Két súlyos PHP-hiba miatt álltak le digitális szolgáltatások világszerte
A héten több ország kormányzati, banki, közlekedési és egészségügyi szolgáltatásait is korlátozták vagy ideiglenesen leállították egy széles körben használt webtechnológiában felfedezett két biztonsági rés miatt. A PHP2Shell néven összefoglalt sérülékenységek a PHP szerveroldali programozási nyelvet érintik, amely a WordPress, a Drupal, a Joomla és a Wikipédia háttérrendszerét működtető MediaWiki alapja is. Egy októberi felmérés szerint az ismert szerveroldali programozási nyelvű weboldalak 69,3 százalékánál használják a PHP-t.
A CVE-2026-109618 és CVE-2026-109619 azonosítójú hibák egyaránt 9,2-es súlyossági értéket kaptak a tízpontos skálán. Gyökereik több mint tíz évre nyúlnak vissza, és a memória hibás kezeléséhez kapcsolódnak. Megfelelően felkészült támadók bejelentkezés nélkül is kódot futtathatnak egy érintett szerveren, hozzáférhetnek munkamenet-azonosítókhoz és kulcsokhoz, illetve további támadásokat indíthatnak. Ehhez nem feltétlenül kell hibásan megírt weboldal, elegendő lehet egy sebezhető PHP-verzió.
A Wiz kutatói augusztusban, AI-eszközök segítségével azonosították a problémákat és működő támadási módszereket dolgoztak ki. A Calif és az OpenAI szakemberei a feltárásban, a javításban és a nyilvánosságra hozatal összehangolásában is részt vettek. A javítások október 21-én jelentek meg, de a frissítés tesztelést és rendszerfelmérést igényel. A Wikipédia több háttérszolgáltatását leállította, Németországban, Hollandiában, Finnországban és Franciaországban közszolgáltatásokat korlátoztak, Japánban pedig pénzintézetek, légitársaságok és vasúttársaságok vezettek be óvintézkedéseket. Magyarországon október 22-én a magyarorszag.hu és több kormányzati oldal ideiglenes leállítását jelentették be; a kormány szerint behatolásra utaló jelet nem találtak.