Azonnal támadni kezdték a PHP két súlyos sérülékenységét
A PHP két súlyos sérülékenysége miatt világszerte rendszergazdák ezrei kényszerültek sürgős frissítésre, illetve szerverek ideiglenes leállítására. A CVE-2026-109618 és CVE-2026-109619 azonosítójú hibák hitelesítés nélkül, távolról kihasználhatók, ezért minden, webes kéréseket kiszolgáló PHP-telepítést érintettnek tekintenek. A kockázat különösen magas a mod_php-t használó rendszereknél, ahol már egyetlen hitelesítés nélküli HTTP-kérés is elindíthatja a támadási folyamatot az alkalmazáskód futása előtt. A sebezhetőségek 9,2-es CVSS-értéket kaptak a tízes skálán.
A javítások kiadása előtt a fejlesztők szokatlan módon már csaknem egy nappal korábban jelezték, hogy a PHP-t azonnal frissíteni kell, de a részleteket nem hozták nyilvánosságra. A foltok végül a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókban jelentek meg, emellett soron kívüli frissítést adtak ki a már nem támogatott 7.4-es, 8.0-s és 8.1-es ágakhoz is. Az ennél régebbi verziókat futtató szerverek azonban javítatlanok maradtak.
A támadók a Reuters beszámolója szerint azonnal megkezdték a hibák kihasználását. A Cloudflare rendszerei már a fejlesztői figyelmeztetés előtt több ezer próbálkozást érzékeltek, a bejelentés után 45 perccel több tízezer, két órával később több százezer, majd néhány millió támadási kísérletet regisztráltak. A magyarorszag.hu és más kormányzati oldalak átmenetileg elérhetetlenné váltak, a régi PHP-verziók üzemeltetőinek pedig a teljes leállítást javasolják.
Folytasd az appban — szavazz és szólj hozzá ➔