A két kritikus PHP-sérülékenység kezelése világszerte rendkívüli üzemeltetési akcióvá vált. Ahogy a tegnap kiadott riasztásunkban is felhívtuk a figyelmet, a CVE-2026-109618 és CVE-2026-109619 javításai megjelentek, ugyanakkor több szervezet a frissítés előkészítése érdekében átmenetileg leállította webes szolgáltatásait, és a fenyegetettségi megfigyelők már támadási kísérletekről is beszámolnak.
A PHP projekt október 21-én tette közzé a javított kiadásokat, a PHP 8.2.35, 8.3.36, 8.4.27 és 8.5.12 verziókban. Mindkét hiba 9,2-es CVSS pontszámú, kritikus sérülékenység, és hitelesítés nélküli távoli kódfuttatást tehetnek lehetővé; a részletes technikai elemzést, érintett verziókat és átmeneti mérséklési lehetőségeket a korábbi NKI riasztás tartalmazza.
A javítások megjelenése előtt több állami szervezet és nagyvállalat választotta az óvatos megoldást: az érintett, internet felől elérhető szolgáltatások ideiglenes leválasztását vagy leállítását. Az Európai Unió, az Egyesült Államok, Németország, Japán, Ausztrália, az Egyesült Királyság és Hollandia is figyelmeztetést adott ki, míg több szervezet – a beszámolók szerint például a Nintendo és egyes egészségügyi intézmények – szintén leállította egyes szolgáltatásait.
Ez azt jelenti, hogy a hiba kezelésének költsége nemcsak a frissítés telepítéséből áll. Ahol a PHP sok, egymástól független rendszerben fut, ott a készletezés, a függőségek ellenőrzése, a tesztelés és az esetleges rendelkezésre állási kiesés is része a válasznak.
A Cloudflare technológiai igazgatója szerint a vállalat már a javítások megjelenése körül támadási aktivitást észlelt, és egyes ügyfelei számára ideiglenes védelmi intézkedéseket is kiadott. A watchTowr fenyegetettségi elemzői szintén valós környezetben zajló kihasználási kísérletekről számoltak be, és több, mesterséges intelligenciával készített proof-of-concept eszköz megjelenéséről írtak.
A javítások megjelenése után az OpenAI is nyilvánosságra hozta, hogy a Calif nevű kiberbiztonsági cég kutatói a „Patch the Planet” program keretében, az OpenAI eszközeivel fedezték fel a PHP hibákat. Az OpenAI szerint a Wiz függetlenül is megtalálta és jelentette mindkét sérülékenységet, a javításokat pedig a PHP karbantartói készítették.
Az OpenAI közlése szerint a vállalat részt vett a javítások tesztelésében, az üzemeltetési útmutatók előkészítésében és az infrastruktúra-szolgáltatókkal való koordinációban. Ugyanakkor elismerte, hogy az AI nemcsak a védekező oldalnak segíthet. A támadók számára is felgyorsíthatja a sérülékenységek elemzését és a kihasználó kód elkészítését.
A legnagyobb problémát nem feltétlenül a jól karbantartott, frissített webalkalmazások jelentik, hanem azok a régi PHP-telepítések, amelyeket a szervezetek már nem tartanak nyilván. Ilyen lehet egy elfelejtett marketingoldal, egy régi adminisztrációs felület, egy tárhelykezelő eszköz vagy egy harmadik féltől származó termék beépített PHP-komponense.
A PHP 8.1 és korábbi verziók a PHP projekt részéről már nem kapnak frissítést, bár egyes Linux-disztribúciók és LTS-szolgáltatók visszaportolt javításokat biztosíthatnak. Ezért a régi rendszereknél nem elegendő a PHP.net frissítéseit keresni. A konkrét operációs rendszer, konténerkép vagy szolgáltató frissítési csatornáját is ellenőrizni kell.
A legfontosabb lépés továbbra is a javított PHP verzióra frissítés, ezt nem helyettesíti semmilyen konfigurációs mérséklés. A tegnapi NKI riasztásban szereplő átmeneti beállítások csak a kitettséget csökkenthetik, teljes védelmet nem nyújtanak.