A PHP hivatalos fejlesztői csapata 2026. október 21-én, szerdán 16:00-kor (magyar idő szerint) rendkívüli biztonsági frissítést ad ki, amely két kritikus súlyosságú sebezhetőséget javít. Ha VPS szerverén PHP-alapú weboldal vagy alkalmazás fut, készüljön fel már most, hogy a javítást a megjelenése után azonnal telepíteni tudja. Cikkünkben összefoglaljuk, mit tudunk eddig, és lépésről lépésre bemutatjuk a teendőket.
Fontos: a sebezhetőségek a nyílt forráskódú PHP programozási nyelvben találhatók, ezért világszerte minden tárhely- és szerverszolgáltatót, valamint minden PHP-t használó rendszert érintenek. A hiba nem a Rackhost rendszereiből ered. Mivel VPS szolgáltatás esetén a szerverre telepített szoftverek frissítése az Ügyfél hatáskörébe tartozik, ezzel a tudásbázis-cikkel szeretnénk segíteni, hogy gyorsan és biztonságosan végrehajthassa a frissítést.
Mi a sebezhetőség?
A PHP biztonsági csapata október 20-án előzetesen bejelentette, hogy két kritikus hibát javít, egyes források szerint mindkettőt CVSS v4.0 szerint 9.2-es pontszámmal. A technikai részleteket, az érintett és a javított verziókat a kiadással egy időben teszik közzé. A csapat jelezte, hogy a javítást a tervezettnél korábban is kiadhatja, ha a hibák részletei nyilvánossá válnak, vagy aktív kihasználásra utaló jelek jelennek meg.
A kritikus besorolás azt jelzi, hogy a hibák súlyos kockázatot jelentenek, ezért a javítást a megjelenése után a lehető leghamarabb érdemes telepíteni. A hibák pontos jellegéről a hivatalos kiadás után frissítjük a cikket.
Érintett vagyok?
Ha VPS szerverén bármilyen PHP-verzió fut, a hivatalos verziólista megjelenéséig érdemes úgy kezelnie, hogy érintett.
- PHP-alapú weboldalak és alkalmazások (WordPress, WooCommerce, PrestaShop, Magento, Joomla, Drupal, Laravel, Symfony és más rendszerek): a javított verzióra történő frissítésig tekintse őket érintettnek.
- PHP 8.1 vagy régebbi verzió: ezek már nem kapnak hivatalos támogatást, így javítás sem érkezik hozzájuk. Javasoljuk, hogy mielőbb térjen át egy támogatott verzióra (8.2 vagy újabb).
- Több PHP-verzió egy szerveren: minden telepített verziót külön frissíteni kell.
Teendők a javítás megjelenése előtt
A PHP hivatalos áthidaló megoldást nem tett közzé, a teljes védelmet csak a javított verzió telepítése adja. Az alábbi lépésekkel azonban felkészülhet a gyors frissítésre.
- Mérje fel, mi fut a szerverén. Jegyezze fel, mely weboldalak és alkalmazások használnak PHP-t, és melyik verziót. A telepített verziót a php -v paranccsal ellenőrizheti.
- Készítsen biztonsági mentést. Mentse a weboldalak fájljait és adatbázisait, vagy készítsen pillanatképet (snapshotot) a VPS-ről, hogy probléma esetén vissza tudjon állni.
- Tervezze meg a karbantartási ablakot. Gondoskodjon róla, hogy ma 16:00 után legyen ideje (vagy kollégájának) a frissítést elvégezni.
- Ellenőrizze a csomagforrásokat. Az operációs rendszerek saját PHP-csomagjai általában néhány napos késéssel követik a hivatalos kiadást. A külső tárolók (például Debian/Ubuntu alatt az Ondřej Surý-féle csomagok, RHEL-alapú rendszereken a Remi-tároló) gyakran gyorsabban frissülnek.
- Kapcsolja be az automatikus biztonsági frissítéseket, ha még nem tette meg (Debian/Ubuntu alatt unattended-upgrades, RHEL-alapú rendszereken dnf-automatic).
Teendők a javítás megjelenése után
A frissítés előtt készítsen mentést, majd telepítse a használt PHP-verzióhoz tartozó javított kiadást, és indítsa újra a PHP-t és a webszervert, hogy a változás érvénybe lépjen.
Hogyan ellenőrizheti, hogy védett-e?
A frissítés után ellenőrizze a futó PHP-verziót, és vesse össze a PHP kiadási közleményében szereplő javított verziókkal. Ha az érték azzal megegyezik vagy újabb, a szerver védett.
php -v
- A webszerver által használt PHP-FPM verziója eltérhet a parancssoriétól. Ezt például a php-fpm8.X -v paranccsal, vagy egy ideiglenes phpinfo() oldallal ellenőrizheti (az oldalt ellenőrzés után törölje).
- WordPress esetén a verzió az Eszközök > Webhely állapota > Információ > Szerver menüpontban is látható.
- Ha több PHP-verzió van telepítve, mindegyiket ellenőrizze.
