén azonnali intézkedéseket sürgettek. A figyelmeztetés szerint a vállalatoknak fel kell mérniük, hol fut PHP-alapú alkalmazás az infrastruktúrájukban, és a lehető leghamarabb telepíteniük kell a biztonsági javításokat. Ahol ez nem oldható meg azonnal, indokolt lehet az érintett rendszerek ideiglenes elkülönítése a nyilvános hálózattól.
Miért kell most egyszerre ennyi weboldalt karbantartani?
A biztonsági javítás nem minden esetben merül ki egyetlen frissítés telepítésében. A weboldal üzemeltetőinek először fel kell mérniük, mely rendszerek érintettek, milyen PHP-verzió fut a szerveren, és az alkalmazások kompatibilisek-e a javított kiadással. Ezután következhet a frissítés, a működés ellenőrzése és az esetleges hibák javítása.
A feladat különösen nagy terhet jelent azoknak a szakembereknek, akik egyszerre több ügyfél weboldaláért felelnek. Ha egy szolgáltató vagy fejlesztő számos partneroldalt kezel, minden egyes rendszernél külön ellenőrzésre és tesztelésre lehet szükség. A frissítéseket úgy kell végrehajtani, hogy közben a lehető legkisebb legyen a leállás és az üzleti működés megszakadásának kockázata.
A probléma ráadásul nem feltétlenül csak azokat érinti, akik közvetlenül PHP-t használnak. Egyes tartalomkezelő rendszerek, bővítmények, tárhelymegoldások és más szoftverek a háttérben támaszkodhatnak rá.
A gyors frissítés most nem halogatható
A PHP fejlesztői több javított verziót is kiadtak, köztük a 8.5.12-es, 8.4.27-es, 8.3.36-os és 8.2.35-ös kiadásokat. A pontos teendő attól függ, milyen környezetben működik az adott weboldal. A támogatásból kikerült régebbi verziók esetében a biztonságos megoldás nem feltétlenül egy egyszerű verziófrissítés, hanem a támogatott környezetre történő átállás is lehet.
A weboldal-tulajdonosoknak ezért érdemes kapcsolatba lépniük a tárhelyszolgáltatójukkal vagy a karbantartást végző szakemberrel. A frissítések mellett fontos a biztonsági mentések ellenőrzése, a naplófájlok vizsgálata és a gyanús tevékenységek figyelése is.
A mostani helyzet jól mutatja, hogy a weboldalak biztonságának fenntartása folyamatos feladat. Egy kritikus hiba megjelenése rövid idő alatt rengeteg munkát eredményezhet, de a frissítések elhalasztása még nagyobb kockázatot jelenthet. A megelőző karbantartás és a gyors reagálás ezért nem pusztán technikai feladat. A vállalkozások működésének, ügyfeleik adatainak és online hitelességüknek is fontos védelmi vonala.
Szerző: Csajbók János
Források:
ENISA – Joint statement on critical PHP vulnerabilities
Google Cloud – Responding to core PHP vulnerabilities
PHP hivatalos biztonsági közleményei
Borítókép forrása: iStock/Getty Images Plus
