Két kritikus PHP-hiba veszélyeztette az internetes rendszereket
Két, PHP2Shell néven ismert, kritikus biztonsági hiba veszélyeztette a PHP-t futtató webhelyeket és internet felől elérhető szervereket. A CVE-2026-109618 és CVE-2026-109619 azonosítójú sérülékenységek távoli kódfuttatást tettek lehetővé: a támadónak nem kellett jelszóval rendelkeznie, és az áldozatnak sem kellett linkre kattintania vagy fájlt megnyitnia. Sikeres támadás esetén kártékony program telepíthető, adatok lophatók el, illetve tartós hozzáférés alakítható ki a rendszerhez.
A hibákat 2024-ben fedezték fel, de akkor még nem tudták bizonyítani, hogy kihasználhatók, ezért nem javították őket. A Calif kutatói később működő támadási módszert találtak, majd értesítették a PHP Foundationt. A szervezet több héten át bizalmasan egyeztetett a nagy technológiai vállalatokkal és tárhelyszolgáltatókkal, hogy azok már a nyilvános bejelentés előtt telepíthessék a javításokat. A PHP Foundation szerdán kiadta a hivatalos frissítéseket.
A PHP azért jelentett különösen nagy kockázatot, mert a webes rendszerek mintegy 70 százaléka támaszkodik rá, még ha használata fokozatosan csökken is az újabb programozási nyelvek miatt. A technológiát többek között WordPress, Drupal, Joomla és MediaWiki alapú oldalak használják. A gyors összehangolásnak köszönhetően egyelőre elmaradt a tömeges támadási hullám, de sok szerver továbbra is javítatlan maradhat. A biztonsági kutatók ezért további adatlopásoktól és az internetes szolgáltatások újabb fennakadásaitól tartanak.