Két kritikus PHP-hiba: rendkívüli biztonsági frissítés érkezik
A PHP fejlesztői rendkívüli biztonsági figyelmeztetést tettek közzé 2026. október 20-án. A hivatalos közlemény szerint két kritikus sérülékenységet azonosítottak, amelyek javítására október 21-én soron kívüli biztonsági kiadást terveznek. Mindkét hibát 9,2-es súlyosságúnak értékelték a CVSS 4.0 rendszerben.
A bejelentés a webtárhely-szolgáltatókat, a saját Linux-szervereket üzemeltető rendszergazdákat és a PHP-alapú alkalmazásokat használó vállalkozásokat egyaránt érinti. A pontosan veszélyeztetett PHP-verziókat azonban a fejlesztők egyelőre nem nevezték meg.
Október 21-én érkezhet a rendkívüli PHP-frissítés
A PHP Security Team tájékoztatása szerint a biztonsági kiadás tervezett időpontja 2026. október 21., szerda, 14:00 UTC, amely magyar idő szerint 16:00 órának felel meg.
A fejlesztők azt is közölték, hogy bizonyos körülmények között a frissítés korábban is megjelenhet. Erre akkor kerülhet sor, ha a sérülékenységek technikai részletei idő előtt nyilvánosságra kerülnek, vagy aktív kihasználásra utaló bizonyíték jelenik meg.
Ez különösen fontos az éles webkiszolgálókat üzemeltetők számára. A biztonsági javítások megjelenése és telepítése között eltelt idő egy súlyos sérülékenységnél jelentős kockázatot jelenthet.
Mit jelent a 9,2-es CVSS besorolás?
A Common Vulnerability Scoring System, röviden CVSS, a biztonsági sérülékenységek súlyosságának értékelésére szolgáló rendszer.
A most bejelentett két hiba egyaránt 9,2-es pontszámot kapott a CVSS 4.0 szabvány szerint, ami a kritikus kategóriába tartozik.
Fontos ugyanakkor különbséget tenni a sérülékenység súlyossága és a tényleges kihasználhatóság között. A magas pontszám önmagában nem bizonyítja, hogy egy támadási módszer már nyilvánosan elérhető, vagy hogy valamennyi PHP-alapú weboldal közvetlenül támadható.
A PHP fejlesztői egyelőre nem közölték, hogy a hibák mely komponenseket érintik, milyen előfeltételekkel használhatók ki, illetve szükséges-e hozzájuk hitelesítés vagy speciális konfiguráció.
Ezért jelenleg nem lenne megalapozott távoli kódfuttatásról, jogosultságemelésről vagy konkrét támadási forgatókönyvről beszélni.
Mely PHP-verziók érintettek?
Ez a legfontosabb nyitott kérdés.
A hivatalos előzetes figyelmeztetés nem sorolja fel az érintett PHP-ágakat, és a javított kiadások pontos verziószámait sem tartalmazza.
A fejlesztők kifejezetten jelezték, hogy ezeket az információkat a biztonsági frissítés megjelenésekor hozzák nyilvánosságra.
A rendszergazdáknak ezért nem elegendő kizárólag azt ellenőrizniük, hogy egy szerveren PHP 8.2, 8.3, 8.4 vagy újabb verzió működik. A biztonságos állapot megállapításához a ténylegesen telepített csomagokat és azok javítási szintjét is ismerni kell.
Különösen körültekintően kell eljárni a régebbi, már nem támogatott PHP-verziókat használó weboldalakkal.
CloudLinux és cPanel: két külön PHP-csomagrendszer
A cPanel és CloudLinux alapú tárhelykörnyezetekben a helyzet összetettebb lehet, mint egyetlen PHP-verzió frissítése.
A cPanel EasyApache 4 rendszerében az EA-PHP csomagok biztosítják a különböző PHP-verziókat. CloudLinux környezetben emellett gyakran ALT-PHP csomagok is telepítve vannak, amelyeket a PHP Selector segítségével használhatnak a tárhelyfiókok.
A két csomagrendszer frissítési mechanizmusa és a csomagok terjesztése eltérhet egymástól.
