# MediaWiki biztonság a PHP2Shell után: belső wikik védelme

> MediaWiki biztonság a PHP2Shell után: PHP ellenőrzése (Special:Version), LocalSettings.php és images védelme, interfész-adminok és Common.js átnézése.

Forrás: https://phpsos.de/hu/plattformen/mediawiki/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A MediaWiki biztonsága a PHP2Shell után a szerver PHP-jánál kezdődik, mert a rés ott van, nem a wikiben. A belső wikikhez gyakran évekig nem nyúlnak, és régi PHP-verziókon futnak. Ellenőrizze az állapotot a `Special:Version` oldalon, javítson és indítson újra, majd vizsgálja át a `LocalSettings.php` fájlt, az `images` mappát és az interfész-adminisztrátorokat.

## Miért jó célpontok a belső wikik

A MediaWiki sok vállalkozásnál, hatóságnál és kutatóintézetnél szolgál belső kézikönyvként. Ott állnak a folyamatok, a kapcsolattartók, a hálózati tervek, a szerverek útmutatói, és néha olyan hozzáférési adatok is, amelyeknek nem ott a helyük. Egy támadó számára egy ilyen wiki a vállalkozás térképe.

A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül. Egy „csak belsőnek” szánt, de az interneten át elérhető wiki így közvetlenül támadható. És mivel a wikik ritkán állnak az informatika fókuszában, gyakran régi szervereken futnak, sokszor még a PHP-val mint Apache-modullal, azzal az üzemmóddal, amely a PHP-csapat szerint a legmagasabb kockázatú.

## MediaWiki biztonság: a PHP-verzió és a javítási állapot ellenőrzése

A **Special:Version** oldal megmutatja a MediaWiki, a PHP és az adatbázis verzióját, valamint az összes telepített bővítményt és skint. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Sok wiki-szerver backportokat használó Linux-disztribúciókon fut; a megjelenített szám ilyenkor ugyanaz marad, noha a javítás megtörtént.

Ha a wiki PHP 8.1-en vagy régebbin fut, a PHP-projekttől már nincsenek hivatalos frissítések, csak minimális forráskód-backportok a 7.4, 8.0 és 8.1 esetében. Hogy ilyenkor mi érvényes, azt a [PHP 8.1 és régebbi](https://phpsos.de/hu/php2shell/php-8-1-und-aelter/) oldal foglalja össze. Hogy a MediaWiki-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a mediawiki.org oldalon ellenőrizheti. Egy PHP-váltás MediaWiki-frissítést is feltételezhet.

A karbantartó szkriptek és a job runnerek a parancssori PHP-n át futnak. Ennek a verziónak is javítottnak kell lennie. Ha a job-sor tartósan futó szolgáltatásként működik, azt a frissítés után ugyanúgy újra kell indítani, mint a webszervert vagy a PHP-FPM-et. A mod_php esetében ez magának az Apache-nak az újraindítását jelenti, mert a PHP ott a webszerver-folyamatban van.

Tisztázza azt is, kié a wiki. A belső wikiket gyakran egy szakosztály állította fel, és a szokásos szervergondozáson kívül futnak. Egyértelmű felelősség nélkül a PHP-frissítés ott marad a legtovább.

## Könyvtárak és fájlok a MediaWikiben

| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
| `LocalSettings.php` | adatbázis-hozzáférés, `$wgSecretKey`, `$wgUpgradeKey`, jogok, feltöltési beállítások | beszúrt kód, gyanú esetén a kulcsok megújítása |
| `images/` | feltöltött fájlok és előnézeti képek | nincs PHP-fájl, nincs PHP-futtatás |
| `extensions/`, `skins/` | bővítmények és dizájnok | ismeretlen vagy módosított fájlok |
| `cache/` | gyorsítótár | tisztítás után kiüríteni |
| `maintenance/` | karbantartó szkriptek a parancssorhoz | ne használja a weben át |

A feltöltési könyvtárban a webszerver szintjén nem szabad szkripteket futtatni. Apache alatt ez a PHP üzemmódjától függetlenül így megy:

```apache
<Directory "/var/www/wiki/images">
    <FilesMatch "\.(php|phtml|phar)$">
        Require all denied
    </FilesMatch>
</Directory>
```

Egy veszélytelen első ellenőrzés:

```bash
find images -type f -name "*.php*"
ls -l LocalSettings.php
```

> **Tipp:**
> Ellenőrizze a `MediaWiki:Common.js` és a `MediaWiki:Common.css` oldalak laptörténetét. Az ottani változtatások a wiki minden látogatójára hatnak, és a bejuttatott kód tipikus helyei.

