Kritikus PHP- és Node.js-biztonsági frissítések: mi már léptünk, mutatjuk az Ön teendőit

Ma, 2026. október 21-én biztonsági frissítések jelentek meg a PHP-hoz és a Node.js-hez. Különösen a PHP hibái súlyosak: a javítások két kritikus sérülékenységet szüntetnek meg, amelyekkel a támadók bejelentkezés nélkül futtathatnak kódot a webszerveren. Már a javítás megjelenése előtt is jelentettek támadásokat.

A WireBoardot már frissítettük. Nem volt szolgáltatáskiesés, és Önnek sem a WireBoard-fiókjával, sem a követőkóddal nincs teendője.

Ha viszont saját webhelye vagy alkalmazása PHP-t vagy Node.js-t használ, olvasson tovább, és még ma telepítse a frissítéseket.

A lényeg röviden

• WordPress, Magento, Drupal, Laravel vagy más PHP-alapú alkalmazást használ? Akkor PHP is fut a szerverén. Frissítsen most.

• Osztott tárhelyet vagy menedzselt tárhelyszolgáltatást használ? A PHP javítását a szolgáltató telepíti. Ellenőrizze, hogy ez megtörtént-e.

• A PHP frissítése után indítsa újra a PHP-FPM-et vagy az Apache-ot, különben továbbra is a régi verzió fut.

• Már nem támogatott verziót használ (PHP 8.1 vagy régebbi, Node.js 25, 23, 20 vagy régebbi)? Ezekhez nem érkezik hivatalos javítás. Tervezze meg az átállást egy támogatott verzióra.

Mi történt?

PHP: „PHP2Shell” (CVE-2026-109618 és CVE-2026-109619)

A PHP fejlesztői két kritikus sérülékenységhez adtak ki javítást. Mindkettő 9,2-es besorolást kapott a CVSS v4.0 skálán:

• CVE-2026-109618: távoli kódfuttatást lehetővé tevő memóriasérülés, amely akkor léphet fel, ha a PHP egy kérés feldolgozása közben kifogy a memóriából.

• CVE-2026-109619: távoli kódfuttatás egy korábbról megmaradt globális állapot kihasználásával.

Alapértelmezett beállítások mellett mindkét hiba távolról, hitelesítés nélkül kihasználható. A részletek a tervezett kiadás előtti napon kiszivárogtak az internetre. Biztonsági cégek már a javítás megjelenése előtt észleltek PHP-alapú webhelyek elleni támadásokat és támadási kísérleteket. Több vállalat elővigyázatosságból le is állította szolgáltatásait, amíg nem tudott frissíteni.

Minden támogatott PHP-verzióág érintett a 8.2.35, 8.3.36, 8.4.27 és 8.5.12 előtti kiadásokban.

Node.js: 2026. októberi biztonsági kiadás

A Node.js 26.x, 24.x és 22.x verzióágához kiadott frissítések 10 sérülékenységet javítanak, közülük 4 magas súlyosságú. A legfontosabbak:

• CVE-2026-111497: a Brotli-kitömörítőben előforduló, memóriaterületen túli írás távoli kódfuttatást tehet lehetővé. Már az is elég lehet a hiba kiváltásához, ha az alkalmazás fetch() hívást indít egy Brotli-tömörítésű adatokat visszaadó szerver felé.

• CVE-2026-105483 / CVE-2026-106069: az IP-címek szokatlan írásmódjával megkerülhető a TLS-kapcsolatnál végzett gépnév-ellenőrzés.

• CVE-2026-105482: a dns.resolve más nevet oldhat fel, mint amelyet a kód előzőleg ellenőrzött.

Mit tettünk mi?

Ma a WireBoard teljes infrastruktúráján telepítettük mindkét frissítést. Nem volt szolgáltatáskiesés, az adatok sértetlenek maradtak, a WireBoard pedig a megszokott módon használható.

Önt is érinti?

Akkor van teendője, ha az Ön webhelye, alkalmazása vagy szervere az alábbiak valamelyikét használja:

• PHP, közvetlenül vagy valamilyen tartalomkezelőn, illetve keretrendszeren keresztül, például WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel vagy Symfony.

• Node.js, például Next.js-, Nuxt-, Express- vagy NestJS-alkalmazáshoz, illetve bármilyen Node-alapú háttérszolgáltatáshoz vagy buildkiszolgálóhoz.

Nem biztos benne? Kérdezze meg a fejlesztőjét vagy a tárhelyszolgáltatóját. Elég ennyit kérdeznie: „Használ a webhelyünk PHP-t vagy Node.js-t, és telepítették már hozzá a mai biztonsági frissítést?”

A verzió ellenőrzése

PHP

Az számít, hogy a webszerver melyik verziót használja. A terminálban kiadott php -v parancs a parancssori PHP verzióját mutatja, amely ettől eltérhet.

1. Hozzon létre egy info.php nevű fájlt a webhely webes gyökérkönyvtárában, ezzel a tartalommal: <?php phpinfo();

2. Nyissa meg böngészőben, és nézze meg az oldal tetején a PHP Version értékét.

3. Ezután azonnal törölje a fájlt, mert a szerver teljes konfigurációját nyilvánossá teszi.

Számos tárhelykezelő felület, például a cPanel és a Plesk is megjeleníti a PHP verzióját.

