PHP2Shell: Biztonságban van a WordPress-webhelyed? 5 perces ellenőrzés

Jelenleg egy súlyos PHP-biztonsági rést vizsgálnak. Íme, hogyan ellenőrizheted a webhelyedet öt perc alatt, és mit kell tenned ezután.

Ezen a héten egyenként ellenőriztem ügyfeleim szervereit, és a weboldal-tulajdonosoktól folyamatosan ugyanaz a kérdés merült fel: „Aggódnom kell a PHP2Shell miatt?” Rövid válasz: talán. Íme, hogyan derítheti ki öt perc alatt.

// Röviden

• A PHP2Shell a PHP-ben – azon a nyelven, amelyen a WordPress fut – található két kritikus biztonsági rés. Ezek révén egy idegen személy saját kódot futtathat a szervereden.
• A WordPress vagy a bővítmények frissítése nem oldja meg a problémát. A szerverén futó PHP-verziót kell frissíteni.
• A hibát kijavító verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35, amelyek mind 2026. október 21-én jelentek meg.
• A támadók máris tesztelik a weboldalakat ezekre a sebezhetőségekre. Javítsa ki még ezen a héten, ne halogassa!

Mi is romlott el valójában?

Képzelje el a weboldalát egy házként. A WordPress a bútor, a bővítmények a háztartási gépek, a PHP pedig az alap. A PHP2Shell egy repedés az alapban. Egy új kanapé nem fogja megjavítani.

A két biztonsági rés (CVE-2026-109618 és CVE-2026-109619) súlyossági besorolása 10-ből 9,2. Bizonyos szerverkonfigurációk esetén valaki bejelentkezés nélkül is átveheti az irányítást a szerver felett. Ezután módosíthatják az oldalait, elolvashatják az ügyféladatait, vagy észrevétlenül rosszindulatú programokat rejthetnek el a webhelyén.

//// A helyzet jelenlegi állása (október 28.)
A biztonsági cégek számos automatizált támadást észlelnek, amelyek a weboldalakat PHP2Shell-re tesztelik. A csalinak felállított, frissítetlen tesztkiszolgálókba már be is törtek. Az amerikai kiberbiztonsági ügynökség, a CISA hivatalosan is felsorolta mindkét sebezhetőséget, mint olyanokat, amelyeket valódi támadások során használnak. A jó hír: a Wordfence, amely több mint 5 millió WordPress-oldalt véd, egyelőre nem erősítette meg, hogy egyetlen WordPress-oldalt is ilyen módon feltörtek volna. Ez ad lehetőséget a hiba kijavítására.

Az 5 perces ellenőrzés

1. Jelentkezz be a WordPress irányítópultjára.
2. Lépjen az Eszközök > Webhely állapota > Információk menüpontra.
3. Nyissa meg a „Szerver” részt, és keresse meg a PHP-verziót.
4. Hasonlítsa össze az alábbi táblázattal.

Ha a weboldalad néhány évvel ezelőtt készült, és azóta senki sem gondozta, akkor nagy valószínűséggel az alsó két sorban található.

Hogyan frissítem egy ügyfél weboldalát, lépésről lépésre

Íme a módszerem, hogy tudd, hogyan néz ki egy biztonságos frissítés, függetlenül attól, ki végzi el:

1. Először teljes biztonsági mentés. A fájlok és az adatbázis mentése a szerveren kívüli helyre.
2. Tesztmásolat. Nagyobb verzióváltások esetén (például PHP 7.4-ről) először a webhely egy másolatát frissítem, soha nem az éles környezetet.
3. Frissítsük a bővítményeket és a témát. A régi bővítmények azok, amelyek általában nem működnek az újabb PHP-verziókon.
4. Váltsunk PHP-re. Általában egy kattintás a tárhely-vezérlőpulton.
5. Tesztelje le azokat a funkciókat, amelyek bevételt generálnak: kapcsolatfelvételi űrlapok, foglalási modulok, online fizetések, hírlevél-feliratkozás, adminisztrációs felület.
6. Figyeld a helyzetet néhány napig. Hibajelentések és minden szokatlan dolog.

Nem tudsz azonnal frissíteni? Egy olyan tűzfal-szolgáltatás, mint a Cloudflare, amely a webhelyed elé van helyezve, egyelőre sok támadó forgalmat képes blokkolni. Ezzel időt nyersz. De ez nem megoldás.

Jelek arra, hogy a webhelyedet már érintette a probléma

Még nincsenek megerősített WordPress-esetek, de ha a PHP-d elavult, figyeld az alábbiakat:

• A WordPressben található, számodra ismeretlen rendszergazdai felhasználók
• Olyan fájlok vagy bővítmények, amelyeket soha nem telepített
• Látogatók (különösen mobil eszközökön), akiket furcsa weboldalakra irányítanak
• Google-figyelmeztetések a keresési eredményekben vagy a Search Console-ban
• A tárhelyszolgáltató figyelmeztetése a magas szerverterhelésről vagy a küldött spamről

Ha ezek közül bármelyiket észleled, ne csak frissítsd az oldalt, és lépj tovább! Először meg kell tisztítani a webhelyet.

Hogyan tudok segíteni

Függetlenül attól, hogy én készítettem-e a webhelyedet vagy sem:

• Ellenőrzés és frissítés, 60 €-tól: egy óra a webhely és a szerver áttekintésére, egy óra a frissítésre és a tesztelésre. Ezt követően óradíj kerül felszámításra, ha további munkára van szükség.
• Karbantartás, havi 75 €: frissítések, biztonsági mentések és felügyelet. Ha legközelebb ilyen hír jelenik meg, az az én feladatom, nem a tiéd.
• Feltört weboldal-tisztítás, 300 €-tól: rosszindulatú programok eltávolítása és helyreállítás. (Igen, a karbantartás olcsóbb.)

Mielőtt bármit is megcsinálnék, elmondom, mire van szüksége a weboldalának, és mennyibe fog kerülni.