Évtizedekig rejtve maradt a PHP kritikus sebezhetősége, amely az internet jelentős részét érintette
A világ weboldalainak túlnyomó többségét kiszolgáló PHP programozási nyelvben olyan kritikus sebezhetőségeket tártak fel, amelyek több mint egy évtizeden át rejtve maradtak. A hibákon keresztül a támadók érzékeny adatokat lophattak volna el, vagy akár a szerverek feletti teljes ellenőrzést is átvehették volna. A felfedezés nyomán kormányzati szervek és vállalatok kényszerültek weboldalaik ideiglenes leállítására, a kiberbiztonsági szakma pedig az utóbbi évek egyik legsúlyosabb fenyegetéseként értékeli az esetet.
A PHP az 1990-es évek óta létező, szerveroldali programozási nyelv, amelyet a működési technológiájuk alapján azonosított weboldalak mintegy 70 százaléka használ. Olyan ismert portálok működnek rajta, mint a Wikipédia, a WordPress-alapú blogok és számos webáruház. A nyelv a háttérben dolgozik, adatokat gyűjt és dolgoz fel, majd az így előállított tartalmat küldi el a böngészőnek.
php2shell néven ismerték el a két kritikus hibát
A mesterséges intelligencia segítségével felfedezett két kritikus sérülékenységet a kiberbiztonsági cégek php2shell névre keresztelték. A hibák lehetővé tették, hogy egy támadó jogosultság nélkül átvegye az irányítást egy weboldal szervere felett, és onnan érzékeny adatokat – például jelszavakat – szerezzen meg. A Wiz kiberbiztonsági vállalat szerint a sebezhetőségek azért maradhattak több mint tíz évig rejtve, mert kihasználásukhoz rendkívül összetett technikai munka kellett, amelynek feltérképezésében a mesterséges intelligencia bizonyult döntőnek.
Javítások és figyelmeztetések
A biztonsági javításokat 2026. október 21-én adták ki, ám az azt követő napokban a világ számos pontján, így az Egyesült Államokban és az Egyesült Királyságban is tucatnyi weboldalt kellett ideiglenesen offline állapotba helyezni a frissítés telepítése idejére. Az Amerikai Nemzetbiztonsági Ügynökség arra figyelmeztette az üzemeltetőket, hogy ha nem tudják kellő gyorsasággal telepíteni a javítást, inkább kapcsolják le oldalaikat. Az Európai Unió Kiberbiztonsági Ügynöksége szintén riasztást adott ki.
Az OpenAI a felfedezést az utóbbi idők egyik legnagyobb hatású biztonsági problémájának nevezte, hozzátéve, hogy tudomásuk szerint a fejlett mesterséges intelligencia még azelőtt azonosította a hibákat, hogy azokat a támadók kihasználhatták volna. A Wiz ennél is tovább ment, értékelésük szerint ugyanis ezek a PHP-ben – sőt az egész szoftvertörténelemben – valaha feltárt legsúlyosabb sebezhetőségek közé tartoznak.
Fekete Október a kibertámadások jegyében
Az eset nem elszigetelt jelenség: az október végi időszakot a szakma Fekete Október néven emlegeti a kibertámadások rendkívüli mennyisége és súlyossága miatt. A PHP-sebezhetőségeken túl fejlesztői platformokat ért támadások, állami iskolák adatszivárgásai, tőzsdei cégek elleni betörések és banki ügyfélfiókokhoz való illetéktelen hozzáférések is napvilágra kerültek. A szakértők jelszavaik megerősítésére és jelszókezelő alkalmazások használatára kérik a felhasználókat.