A CloudLinux HardenedPHP technológiája bizonyos régebbi PHP-verziókhoz is biztosíthat visszaportolt biztonsági javításokat. Ez azonban nem jelenti automatikusan, hogy egy újonnan bejelentett sérülékenységhez már rendelkezésre áll a megfelelő javítás.
Az október 21-i kiadás után ezért nemcsak a PHP hivatalos közleményét, hanem az érintett csomagszállítók biztonsági frissítéseit is ellenőrizni kell.
Hogyan készülhetnek fel a szerverüzemeltetők?
A javítás megjelenése előtt érdemes felmérni, mely PHP-verziók vannak ténylegesen telepítve, és milyen alkalmazások használják azokat.
Egy CloudLinux vagy cPanel rendszerben a telepített PHP-csomagok például az alábbi paranccsal vizsgálhatók:
rpm -qa | grep -E '^(alt-php|ea-php)' | sort -VA parancs kizárólag a telepített RPM-csomagokat listázza, nem módosítja a szervert.
Fontos figyelembe venni, hogy a parancssori php -v eredménye önmagában nem feltétlenül tükrözi a weboldalak által használt PHP-verziókat. Többverziós tárhelykörnyezetben egyes domainek eltérő PHP-kiadásokat és futtatási módokat használhatnak.
A frissítés előkészítésekor érdemes ellenőrizni a csomagkezelő működését, a rendelkezésre álló szabad tárhelyet, a megfelelő biztonsági mentések meglétét és a PHP-FPM szolgáltatások állapotát is.
Nem minden szerverfrissítés jelent PHP-frissítést
Gyakori félreértés, hogy egy cPanel & WHM-frissítés automatikusan minden telepített PHP-összetevőt a legújabb biztonsági állapotra hoz.
Az EA-PHP csomagok frissítése az EasyApache 4 és a rendszer csomagkezelési mechanizmusához kapcsolódik. CloudLinux esetén az ALT-PHP csomagok frissítési állapotát is külön ellenőrizni szükséges.
Egy sikeresen frissített cPanel-verzió tehát önmagában nem igazolja, hogy a szerveren működő valamennyi PHP-környezet már tartalmazza a szükséges biztonsági javításokat.
A javítások telepítése után célszerű ellenőrizni a tényleges csomagverziókat, az alkalmazáskiszolgáló folyamatokat és a weboldalak működését.
Mi történik a biztonsági kiadás után?
Október 21-én a legfontosabb feladat az érintett és javított PHP-verziók pontos azonosítása lesz.
Ezt követően a megfelelő csomagfrissítéseket a gyártók által támogatott módszerekkel kell telepíteni.
Külön figyelmet érdemelnek azok a rendszerek, amelyeken több PHP-verzió párhuzamosan működik, illetve amelyek régebbi webalkalmazások kompatibilitása miatt nem térhetnek át azonnal újabb PHP-ágra.
A biztonsági frissítés után a PHP-FPM folyamatok, az alkalmazások és a hibanaplók ellenőrzése is szükséges lehet. A csomagok telepítése önmagában nem minden esetben elegendő a javított kód tényleges használatba vételéhez.
A felkészülés most fontosabb, mint a találgatás
A PHP fejlesztőinek előzetes figyelmeztetése lehetőséget biztosít arra, hogy a rendszergazdák még a részletes sérülékenységi információk megjelenése előtt felkészüljenek.
A jelenleg ismert adatok alapján két kritikus, egyenként 9,2-es CVSS 4.0 besorolású sérülékenységről van szó. A pontos technikai részletek és az érintett verziók egyelőre nem nyilvánosak.
A következő lépés nem a találgatás, hanem a PHP-környezetek felmérése, majd a hivatalos javítások megjelenése után azok mielőbbi, ellenőrzött telepítése.
*A cikk a 2026. október 20-án rendelkezésre álló hivatalos információk alapján készült, és a biztonsági frissítés megjelenése után kiegészítésre szorulhat.*
Hivatalos források
- PHP.net – Upcoming Critical PHP Security Release
- cPanel – About EasyApache 4
- CloudLinux – ALT-PHP Security Updates
English version: [Two Critical PHP Vulnerabilities: Security Release Scheduled](/en/blog/two-critical-php-vulnerabilities-security-release-2026)