Fontos a Linux-disztribúciók csomagjainál: az Ubuntu, a Debian, a RHEL és más disztribúciók gyakran a verziószám megváltoztatása nélkül emelik át a javítást a korábbi kiadásokba. Ilyenkor a csomag változásnaplójában keresse a CVE-azonosítókat (lásd alább).

Node.js

node -v

A javítás telepítve van, ha a parancs v26.12.1, v24.22.1 vagy v22.23.4 verziót, illetve az adott verzióágon belüli újabb kiadást jelez.

A PHP frissítése

Kövesse a szerverén használt telepítési módhoz tartozó útmutatót.

Osztott vagy menedzselt tárhely

A PHP-t a szolgáltató kezeli, így a javítást is ő telepíti. Nézze meg a szolgáltató állapotoldalát vagy közleményeit, majd ellenőrizze a verziót a fent bemutatott phpinfo() segítségével. Ha a kezelőfelületen választhat PHP-verziót, és jelenleg 8.1-es vagy régebbi kiadást használ, váltson 8.2-esre vagy újabbra. Előtte ellenőrizze, hogy a tartalomkezelője és a bővítményei támogatják-e.

Ubuntu / Debian

sudo apt update
# replace 8.3 with the PHP branch you use
sudo apt install --only-upgrade 'php8.3-*'

# confirm the fix is included
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)'

Ha az utolsó parancs nem ad találatot, a javítás még nem érhető el a disztribúció csomagtárolójában. Ellenőrizze az Ubuntu biztonsági közleményeit vagy a Debian biztonsági hibakövetőjét, és próbálja újra később. Ha Ondřej Surý PHP-csomagjait használja, ugyanígy frissítsen az ahhoz tartozó tárolóból.

RHEL / AlmaLinux / Rocky Linux

dnf module list php          # see which PHP stream you're on
sudo dnf upgrade 'php*'

# confirm the fix is included
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)'

Ha a Remi-tárolót használja, onnan telepítse a frissítést.

Docker

Az új lemezkép letöltése nem frissíti a már futó konténereket. Töltse le a képet, majd építse újra az alkalmazást, és hozza létre újra a konténereket:

docker pull php:8.3-fpm        # use your tag
docker compose build --pull
docker compose up -d

A biztonság kedvéért rögzítse a javított verziót a Dockerfile-ban, például így: FROM php:8.3.36-fpm.

Forráskódból fordított vagy Windowsra telepített PHP

Töltse le a javított kiadást a php.net/downloads oldalról.

Ezután indítsa újra a PHP-t

Ez a lépés könnyen kimarad. A futó folyamatok az újraindításig továbbra is a régi PHP-t használják:

# PHP-FPM (Debian/Ubuntu; replace 8.3 with your branch)
sudo systemctl restart php8.3-fpm

# PHP-FPM (RHEL family)
sudo systemctl restart php-fpm

# Apache with mod_php
sudo systemctl restart apache2   # or httpd on RHEL

Ezután a phpinfo() segítségével ellenőrizze újra, hogy már az új verzió fut-e.

„Nem elég átállítani valamit?”

Nem. A javítás előtt több átmeneti megoldás is terjedt, például a session.upload_progress.enabled kikapcsolása. Ezek csak csökkentik a kockázatot. A PHP egyik vezető fejlesztője nyilvánosan is megerősítette, hogy valódi védelmet csak a PHP frissítése ad. Ha már alkalmazott valamilyen átmeneti megoldást, hagyja érvényben a frissítésig, de a frissítést ne hagyja ki.

A Node.js frissítése

A frissítés után indítsa újra az alkalmazást (vagy telepítse újra), majd ellenőrizze a verziót a node -v paranccsal.

Ha már nem támogatott verziót használ

Hivatalos javítások csak a támogatott verziókhoz jelennek meg:

• PHP: 8.2, 8.3, 8.4 és 8.5. A PHP 8.1-hez és a régebbi verziókhoz már nem adnak ki hivatalos frissítést. Egyes Linux-disztribúciók és fizetős, hosszú távú támogatást nyújtó szolgáltatók ezekbe is átültetik a javításokat, ezért érdeklődjön a saját szolgáltatójánál. Ha nincs ilyen támogatása, a biztonságos megoldás az átállás egy támogatott verzióágra. A PHP 8.2-höz is csak 2026. december 31-ig érkeznek biztonsági javítások.

• Node.js: 22.x, 24.x és 26.x. A 25-ös, 23-as és 20-as verzióág támogatása már megszűnt, ezekhez nem érkezik javítás.

Ha nem tud azonnal frissíteni, addig érdemes webalkalmazás-tűzfallal védeni a webhelyet, vagy korlátozni a hozzáférést.

További információk

Hivatalos közlemények

• PHP-hírek és kiadási bejelentések

• PHP biztonsági közlemény: GHSA-w8hw-w9fx-j79w (CVE-2026-109618)

• PHP biztonsági közlemény: GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

• Támogatott PHP-verziók

• Node.js: a 2026. október 21-i, szerdai biztonsági kiadások

Hasznos útmutatók

• GoDaddy: fontos PHP-biztonsági frissítés, teendők webhelytulajdonosoknak (közérthető áttekintés)

• Help Net Security: megérkezett a PHP2Shell javítása, ideje frissíteni

• ma.ttias.be: a PHP-javítások telepítése (a javítás elérhetősége disztribúciónként)

• Lilting: a Node.js 2026. októberi javításainak háttere (részletes technikai elemzés)