2026. október 21-én a PHP projekt két kritikus biztonsági hibát javító kiadást tett közzé. A sérülékenységek megfelelő körülmények között lehetővé tehetik, hogy egy támadó bejelentkezés nélkül kódot futtasson az érintett szerveren. Ez nem kizárólag WordPress-probléma: minden olyan webszerveres alkalmazás érintett lehet, amely a sebezhető PHP-verziókat használja. A PHP fejlesztői és az európai kiberbiztonsági szervezetek ezért sürgős frissítést javasolnak. A PHP hivatalos közleménye és a CERT-EU biztonsági tájékoztatója részletezi az érintett verziókat és a javításokat.
Mi történt, és miért kell komolyan venni?
A PHP a WordPress és számos más webes rendszer működésének egyik alapja. Ha egy weboldal PHP-t futtat, akkor nemcsak a WordPress magja, hanem a PHP futtatókörnyezet is része a biztonsági láncnak. Egy hibás PHP-verziót nem feltétlenül lehet egy WordPress-bővítmény frissítésével kijavítani: a javítást a PHP kiadásában vagy a szolgáltató által biztosított, megfelelően javított csomagban kell megkapni.
A PHP csapata 2026. október 21-én két olyan hibát javított, amelyeket a CVE-2026-109618 és a CVE-2026-109619 azonosító jelöl. Mindkettőhöz 9,2-es CVSS súlyossági pontszám tartozik. Ez nagyon magas kockázatot jelez. A CERT-EU arról is beszámolt, hogy a technikai részletek nyilvánossá váltak, és kezdeti proof-of-concept, vagyis a hiba kihasználását bemutató kódok is terjedni kezdtek. Ez növeli annak kockázatát, hogy a sebezhető rendszereket támadni próbálják. Ez nem bizonyítja, hogy minden érintett weboldalt már megtámadtak, de indokolja a gyors intézkedést.
Mit jelentenek a sérülékenységek közérthetően?
CVE-2026-109618 – memóriahiba a memóriahiány kezelésénél
Az első hiba a memóriahiányos állapot (out-of-memory, röviden OOM) kezeléséhez kapcsolódik. Bizonyos kérések feldolgozásakor a PHP egy olyan ponton szakíthatja meg a végrehajtást, amikor egy belső kérésadat még nincs teljesen előkészítve. A takarítási folyamat ezután hibásan kezelheti a memóriában levő adatokat. A hivatalos leírás szerint ez memória-korrupcióhoz, és megfelelő körülmények között távoli kódfuttatáshoz vezethet.
CVE-2026-109619 – korábbról megmaradó belső állapot
A második hiba akkor keletkezhet, ha egy kéréshez tartozó belső állapot a hozzá rendelt memória felszabadítása után is megmarad. Egy későbbi kérés, amelyet ugyanaz a PHP worker dolgoz fel, az állapotot még azelőtt használhatja, hogy azt a rendszer szabályosan újrainicializálná. A PHP projekt és a CERT-EU ezt szintén olyan hibaként írja le, amely jogosulatlan távoli kódfuttatást tehet lehetővé.
A weboldal tulajdonosának nem szükséges a technikai részleteket megértenie ahhoz, hogy a helyes lépést megtegye. A legfontosabb: ellenőrizni kell, hogy a weboldal által használt PHP-verzió megkapta-e a javítást.
Mely PHP-verziókat érintette a hiba, és melyek a javított kiadások?
A PHP projekt ezeket a javított kiadásokat tette közzé 2026. október 21-én:
| Használt PHP-ág | A javítást tartalmazó kiadás |
| PHP 8.5 | 8.5.12 vagy újabb 8.5-ös javítókiadás |
| PHP 8.4 | 8.4.27 vagy újabb 8.4-es javítókiadás |
| PHP 8.3 | 8.3.36 vagy újabb 8.3-as javítókiadás |
| PHP 8.2 | 8.2.35 vagy újabb 8.2-es javítókiadás |
A PHP 8.2 ága a mostani biztonsági javítást még megkapta, de a PHP projekt szerint 2026. december 31-én eléri életciklusa végét, és utána nem kap több biztonsági javítást. Ha PHP 8.2-t használsz, a mostani frissítés után tervezz átállást egy támogatott újabb ágra. A PHP 8.1 és az annál régebbi ágak a PHP projekt normál támogatásában már nem kapnak rendszeres biztonsági frissítéseket. Egyes Linux-disztribúciók és hosszú távú támogatást nyújtó szolgáltatók adhatnak ki visszaportolt javításokat, ezért ezeknél a puszta verziószám nem minden esetben elég: az adott disztribúció vagy szolgáltató biztonsági tájékoztatását is ellenőrizni kell. A PHP projekt külön minimális javításokat is közzétett régebbi ágakhoz azok számára, akik forrásból építenek, vagy más módon nem érik el a javított csomagot; ez nem jelenti azt, hogy a régi ágak ismét általános támogatás alá kerültek.
