# Mely PHP-verziókat érinti?

> Mely PHP-verziókat érinti a PHP2Shell és melyek javítottak: verziótáblázat a 8.5-től az 5.4-ig, tudnivalók a backportokról, a támogatás végéről és az eljárásról.

Forrás: https://phpsos.de/hu/php2shell/betroffene-php-versionen/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A PHP2Shell PHP-sebezhetőség a 8.2-től 8.5-ig terjedő ágakat érinti a 2026. október 21-i kiadásokig, a szakmai sajtó szerint szinte az összes verziót egészen a PHP 5.4-ig visszamenőleg. Javítva a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verzióban. A PHP 8.1-hez és a régebbiekhez már nincs hivatalos frissítés, csak minimális forráskód-backportok a 7.4, 8.0 és 8.1 verzióhoz.

## Mely verziókat érintette a PHP-sebezhetőség?

A PHP2Shell a két rést, a CVE-2026-109618-at és a CVE-2026-109619-et foglalja magában, mindkettőt CVSS v4.0 9,2 értékkel minősítették. Mindkettő kártékony kód távoli futtatását teszi lehetővé bejelentkezés nélkül. 2026. október 21-én 14:00 UTC-kor (német idő szerint 16 órakor) a PHP-projekt javításokat tett közzé az összes támogatott ághoz.

| PHP-ág | Utolsó állapot a javítás előtt | Javítva ettől | Támogatás |
|---|---|---|---|
| 8.5 | 8.5.11 | **8.5.12** | hivatalosan támogatott |
| 8.4 | 8.4.26 | **8.4.27** | hivatalosan támogatott |
| 8.3 | 8.3.35 | **8.3.36** | hivatalosan támogatott |
| 8.2 | 8.2.34 | **8.2.35** | 2026. 12. 31-én ér véget |
| 8.1, 8.0, 7.4 | minden állapot | nincs hivatalos kiadás | csak minimális forráskód-backportok |
| 7.3-tól 5.4-ig | a szakmai sajtó szerint szinte mind érintett | nincs frissítés | évek óta támogatás nélkül |

A 8.2-től 8.5-ig terjedő adatok a php.net közleményeiből származnak. Az 5.4-ig terjedő verziókra vonatkozó állítás a szakmai sajtóból származik; a régi verziókra nincs teljes hivatalos lista.

Nem műszaki olvasóknak néhány mondatban: ha a szerverén a „Javítva ettől“ oszlopból való vagy magasabb verzió áll, és utána az összes PHP-folyamatot újraindították, a PHP2Shell le van zárva. Ha régebbi szám áll ott, vagy egy backport van a háttérben, amelyet a szolgáltatónak kell megerősítenie, vagy a rés nyitva van. Kétség esetén kérdezze meg az informatikusát vagy a tárhelyszolgáltatóját pontosan erről a három pontról: verzió, backport, újraindítás.

## Érintett üzemmódok

A verziószám csak a fele a válasznak. Érintett a PHP webszerveren való üzemeltetésének minden szokásos módja: a PHP-FPM, az Apache mod_php-val, a php-cgi, a FrankenPHP és a LiteSpeed. A PHP-csapat a mod_php esetében értékeli a kockázatot a legmagasabbra, mert ott exploitot mutattak be, még mielőtt az alkalmazáskód egyáltalán futna. Részletek a [Miért a mod_php viseli a legnagyobb kockázatot](https://phpsos.de/hu/php2shell/mod-php-risiko/) oldalon.

Az alkalmazásból nem adódik védelem: legyen az WordPress, Shopware, TYPO3, Laravel vagy saját fejlesztés, az alkalmazás frissítése nem zárja le a PHP-ban lévő rést.

## Backportok: amikor a verziószám megtéveszt

Sok Linux-disztribúció és tárhelyszolgáltató saját csomagokban szállítja a PHP-t. Ahelyett, hogy új upstream verzióra ugranának, a javítást backportként veszik át a meglévő verziójukba. Ennek gyakorlati következménye van: a kijelzett szám régi marad. Példa az aktuális helyzetből a Plesk, amely továbbra is 8.2.34-et mutathat, noha a hiba javítva van.

