# A PHP biztonsági rés egyszerűen elmagyarázva

> A PHP-rés egyszerűen elmagyarázva: mi a PHP, mi romlik el a PHP2Shell esetében, mit jelentenek a szakkifejezések, és mit tegyen most az üzemeltető.

Forrás: https://phpsos.de/hu/blog/php-luecke-einfach-erklaert/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A PHP-rés egyszerűen elmagyarázva: a PHP az a szoftver a webszerveren, amely a weboldalakat abban a pillanatban állítja össze, amikor valaki megnyitja őket. A PHP2Shell esetében a PHP bizonyos kivételes helyzetekben nem takarít fel rendesen, és ezt használhatják ki a támadók, hogy jelszó nélkül saját parancsokat futtassanak a szerveren. A megoldás a PHP frissítése, majd újraindítása, amit általában a tárhelyszolgáltatója vagy a szolgáltatója telepít.

## Miért beszél most mindenki a PHP-ról

A hírekben „kritikus biztonsági résről” volt szó, a hatóságok levették a weboldalakat a hálózatról, a BSI (a német szövetségi információbiztonsági hivatal) narancs szinttel figyelmeztetett. Sok tulajdonosnak és munkatársnak ez fenyegetően és egyszersmind érthetetlenül hangzik. Mi a PHP, és miért éppen a saját vállalati weboldalát érinti?

Ez az írás szakzsargon nélkül magyarázza el a helyzetet. Aki ezután mélyebbre szeretne ásni, a műszaki besorolást a [Mi a PHP2Shell?](https://phpsos.de/hu/php2shell/was-ist-php2shell/) oldalon találja.

## Mit csinál tulajdonképpen a PHP: egy kép a hétköznapokból

Képzelje el a weboldalát egy étteremként. A vendég a látogató, a rendelés az oldal megnyitása. A PHP a konyha: minden rendelést átvesz, kihozza a hozzávalókat a raktárból, vagyis az adatbázisból, és tálalja a tányért, vagyis a kész oldalt.

A gyors kiszolgálás érdekében a konyhának több szakácsa van, akik egymás után sok rendelést dolgoznak fel. A szakemberek „Worker”-nek nevezik őket. Minden rendelés után a munkahelyet teljesen rendbe kell tenni, mielőtt jön a következő.

PHP-n nagyon sok ismert rendszer fut: WordPress, Shopware, TYPO3, Joomla, Nextcloud és számtalan egyedi fejlesztés. Hogyan működik alapvetően a PHP, azt a [Mi a PHP?](https://phpsos.de/hu/php/was-ist-php/) írás magyarázza.

## A PHP-rés egyszerűen: mi romlik el a PHP2Shell esetében

A PHP2Shell két hibából áll. Mindkettőnek köze van a takarításhoz, és mindkettő csak kivételes helyzetekben lép fel.

**Az első hiba (CVE-2026-109618):** Néha a konyhában elfogy a hely az előkészítés közepén. A szakemberek „Out of Memory”-t mondanak, megtelt a memória. Ilyenkor a munka megszakad, miközben a rendelés csak félig van előkészítve. A későbbi takarításnál a PHP tévesen késznek tart félkész dolgokat.

**A második hiba (CVE-2026-109619):** Egy rendelés után valami a munkahelyen marad, aminek már rég el kellett volna lennie takarítva. A következő rendelés ugyanannál a szakácsnál hozzáférhet, mielőtt eltávolítják.

Mindkét esetben igaz: aki pontosan tudja, hogyan idézze elő ezt a kivételes helyzetet, rávehetné a konyhát olyan dolgokra, amelyeket soha nem rendeltek. A legrosszabb esetben átveszi az irányítást a szerver felett. Jelszóra ehhez nincs szüksége. Hogyan dolgozza fel a PHP lépésről lépésre a kéréseket, azt a [kérés életciklusa](https://phpsos.de/hu/php/request-lebenszyklus/) írás írja le.

> **Tipp:**
> Nem kell értenie a technikát ahhoz, hogy helyesen cselekedjen. Egyetlen kérdés a döntő a tárhelyszolgáltatójának vagy a szolgáltatójának: frissítették és újraindították a PHP-t a szerverünkön, és ezt írásban megerősítik?

### A legfontosabb fogalmak egy pillantásra

| Fogalom | Egyszerűen elmagyarázva |
|---|---|
| PHP | szoftver a szerveren, amely a weboldalakat megnyitáskor állítja össze |
| Biztonsági rés | hiba, amelyet idegenek kihasználhatnak |
| CVE-szám | egy biztonsági rés világszerte egyedi azonosítószáma |
| CVSS 9,2 | súlyossági fok egy 10-ig terjedő skálán; a 9,2 kritikusnak számít |
| Remote Code Execution | idegenek távolról saját parancsokat futtathatnak a szerveren |
| Shell | parancssor, amellyel egy szerver vezérelhető |
| Patch | frissítés, amely kijavítja a hibát |
| Backport | javítás, amelyet egy régebbi verzióba építenek be a verziószám megváltoztatása nélkül |
| Újraindítás | a régi PHP-folyamatok leállítása, hogy a javított verzió ténylegesen dolgozzon |

## Miért tartozik össze a frissítés, az újraindítás és az ellenőrzés

Maradjunk az étteremnél. A frissítés egy új munkautasítás a konyha számára: a jövőben így kell takarítani. Csakhogy az éppen műszakban lévő szakácsok még a régi utasítás szerint dolgoznak tovább. Csak a műszakváltáskor érvényes az új. Pontosan ez az újraindítás: az összes régi PHP-folyamatot leállítják, az újak a javított verzióval indulnak. Újraindítás nélkül a frissítés ugyan a szerveren van, de nem hat.

