Gyakori kérdések
Röviden megválaszolva. A részleteket a hivatkozott tudásoldalakon találja.
Mi az a PHP2Shell?
A PHP2Shell két kritikus rést jelöl magában a PHP-ban (CVE-2026-109618 és CVE-2026-109619, CVSS 9,2). Lehetővé tehetik a támadóknak, hogy bejelentkezés nélkül kártékony kódot futtassanak a szerveren. Javítások 2026. 10. 21. óta érhetők el.
Mely PHP-verziók biztonságosak?
A javításokat a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 tartalmazza. A tárhelyszolgáltatók és a disztribúciók részben backportokat telepítenek a verziószám megváltoztatása nélkül. A döntő a csomag állapota vagy a szolgáltató írásos igazolása.
Elég egy WordPress- vagy webshop-frissítés?
Nem. A rés a PHP-ban van, nem a CMS-ben. Egy CMS-frissítés nem zárja le. A PHP-javítás pedig nem távolítja el a korábban már bejuttatott kártékony kódot.
Milyen gyorsan tudnak segíteni?
Távolról dolgozunk, és megkezdjük a munkát, amint megvannak a hozzáférések. Írja meg nekünk WhatsAppon a rendszert, a PHP-verziót és a megfigyelését. Ezután közvetlenül egyeztetjük az eljárást.
Dolgoznak ügynökségeknek és tárhelyszolgáltatók ügyfeleinek is?
Igen. Közvetlenül vállalkozásoknak dolgozunk, ügynökségek megbízásából a háttérben, és egyeztetve a tárhelyszolgáltatóval, ha ő kezeli a szervert.
Be kell jelentenünk az incidenst?
Ha személyes adatok érintettek lehetnek, a GDPR 33. cikke szerint általában a tudomásszerzéstől számított 72 órás bejelentési határidő érvényes. Hogy ez fennáll-e, azt az adatvédelmi felelősével tisztázza. Mi szállítjuk hozzá a műszaki dokumentációt.
A PHP2Shell WordPress-rés?
Nem. A rések a PHP-ban vannak, vagyis abban a programozási nyelvben, amelyen a WordPress, a Shopware, a TYPO3 és sok más rendszer fut. A CMS frissítése ezért nem zárja le őket. A szerveren lévő PHP-állapot a döntő.
Nekem mint tárhelyszolgáltatói ügyfélnek magamnak kell tennem valamit?
Megosztott tárhelynél általában a tárhelyszolgáltató telepíti a PHP-frissítést. Ennek ellenére kérjen írásos megerősítést arról, hogy az Ön által használt PHP-verziót javították és újraindították. Azt, hogy a javítás előtt történt-e valami, a frissítés nem válaszolja meg.
Honnan ered a PHP2Shell név?
A név a következményt írja le: a PHP-n keresztül egy támadó a legrosszabb esetben parancssorhoz, vagyis shellhez juthat a szerveren. A hivatalos megnevezések a CVE-2026-109618 és a CVE-2026-109619 CVE-számok.
Megtámadták már a weboldalamat, ha offline-ra vették?
Nem feltétlenül. Egyes szolgáltatók elővigyázatosságból levették a weboldalakat a hálózatról, ahogy a BSI (a német Szövetségi Információbiztonsági Hivatal) ajánlja, ha a frissítés nem lehetséges azonnal. Ez védelmi intézkedés, nem bizonyíték egy támadásra.
Elég, ha a tárhelyszolgáltatóm frissítette a PHP-t?
Elég lehet, ha a tárhelyszolgáltató írásban megerősíti a csomagállapotot, és minden PHP-folyamatot újraindítottak. A kijelzett verziószám önmagában nem bizonyíték, mert a disztribúciók backportokat telepítenek. Azt pedig, hogy a szervert korábban megtámadták-e, a javítás úgysem dönti el.
Offline kell-e lennie a weboldalamnak az azonnali segítség idejére?
Nem feltétlenül. A BSI (a német Szövetségi Információbiztonsági Hivatal) azt ajánlja, hogy a webszervereket átmenetileg vegyék le a hálózatról, ha a frissítés nem lehetséges azonnal. Hogy ez Önnél szükséges-e, az állapotfelmérés után közösen döntjük el.
Véd-e a WordPress- vagy Shopware-frissítés a PHP2Shell ellen?
Nem. A PHP2Shell magában a PHP-ban van, nem a CMS-ben. A CMS-frissítés továbbra is hasznos, de ezt a rést nem zárja le.
Mi a helyzet a PHP 8.1 vagy régebbi verziókkal?
Ezekhez a verziókhoz a PHP-projekttől már nincs hivatalos frissítés, csak minimális forráskód-backportok a 7.4, 8.0 és 8.1 verzióhoz. A szervert átmenetileg biztosítjuk, és Önnel együtt megtervezzük az átállást egy támogatott verzióra.
Mikortól számít a 72 óra?
A GDPR 33. cikke szerint attól az időponttól, amikor az adatkezelő tudomást szerzett az incidensről. Hogy ez az egyedi esetben mikorra tehető, jogi értékelés kérdése. Ezért pontosan dokumentálja, ki mikor milyen információval rendelkezett.
Minden biztonsági rést be kell jelenteni?
Nem. Egy rés önmagában még nem jelenti a személyes adatok védelmének megsértését. Bejelentési kötelezettség akkor merülhet fel, ha vannak jelek arra, hogy illetéktelenek hozzáfértek vagy hozzáférhettek ilyen adatokhoz, és ebből kockázat származik az érintettekre nézve.
Mi van, ha 72 óra után még nem tudok mindent?
A GDPR 33. cikkének (4) bekezdése megengedi, hogy az információkat szakaszosan pótolják, ha nem lehet őket egyszerre rendelkezésre bocsátani. A késedelmes bejelentést indokolni kell. A teljes tisztázásra várás ezért általában nem ok arra, hogy a határidő elteljen.
Ki jelent be, ha a tárhelyszolgáltató volt érintett?
Bejelentésre az adatkezelő köteles, vagyis általában a weboldalt üzemeltető vállalkozás. Az adatfeldolgozó, például a tárhelyszolgáltató a GDPR 33. cikkének (2) bekezdése szerint indokolatlan késedelem nélkül köteles tájékoztatni az adatkezelőt.
Hol jelentem be az adatvédelmi incidenst?
Az illetékes adatvédelmi felügyeleti hatóságnál; Németországban a vállalkozások számára ez többnyire a székhelyük szerinti szövetségi tartomány hatósága. A legtöbb hatóság online űrlapot kínál erre.
Minden óra számít. Írjon nekünk most.
Ismertesse röviden a rendszert, a PHP-verziót és a megfigyelését. Jelentkezünk, tisztázzuk a helyzetet, és távolról dolgozunk, amíg az incidens le nem zárul és dokumentálva nem lesz.