# PHP2Shell feltörés? Hívjon minket. Segítünk.

> PHP2Shell-támadás gyanúja? Nyomokat mentünk, lezárjuk a rést, és megtisztítjuk a szervert. Vegye fel velünk a kapcsolatot telefonon vagy WhatsAppon.

Forrás: https://phpsos.de/hu/soforthilfe/php2shell-gehackt/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Ha azt gyanítja, hogy a szerverét a PHP2Shell-en keresztül törték fel, jelentkezzen most. Érintett? Hívjon minket. Segítünk. Az első üzenettől átvesszük a megfékezést, mentjük a nyomokat, lezárjuk a rést, eltávolítjuk a kártékony kódot, és az incidenst a lezárásáig dokumentáljuk.

> **Azonnal cselekedjen:**
> **Most ne töröljön semmit, és ne telepítsen újra semmit.** A törölt fájlok és a felülírt naplók azok a nyomok, amelyekből kiderül, hogy valaki bejutott-e, és hogyan. Szükség esetén válassza le a szervert a hálózatról, de hagyja változatlanul. [Vészhelyzet bejelentése](https://phpsos.de/hu/notfall/), megmondjuk a következő lépést.

## Érintett? Jelek arra, hogy a PHP2Shell-t már kihasználták

A PHP2Shell két kritikus rés neve magában a PHP-ban, amelyekkel a támadók bejelentkezés nélkül, távolról futtathatnak kártékony kódot. Egyértelmű ujjlenyomat egyelőre nincs. Ezért az számít, mit csinál a szerver, nem az, hogy mit talál egy szkenner. A behatolásra utaló jelek:

- Olyan webszerver- vagy PHP-FPM-folyamatok, amelyek shellt, például `sh`-t vagy `bash`-t indítanak. Ez erős figyelmeztető jel.
- Új vagy módosított PHP-fájlok a feltöltési, gyorsítótár- vagy temp-mappákban, amelyeket senki sem hozott létre.
- Cron-feladatok, szolgáltatások vagy SSH-kulcsok, amelyeket Ön nem ismer.
- Ismeretlen célpontok felé irányuló kimenő kapcsolatok, hirtelen magas terhelés vagy szokatlan adatforgalom.
- Kérések a naplókban 2026. október 17-től, különösen feltűnő feltöltések és munkamenet-kérések a javítás telepítése előtt.
- A tárhelyszolgáltató, a böngésző vagy a keresőmotor jelzése spamről, kártevőről vagy átirányításokról.

Többet erről itt talál: [Már feltörték a rendszeremet?](https://phpsos.de/hu/php2shell/bin-ich-gehackt-anzeichen/). Ha egyetlen jel sem látszik, az nem bizonyítja, hogy a szerver tiszta. Csak azt jelenti, hogy eddig semmi sem tűnt fel.

## Mit tegyen azonnal

1. **Ne változtasson semmit.** Ne töröljön fájlokat, ne állítson vissza mentést, ne telepítsen újra semmit, amíg a mentés meg nem történt.
2. **Mentse a naplókat.** Kérje meg a tárhelyszolgáltatóját vagy az informatikusait, hogy a hozzáférési, hiba- és rendszernaplókat ne írják felül. A szakmai sajtó azt javasolja, hogy a naplókat 2026. október 20-tól őrizzék meg.
3. **Döntsön az elérhetőségről.** Ha adatok szivároghatnak ki, vagy a látogatók veszélybe kerülhetnek, vegye le az oldalt a hálózatról, vagy kapcsolja karbantartási módba.
4. **Gyűjtse össze a hozzáféréseket.** Jegyezze fel, kinek van hozzáférése a szerverhez, a panelhez, a CMS-hez és az adatbázishoz. A jelszavakat csak egyeztetés után, és egy tiszta eszközről módosítsa.
5. **Értesítse az érintetteket.** A vezetést, az adatvédelmi felelőst, meglévő biztosítás esetén a biztosítót.
6. **Hívjon vagy írjon nekünk.** Minél korábban ismerjük a helyzetet, annál több marad igazolható.

## Hogyan segít konkrétan a PHP SOS?

Távolról dolgozunk, kiszállás nélkül, egész Németországban és Európában.

1. **Helyzetfelmérés:** Tisztázzuk, mely rendszerek futnak, melyik PHP-üzemmód van használatban, mi tűnt fel, és mely adatok lehetnek érintettek.
2. **Mentés és lezárás:** Mentjük a fájlokat, az adatbázist és a naplókat, és minden változtatás előtt rögzítjük az állapotot. Utána a rést a javítással zárjuk le, vagy ha az még nem lehetséges, átmeneti intézkedésekkel, és újraindítjuk az összes PHP-folyamatot.
3. **Vizsgálat és tisztítás:** Webshelleket, hátsó ajtókat, cron-feladatokat és idegen hozzáféréseket keresünk, és eltávolítjuk őket, vagy megbízható forrásokból újraépítjük az állapotot. Az eljárást a [Kártevők és webshellek eltávolíttatása](https://phpsos.de/hu/leistungen/malware-entfernung/) írja le.
4. **Keményítés és jelentés:** Megváltoztatjuk az érintett titkokat, pótoljuk a védelmi intézkedéseket, és jelentést adunk, amely különválasztja a bizonyítottat, a valószínűt és az ismeretlent.

Ha az incidens egy szerveren túlra terjed, átlépünk a strukturált [Incident Response](https://phpsos.de/hu/leistungen/incident-response/) eljárásba. Ha bíróság előtt is megálló bizonyítékokra van szükség, bevonjuk az [IT-forenzikát](https://phpsos.de/hu/leistungen/it-forensik/).