És a kép még valamit mutat. Egy új munkautasítás megakadályozza a jövőbeli bakikat, de nem mond semmit arról, hogy az előző napokban nem járt-e valaki észrevétlenül a konyhában, és nem rejtett-e el valamit. Ezért a frissítés után a nyomok ellenőrzése is hozzátartozik, különösen akkor, ha a szerver október 17. és a frissítés közötti időben elérhető volt.

## Mit tegyen most: három tipikus kiindulási helyzet

Hogy mit kell tennie, az attól függ, hol van a weboldala.

1. **A weboldala tárhelyszolgáltatónál van (megosztott tárhely).** A tárhelyszolgáltató a PHP-frissítést általában maga telepíti. Az Ön feladata: írásbeli megerősítést kérni, és az ügyfélmenüben ellenőrizni, hogy aktuális PHP-verzió van-e beállítva. Hogy mi az Ön további feladata, azt a [Megosztott tárhely: mit tesz a tárhelyszolgáltató, és mit kell Önnek tennie](https://phpsos.de/hu/server/shared-hosting/) oldal tartalmazza.
2. **Egy ügynökség vagy IT-szolgáltató gondozza a weboldalát.** Kérdezze meg náluk, hogy telepítették-e a frissítést, és újraindították-e a PHP-t, és kérjen egy rövid ellenőrzést feltűnő jelenségekre.
3. **Saját szervere van.** Ilyenkor Ön vagy az IT-je felel: frissíteni a PHP-t, újraindítani az összes PHP-folyamatot, naplókat menteni október 20-tól, és nyomokat keresni.

Mindhárom esetben igaz: a WordPress vagy a weboldalon lévő más rendszer frissítése nem zárja be a rést. És egy frissítés nem bizonyítja, hogy korábban nem történt semmi.

## Hogyan segít konkrétan a PHP SOS?

- **Érthető magyarázat:** Világos szavakkal megmondjuk, hogy a rendszerei érintettek-e, és hogyan.
- **Egyeztetés a tárhelyszolgáltatóval:** Kívánságára közvetlenül tisztázzuk a javítási állapotot a tárhelyszolgáltatójával vagy a szolgáltatójával.
- **Frissítés és ellenőrzés:** Saját szervereknél telepítjük a frissítést, újraindítjuk a PHP-t, és nyomokat keresünk.
- **Írásbeli rögzítés:** Rövid dokumentációt kap az állapotról.

További információ a [PHP2Shell azonnali segítség](https://phpsos.de/hu/leistungen/php2shell-soforthilfe/) oldalon.

## Összegzés

A PHP2Shell bonyolultan hangzik, a helyzet lényegében nem az: a weboldala konyhája kivételes esetekben nem takarít fel rendesen, és ez kihasználható. A frissítés ezt megjavítja. Az Ön feladata gondoskodni arról, hogy telepítve, aktiválva és igazolva legyen, és kétség esetén megnézetni, hogy előtte nem járt-e valaki a konyhában.


## Gyakori kérdések

**Mi a PHP egyszerű szavakkal?**  
A PHP egy programozási nyelv, amely a webszerveren dolgozik. Amikor megnyit egy oldalt, a PHP abban a pillanatban állítja össze, például az aktuális termékekkel, árakkal vagy az Ön kosarával, és elküldi a böngészőjének.

**Érintett a weboldalam, ha WordPresst használok?**  
A WordPress PHP-vel fut, ezért az alatta lévő szerver érintett lehet. Hogy a weboldala veszélyeztetett-e, az a szerveren lévő PHP állapotától függ, nem a WordPress verziójától. Kérdezze meg a tárhelyszolgáltatóját vagy a szolgáltatóját a PHP-frissítésről.

**Veszélyben lehetek látogatóként egy weboldalon?**  
A rés a szervereket érinti, nem a látogatók számítógépeit. Ha egy szervert átvesznek, a támadók azonban például módosíthatnak tartalmakat, vagy idegen oldalakra irányíthatják át a látogatókat. Ezért fontos a frissítés az üzemeltetők számára.

**Mit jelent a PHP2Shell név?**  
A lehetséges következményt írja le: a PHP-n keresztül a támadó a legrosszabb esetben egy shellt kaphat, vagyis a szerver egyfajta távirányítóját. A hivatalos jelölések a CVE-2026-109618 és a CVE-2026-109619.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [BSI: a német Szövetségi Információbiztonsági Hivatal](https://www.bsi.bund.de/)
- [ZDFheute: Sicherheitslücke bei PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)