## Jogok, csoportok és bővítmények

A MediaWikiben a felhasználói csoportok döntenek a biztonságról. A `Special:ListUsers` és a `Special:UserRights` alatt ellenőrizze, ki tartozik az adminisztrátorok, a bürokraták és az interfész-adminisztrátorok csoportjába. Az interfész-adminisztrátorok a teljes wiki JavaScriptjét módosíthatják; ennek a csoportnak nagyon kicsinek kell lennie.

Egy belső wikinél az olvasást bejelentkezés nélkül ki kell kapcsolni, az új fiókok regisztrációját pedig le kell zárni. Feltöltést csak azokra a fájltípusokra engedélyezzen, amelyekre valóban szükség van. A bővítmények saját PHP-kódot hoznak; a gondozás nélküli bővítmények ezenfelül minden frissítést fékeznek. A szerveren lévő fájljogokhoz a [Fájljogok a webszerveren](https://phpsos.de/hu/ratgeber/dateirechte-webserver/) útmutató nyújt tájékozódást.

## Mit tud egy MediaWiki-frissítés, és mit nem

Egy MediaWiki-frissítés lecseréli a magot, és lezárja az abban lévő ismert hibákat. A PHP-t nem javítja, PHP-folyamatokat nem indít újra, a `LocalSettings.php` fájlon nem változtat, és sem az `images/` mappa fájljait, sem a `MediaWiki:Common.js` módosításait, sem a további csoporttagokat nem távolítja el. Azt sem bizonyítja, hogy a javítás előtt senki nem olvasott bele.

Gyors áttekintést adnak ezenfelül a naplók a `Special:Log` alatt. Az új felhasználói fiókok, a csoportjogok változásai és az interfész-oldalak szerkesztései 2026. 10. 17. óta időponttal vannak ott feljegyezve.

## Hogyan segít konkrétan a PHP SOS?

- Ellenőrizzük a wiki-szervere PHP-verzióját, üzemmódját és backport-állapotát, és megerősíttetjük az újraindítást.
- Mentjük a naplókat 2026. 10. 20-tól, az adatbázist és a fájlokat.
- Ellenőrizzük a `LocalSettings.php` fájlt, a feltöltéseket, a bővítményeket, a csoportjogokat és az interfész-oldalak laptörténetét.
- A [PHP2Shell azonnali segítség](https://phpsos.de/hu/leistungen/php2shell-soforthilfe/) keretében Önnel együtt értékeljük, hogy a wikinek nyilvánosan elérhetőnek kell-e maradnia.


## Gyakori kérdések

**Érinti a MediaWikit a PHP2Shell?**  
A MediaWikinek nincs új rése, de PHP-n fut. Ha a szerver PHP-ja nincs javítva, a PHP-csapat szerint egy támadó bejelentkezés nélkül futtathat kódot. Egy MediaWiki-frissítés nem zárja le a rést.

**Hol látom a wikim PHP-verzióját?**  
A Special:Version oldalon a MediaWiki felsorolja a telepített szoftvert, a PHP-verziót is. Hogy be van-e juttatva backport, abból nem ismerhető fel; ezt a szerver üzemeltetője erősíti meg.

**Miért kockázat a MediaWiki:Common.js?**  
Ennek az oldalnak a tartalmát JavaScriptként szolgálják ki a wiki összes látogatójának. Aki módosítani tudja, kódot futtathat minden felhasználó böngészőjében. Az interfész-adminisztrátorok csoportja ezért legyen nagyon kicsi.

**Elég, ha a wikit csak belsőleg tesszük elérhetővé?**  
A csak a céges hálózaton vagy VPN-en át elérhető wiki jelentősen csökkenti a kockázatot, mert az internetről érkező támadók nem érik el közvetlenül. Javítani ettől még kell, mert a belső hálózatból is jöhet támadás.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [MediaWiki](https://www.mediawiki.org/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)