Súlyos biztonsági hibát találtak a PHP-ban, több országban leállították a kormányzati portálokat
Csütörtökön nemcsak Magyarországon, hanem Hollandiában, Dániában, Finnországban és Franciaországban is átmenetileg leállították a kormányzati portálokat egy kritikus besorolású sebezhetőség miatt. Tanács Zoltán tudományos és technológiai miniszter bejelentette, hogy az állampolgárok adatainak védelme, valamint a kormányzati informatikai rendszerek biztonságos működésének garantálása érdekében 48 órára leállították a magyarorszag.hu elérhetőségét is.
Magyarországon a Nemzeti Kiberbiztonsági Intézet adott ki riasztást a kritikus besorolású biztonsági hibák miatt, és a javítások azonnali telepítését sürgette. A sebezhetőségek egy PHP nevű programozási nyelvben találhatók, amelyet a 2000-es évek óta világszerte használnak weboldalak készítésére.
Millió szerver lehet veszélyben
A Wiz kibervédelmi cég – azon vállalatok egyike, amelyek kutatói feltárták a biztonsági réseket – a hiányosságokat a mesterséges intelligencia által valaha észlelt „legsúlyosabbként” jellemezte. Az OpenAI, amelynek technológiáját a hiba megtalálásához használták, a felfedezést az elmúlt idők egyik legjelentősebb biztonsági problémájának nevezte.
A PHP az internet láthatatlan infrastruktúrájának része, amelyet mindannyian természetesnek veszünk és használunk – mondta Joe Tidy, a BBC kibervédelmi tudósítója, megjegyezve, hogy ez a nyelv működtetheti a weboldalak akár 70 százalékát is, így a mostani hibák világszerte több millió szervert veszélyeztethetnek.
A támadók akár jelszó nélkül, távolról is programokat futtathatnak az érintett szervereken. Tidy szerint a probléma egészen 2024-ig nyúlik vissza, amikor a PHP kutatóiban felmerült az aggodalom egy esetleges elméleti hiba miatt, de nem tudták rájönni, miként lehetne a gyakorlatban valóban ilyen támadást végrehajtani.
Ezután jelent meg a mesterséges intelligencia, valamint az OpenAI egyik projektje, amely az AI-t használja a sebezhetőségek felkutatására és kijavítására. Ennek köszönhetően 2026 nyarán a kutatók két teljesen új, de nagyon súlyos hibát találtak a PHP-ban, és kidolgoztak egy menetrendet ezek kijavítására. Eleinte minden rendben ment, de aztán valaki kiszivárogtatta a hiba részleteit, ami hirtelen felpörgette a kiberbűnözés világát – sokan eközben az interneten próbálják meg gyorsan kihasználni a hiányosságot.
Adatlopás és adminjogosultság
Szöllősy Gábor, az Index cégcsoportjában működő INDANext IT üzemeltetési vezetője szerint a támadók tipikusan adatot tudnak ellopni ezzel, admin jogosultságot szereznek, és azon keresztül hozzá tudnak férni további szerverekhez, adatbázisokhoz.
Arra a kérdésre, hogy nehéz-e megtalálni a rendszert érő támadást, a szakember azt mondta, vannak erre Linux/PHP specifikus kártékony kód keresésére optimalizált vírusirtók, amelyek bizonyos mintákat keresnek, emellett naplófájlok elemzésével is meg lehet találni a behatolást.
Szöllősy úgy véli, hogy világszerte a PHP rendszereken futó alkalmazások jelentős része nem a legfrissebb PHP-n fut. Ha valaki most lecseréli a legfrissebbre, ami már védett, akkor sikeresen megóvja rendszerét ettől a rosszindulatú behatolási lehetőségtől. Ez gyakorlatilag egy szoftverfrissítésnek felel meg: valamelyik verzióról befrissítünk a legutolsóra, és abban a PHP környezetben a korábban létezett sebezhetőség már nem lesz jelen.
A probléma az – és Magyarországon is vélhetően ezért álltak le a nagy állami szerverek –, hogy ha befrissítjük a PHP környezetet, akkor utána a rajta futó alkalmazás egyáltalán nem biztos, hogy hibátlanul teszi a dolgát. A nagy verzióváltásoknál ugyanis funkcionalitásbeli különbségek is vannak a futtató környezetben, így az a kód, ami mondjuk a 7-es PHP-n jól futott, a 8-ason egyáltalán nem biztos, hogy hiba nélkül fogja ugyanezt megtenni.
Ezért a fejlesztőknek át kell nézniük az alkalmazást az új környezetben, és tesztelni kell a különböző helyzetekben, ami nem egyszerű feladat, hanem többnapos, akár többhetes folyamat is lehet.
A Linux-disztribúciókat gondozó fejlesztői csoportok is aktivizálták magukat, és a régebbi kiadású Linuxokra is kiadtak olyan telepítőcsomagokat, amelyekkel a korábbi PHP-verziókra is befoltozták ezt a sérülékenységet. Legvégső esetben le lehet tiltani a PHP fájlfeltöltő funkciót, amelynek hibáját ez a támadás kihasználja.
Mindenesetre a hiba komoly feladatot ró a PHP-t üzemeltető és fejlesztő csapatokra egyaránt. Szöllősy Gábor összegzése szerint nemcsak az Indexnél tartanak ott, hogy futtatják és figyelik az ellenőrzést, hanem több ezer, tízezer sorstársuk is hasonló helyzetben van.
