Kritikus, a világ weboldalainak jelentős részét veszélyeztető biztonsági hibákat tártak fel mesterséges intelligencia segítségével a PHP programozási nyelvben. A PHP2Shell néven ismert sérülékenységek miatt Magyarországon a Magyarország.hu portált és több kormányzati szolgáltatást is elővigyázatosságból leállítottak. A két, egyenként 9,2-es súlyosságú hiba lehetővé teheti, hogy illetéktelenek távolról átvegyék az érintett szerverek feletti irányítást.
A Magyarország.hu portál és több hazai kormányzati weboldal elérését október 22-re virradó éjszaka ideiglenesen felfüggesztették a nemzetközi kiberbiztonsági figyelmeztetések miatt. A leállítás a Központi Időpontfoglaló Alkalmazást is érintette, amit kormányhivatali tájékoztatás is megerősített. A Portfolio által idézett Tanács Zoltán tudományos és technológiai miniszter szerint az intézkedés megelőző jellegű, és nem találtak kibertámadásra utaló jeleket. A tájékoztatás mintegy 48 órás várható szolgáltatáskieséssel számolt, a tényleges helyreállítás azonban a biztonsági munkálatok eredményétől függ. A Nemzeti Kiberbiztonsági Intézet már október 21-én kritikus riasztást adott ki, és a sérülékeny rendszerek azonnali frissítését, szükség esetén ideiglenes elkülönítését javasolta.
A PHP2Shell elnevezés mögött két olyan sérülékenység áll, amely nem egyetlen weboldalban vagy WordPress-bővítményben található, hanem magában a PHP futtatókörnyezetben. A problémák a program memóriahasználatának és a hibásan megszakadó kérések kezelésének sajátosságaiból erednek. Megfelelő körülmények között egy támadó hitelesítés nélkül, távolról futtathat kódot a szerveren, vagy érzékeny információkat olvashat ki annak memóriájából. Ez különösen veszélyes lehet, mert a kiszivárgó adatok között jelszavak, hozzáférési tokenek és más azonosítók is szerepelhetnek. A Wiz kutatói WordPress-, Drupal- és Joomla-környezetben is igazolták a támadási lehetőséget, miközben hangsúlyozták, hogy a hiba a PHP működéséből ered, ezért más, sérülékeny PHP-verzióra épülő alkalmazásokat is érinthet.
A CVE-2026-109618 és CVE-2026-109619 azonosítójú hibák egyaránt 9,2-es besorolást kaptak a tízfokozatú CVSS v4.0 rendszerben. A PHP fejlesztői október 21-én kiadták a javításokat tartalmazó 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókat. A régebbi, már nem támogatott kiadásokhoz a PHP-projekt nem biztosít általános biztonsági frissítéseket, ezért ezeknél támogatott verzióra váltásra vagy a megfelelő rendszerüzemeltető által biztosított javításra lehet szükség. A helyzet súlyát a technológia elterjedtsége adja: a W3Techs október 21-i adatai szerint az ismert szerveroldali programozási nyelvű weboldalak 69,3 százaléka használ PHP-t. Ez azonban nem jelenti azt, hogy az összes ilyen weboldalt feltörték, vagy hogy minden rendszer azonos mértékben támadható.
Olvasd el: Nem kívánt webes műveleteket végeztek a Tencentnél tesztelt mesterséges intelligencia ügynökök
Mi történik az internet biztonságával, ha a mesterséges intelligencia már olyan évtizedes szoftverhibákat is képes feltárni és kihasználhatóvá tenni, amelyek korábban a legfelkészültebb kutatóknak is komoly akadályt jelentettek?
A PHP2Shell történetének egyik legfontosabb eleme éppen a mesterséges intelligencia szerepe. A Wiz és a Calif biztonsági kutatói MI-alapú eszközök segítségével vizsgálták a PHP működését, a Wiz pedig többek között a Google Gemini 4 Argon modelljét is felhasználta a hibák feltárásához, a támadási lehetőségek vizsgálatához és a javítások ellenőrzéséhez. A kutatók szerint az érintett problémák egy része több mint egy évtizede jelen volt a kódban, ám a tényleges kihasználásukhoz korábban rendkívül összetett elemzésre lett volna szükség. A fejlett modellek ezt a munkát jelentősen felgyorsították. A javítások kidolgozásában a PHP fejlesztői mellett több technológiai és kiberbiztonsági szereplő, köztük az OpenAI is közreműködött. A fejlemény egyszerre mutatja meg a mesterséges intelligencia védekezésben betöltött értékét és azt a veszélyt, hogy hasonló képességek rosszindulatú szereplők számára is hozzáférhetővé válhatnak.
A nemzetközi következmények már a nyilvánosságra hozatal idején jelentkeztek. A Reuters beszámolója szerint több európai országban, köztük Hollandiában, Finnországban és Franciaországban is leállítottak kormányzati és közszolgáltatási rendszereket, hogy időt nyerjenek a biztonsági frissítések telepítésére. A Cloudflare már a nyilvános bejelentés előtt védelmi szabályokat vezetett be, és a biztonsági szolgáltatók korai támadási próbálkozásokat is észleltek. Ugyanakkor fontos különbséget tenni a támadási kísérletek, a bizonyított behatolások és az elővigyázatosságból végrehajtott leállítások között. Attól, hogy egy weboldal ideiglenesen elérhetetlenné vált, még nem következik, hogy sikeres kibertámadás érte. A webalkalmazás-tűzfalak és az átmeneti korlátozások csökkenthetik a kockázatot, de a sérülékenységek teljes megszüntetését a megfelelő PHP-biztonsági frissítés biztosítja.
A PHP2Shell különösen fontos figyelmeztetés a WordPress-alapú weboldalakat, webáruházakat és más PHP-rendszereket üzemeltető vállalkozások számára. A WordPress, a sablonok és a bővítmények frissítése önmagában nem feltétlenül elegendő, mert a mostani biztonsági hiba a mögöttük működő PHP-környezetet érinti. A weboldal-tulajdonosoknak ezért sürgősen ellenőriztetniük kell tárhelyszolgáltatójukkal vagy rendszergazdájukkal a használt PHP-verziót, a javítások telepítését és az esetleges korábbi támadási nyomokat. A frissítés ugyanis egy már bekövetkezett behatolás következményeit önmagában nem szünteti meg. A PHP2Shell legfontosabb tanulsága túlmutat a jelenlegi incidensen: a mesterséges intelligencia olyan korábban rejtve maradó biztonsági hibákat is feltárhat, amelyek hosszú éveken át észrevétlenek voltak. A digitális infrastruktúra védelmében ezért egyre fontosabb lesz a sérülékenységek gyors felismerése, a naprakész szoftverkörnyezet és a biztonsági frissítések késedelem nélküli telepítése.
Olvasd el ezt is: Emberi parancs nélkül támadhat egy új mesterséges intelligencia alapú vírus
Források: PHP Development Team, Nemzeti Kiberbiztonsági Intézet, Wiz Research, Cloudflare, Reuters, Portfolio, W3Techs, Kormányhivatalok
CS.SZ.