## Miért nem elég egy támadás után pusztán a javítás

A rések a PHP-értelmezőben vannak, nem a CMS-ben. A PHP-projekt 2026. október 21-én kiadta a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziót. Aki ezt követően frissített, és az összes workert újraindította, védett az ezen az úton érkező új támadások ellen. Ami viszont korábban odakerült egy támadótól, az ott marad: egy webshell, egy további fiók, egy ütemezett feladat. Éppen ezért különösen fontosak a 2026. október 17. és 21. közötti napok.

Ehhez jön egy második szempont: a webshell gyakran csak az első lépés. Aki a webszerveren kódot futtathatott, az konfigurációs fájlokat is olvashatott, és belőlük adatbázis-, levelezési és API-hozzáféréseket szerezhetett. Ezeket a titkokat le kell cserélni, különben az ajtó nyitva marad, noha a PHP javított. Hogyan érdemes a fájlokat és az időpontokat átvizsgálni, azt a [Webshellek felismeréséről](https://phpsos.de/hu/ratgeber/webshell-erkennen/) szóló útmutató írja le.

## Bejelentési kötelezettség és dokumentáció

Ha személyes adatok is érintettek lehettek, a felügyeleti hatóságnak szóló bejelentés 72 órán belül szükségessé válhat. Az óra a tudomásszerzéstől számít, nem a vizsgálat lezárásától. Hogy az Ön esete bejelentésköteles-e, azt az adatvédelmi felelős vagy egy ügyvéd dönti el; jogi tanácsadást nem nyújtunk. A dokumentációnk ehhez adja az alapot. A határidőről többet olvashat itt: [GDPR-bejelentési kötelezettség 72 órán belül](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/), a további lépéseket pedig a [Feltörés utáni ellenőrzőlista](https://phpsos.de/hu/ratgeber/checkliste-nach-dem-hack/) tartalmazza.

## Mit érdemes elküldenie nekünk

- Leírás arról, mi tűnt fel, mióta, és ki vette észre
- A szerver típusa: saját szerver, menedzselt szerver vagy tárhelycsomag, valamint a tárhelyszolgáltató
- A `php -v` eredménye és, ha ismert, az üzemmód (PHP-FPM, mod_php, LiteSpeed)
- A PHP-frissítés időpontja, ha már telepítették
- Hozzáférés a szerverhez, vagy engedély arra, hogy beszéljünk a tárhelyszolgáltatójával
- Olyan kapcsolattartó, aki dönthet a leállításról és az újraindításokról

## Miért a PHP SOS

A munkánk Made in Germany, és a kiberbiztonsági szakemberekből álló partnerhálózatunkkal több mint 25 éve az informatikai biztonságra szakosodtunk. Önnek egyetlen kapcsolattartója van, aki az első üzenettől a lezárásig kíséri. Minden, amit teszünk, dokumentált, hogy a vezetés, a biztosító és a hatóságok felé igazolni tudja. Nem ígérünk olyat, amit senki sem tarthat be: ha hiányoznak a naplók, azt nyíltan megmondjuk, és megnevezzük, mi bizonyított, és mi marad feltételezés.

## Érintett? Hívjon minket. Segítünk.

Ne várjon, amíg a gyanú bizonyossággá válik. Hívjon minket, vagy írjon WhatsAppon. Az első üzenettől átvesszük az ügyet, és addig maradunk, amíg az incidens le nem zárul, és dokumentált nem lesz. [Vészhelyzet bejelentése most](https://phpsos.de/hu/notfall/).


## Gyakori kérdések

**Elég frissíteni a PHP-t, ha a szerveremet esetleg már feltörték?**  
Nem. A frissítés lezárja a rést, de nem távolítja el a már bejuttatott kártékony szoftvert, és nem bizonyítja, hogy korábban nem történt semmi. A javítás után a szervert meg kell vizsgálni, nincsenek-e rajta a behatolás nyomai.

**Hogyan ismerhető fel egy sikeres PHP2Shell-támadás?**  
Nincsenek közzétett, megerősített Indicators of Compromise. A felismerés a viselkedésen alapul: shellt indító webszerver-folyamatok, új PHP-fájlok a feltöltési vagy gyorsítótár-mappákban, ismeretlen cron-feladatok vagy SSH-kulcsok, valamint feltűnő kimenő kapcsolatok.

**Le kell választanom a szervert a hálózatról, ha behatolást gyanítok?**  
Gyakran ez a helyes lépés, hiszen a BSI még akkor is azt javasolja, hogy a webszervert átmenetileg le kell választani a hálózatról, ha a frissítés nem lehetséges azonnal. Fontos, hogy közben semmit se töröljön, és őrizze meg a naplókat és a fájlokat, hogy az incidens kivizsgálható legyen.

**Egy PHP2Shell-támadás után értesítenem kell az adatvédelmi hatóságot?**  
Ha személyes adatok is érintettek lehetnek, 72 órán belüli bejelentés válhat szükségessé. A döntést az adatvédelmi felelőssel vagy egy ügyvéddel együtt hozza meg; ehhez mi a műszaki tényeket szolgáltatjuk.

**Valóban törtek már fel szervereket a PHP2Shell-en keresztül?**  
Médiabeszámolók szerint 2026. október 17-től voltak az első megfigyelt támadási kísérletek, és a Cloudflare is beszámolt megfigyelt támadási kísérletekről. A BSI kezdetben nem jelentett széles körben megerősített, sikeres támadásokat. Egyedi esetben ez csak magán a szerveren tisztázható.

## Források

- [BSI: Szövetségi Információbiztonsági Hivatal (Németország)](https://www.bsi.bund.de/)
- [php.net: biztonsági közlemények](https://www.php.net/)
- [GDPR 33. cikk: bejelentés a felügyeleti hatóságnak](https://dsgvo-gesetz.de/art-33-dsgvo/)