A PHP csapata a PHP-FPM-et, az Apache mod_php-t, a php-cgi-t, a FrankenPHP-t és a LiteSpeed környezeteket is az érintett, webes kéréseket kiszolgáló futtatási módok között sorolja fel. A hivatalos közlemény szerint a bemutatott kihasználás szempontjából a mod_php környezet kockázata különösen magas, de más futtatási mód esetén sem szabad automatikusan biztonságosnak tekinteni a javítás nélküli PHP-verziót.
Mit tegyél, ha WordPress-weboldalad van?
1. Ellenőrizd a weboldal tényleges PHP-verzióját
A WordPress adminisztrációs felületén nyisd meg az Eszközök > Webhely egészsége > Információ > Szerver részt. Itt megkeresheted a PHP-verzióra vonatkozó adatot. Sok tárhelyszolgáltató vezérlőpultja szintén megmutatja a kiválasztott verziót. Ha több PHP-verzió érhető el a tárhelyen, ne csak a szolgáltató által telepített verziók listáját nézd meg: azt kell ellenőrizni, amelyet az adott domain vagy weboldal ténylegesen használ.
2. Ellenőrizd a javított verziót
A PHP 8.2, 8.3, 8.4 vagy 8.5 esetén hasonlítsd össze az aktuális verziót a fenti táblázattal. A javított kiadás ugyanazon főverzió-ágon belül érhető el, ezért ez nem azonos egy nagyobb verzióváltással, például PHP 8.1-ről 8.3-ra lépéssel. Ha régi, már nem támogatott ágat használsz, kérdezd meg a tárhelyszolgáltatót, biztosított-e javítást a konkrét csomaghoz, és milyen támogatott verzióra javasolja az átállást.
3. Ha nem tudod frissíteni, keresd a tárhelyszolgáltatót
Megosztott tárhelyen a PHP frissítését gyakran a szolgáltató kezeli, vagy a felhasználó a tárhely vezérlőpultjából választhat a rendelkezésre álló verziók közül. Ha nincs javított verzió, vagy nem egyértelmű, hogy a weboldal melyiket használja, kérj segítséget a szolgáltatótól. Ne próbálj találomra PHP-konfigurációs értékeket módosítani: egyes ideiglenes mérséklő beállítások csak bizonyos támadási útvonalakat zárnak le, és a hivatalos figyelmeztetés szerint nem helyettesítik a frissítést.
4. Frissítés után ellenőrizd az oldalt
A frissítés előtt legyen naprakész biztonsági mentésed, ha a módosításokat te végzed. Utána nyisd meg a weboldal főoldalát, jelentkezz be a WordPress adminba, próbáld ki a fontos űrlapokat, a keresést, a kosarat vagy a fizetést, ha ilyen funkció van az oldalon. Ellenőrizd azt is, hogy a WordPress, a sablon és a bővítmények naprakészek-e. A PHP-sérülékenység javítása nem helyettesíti ezeket a különálló karbantartási lépéseket.
Kell külön WordPress-frissítést telepíteni emiatt?
A Datalan tárhelyen az érintett PHP-ágak javított kiadásainak telepítése megtörtént. Ettől függetlenül érdemes ellenőrizned, hogy az adott weboldalhoz melyik PHP-verzió van kiválasztva, és az a javított kiadások valamelyikét használja-e. Ha bizonytalan vagy a verzió kiválasztásában vagy a frissítés utáni működésben, írj a Datalan ügyféltámogatásának.
Ha most választasz tárhelyet WordPress-weboldalhoz, a PHP-verziók és a biztonsági frissítések kezelése is legyen szempont a szolgáltatás összehasonlításakor. Ehhez további segítséget ad a Milyen webtárhelyet válassz WordPress-weboldalhoz? című útmutatónk, a rendelkezésre álló csomagokat pedig a Datalan webtárhelycsomagjai között találod.
Összefoglalás
A 2026. október 21-én kiadott PHP-frissítések két kritikus sérülékenységet javítanak, amelyek jogosulatlan távoli kódfuttatást tehetnek lehetővé. A javított kiadások: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Ellenőrizd az adott weboldal tényleges PHP-verzióját, és gondoskodj róla, hogy a megfelelő javítás telepítve legyen. Ha ezt nem tudod önállóan megtenni, fordulj a tárhelyszolgáltatódhoz. A gyors frissítés most fontos biztonsági intézkedés; a régi, már nem támogatott PHP-ágak hosszabb távú kiváltását is érdemes megtervezni.