Ez Önnek azt jelenti: a fenti táblázat a php.net hivatalos kiadásaira érvényes. A disztribúciójából vagy a tárhelyszolgáltatótól származó csomagoknál a csomagállapot és a szolgáltató megerősítése dönt. Hogyan ellenőrizheti mindkettőt, azt a [PHP-verzió és javítási állapot helyes ellenőrzése](https://phpsos.de/hu/php2shell/php-version-pruefen/) mutatja. A gyorsteszt a parancssorban:

```bash
php -v
apt policy php8.3-fpm        # Debian/Ubuntu, a csomag neve verziónként és forrásonként eltér
dnf info php-fpm             # RHEL-család
```

> **Fontos:**
> A merevlemezen lévő javított verziószám még nem jelenti, hogy az fut is. Csak az összes PHP-folyamat újraindítása után dolgozik a szerver a javított kóddal.

## Mi érvényes a PHP 8.1-re és a régebbiekre?

A PHP 8.1-hez, 8.0-hoz és 7.4-hez csak minimális forráskód-backportok léteznek, vagyis olyan forráskódbeli javítások, amelyeket valakinek magának kell átvennie és lefordítania. Hivatalos kiadások nem jelennek meg. Egyes, hosszú távú gondozású disztribúciók beépítenek ilyen javításokat a csomagjaikba; hogy ez az Ön rendszerére érvényes-e, azt csak a csomag changelogja alapján vagy a szolgáltatónál lehet tisztázni.

Hosszabb távon nincs kiút egy támogatott verzió nélkül. Hogy a CMS-e vagy webshopja melyik PHP-verziót bírja el, azt a gyártó rendszerkövetelményei szerint ellenőrizze, például a wordpress.org, shopware.com vagy typo3.org oldalon. Többet erről a [PHP 8.1 és régebbi: mi érvényes most](https://phpsos.de/hu/php2shell/php-8-1-und-aelter/) oldalon talál.

## És a CVE-2026-115560?

Október 23-án a php.net tudnivalót tett közzé egy harmadik résről. Csak szokatlan session-konfigurációnál érvényesül. Javított verzió az október 25-i állás szerint még nincs; a következő rendes hibajavító kiadásig a megoldás `session.upload_progress.enabled=0`. Verzióslista a teljes advisoryval várható.

## Hogyan segít konkrétan a PHP SOS?

- **Leltár:** Felmérjük a szervereiken lévő összes PHP-verziót, az egyes weboldalakhoz tartozó, könnyen elkerülő másodtelepítéseket is.
- **Összevetés:** Minden telepítésnél tisztázzuk, hogy hivatalos kiadás, disztribúciós backport vagy semmilyen javítás áll fenn.
- **Frissítés igazolással:** A [PHP-javítási szolgáltatáson](https://phpsos.de/hu/leistungen/php-patch-service/) keresztül telepítjük a javítást, és újraindítjuk az összes folyamatot.
- **Migrációs terv:** A hivatalos frissítés nélküli verzióknál a [PHP 8.1 és régebbi migrációjával](https://phpsos.de/hu/leistungen/php-migration-legacy/) megtervezzük az átállást, és addig biztosítjuk a szervert.


## Gyakori kérdések

**A PHP 8.3.35 még biztonságos?**  
Nem, hacsak a szolgáltatója nem telepített backportot. A 8.3.35 a javítás előtti utolsó állapot; a PHP2Shell a 8.3 ágban a 8.3.36-tól javított. A disztribúciós csomagoknál a szám maradhat ugyanaz, noha a hiba javítva van. Ilyenkor a csomag changelogja vagy a szolgáltató megerősítése számít.

**Érinti a PHP2Shell a PHP 7.4-et?**  
A szakmai sajtó szerint szinte az összes verzió érintett egészen a PHP 5.4-ig visszamenőleg. A 7.4, 8.0 és 8.1 verzióhoz csak minimális forráskód-backportok vannak, hivatalos kiadások nincsenek. A támogatott verzióra való átállás a megbízható út.

**Miért mutat a Plesk 8.2.34-et, noha javították?**  
A disztribúciók és a tárhelyszolgáltatók a javításokat részben backportként veszik át a meglévő csomagjaikba. A verziószám ilyenkor ugyanaz marad, a hiba mégis javítva van. Ellenőrizze a csomagállapotot, vagy kérje a szolgáltatótól a javítás megerősítését.

**Melyik PHP-verziót válasszam most?**  
Egy támogatott verziót, amelyet az alkalmazása a gyártó rendszerkövetelményei szerint jóváhagy. A PHP 8.2 2026. 12. 31-én éri el a támogatás végét; aki most úgyis vált, ezt vegye figyelembe.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net: támogatott verziók](https://www.php.net/supported-versions.php)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)