A PHP biztonsági frissítései nem csupán technikai részletek: közvetlenül befolyásolhatják weboldalad biztonságát és működését. 2026 októberében több kritikus PHP-sebezhetőség is napvilágra került, amelyek ismét ráirányították a figyelmet a weboldalak rendszeres karbantartásának fontosságára.
A PHP fejlesztői rövid időn belül több biztonsági frissítést is kiadtak. Egyes hibák lehetővé tehették, hogy a támadók megfelelő jogosultság nélkül, távolról hajtsanak végre kártékony kódot az érintett szerveren.
De mit jelent ez egy átlagos WordPress-weboldal tulajdonosa számára? Valóban veszélyben lehet egy weboldal pusztán azért, mert elavult PHP-verziót használ? És mit lehet tenni a hasonló támadások megelőzéséért?
Ebben a cikkben közérthetően bemutatjuk a PHP-sebezhetőségek hátterét, a 2026. októberi biztonsági eseményeket és azokat a lépéseket, amelyekkel csökkenthető egy weboldal biztonsági kockázata.
Mi az a PHP, és miért fontos a weboldal biztonsága szempontjából?
A PHP egy szerveroldali programozási nyelv, amelyet elsősorban dinamikus weboldalak és webalkalmazások működtetésére használnak.
Egyszerűen fogalmazva: amikor valaki megnyit egy PHP-alapú weboldalt, a szerver feldolgozza a szükséges programkódokat, elvégzi a háttérben zajló műveleteket, majd elkészíti és elküldi a böngészőnek a megjelenítendő tartalmat.
A PHP-t számos ismert tartalomkezelő rendszer használja, köztük a WordPress is.
Egy WordPress-weboldal működéséhez több technológiai összetevő együttműködése szükséges:
- PHP: a weboldal szerveroldali működését biztosítja.
- WordPress: a tartalomkezelő rendszer, amely az oldalak, bejegyzések és egyéb funkciók kezelését végzi.
- Adatbázis: tárolja többek között a bejegyzéseket, felhasználói adatokat és beállításokat.
- Bővítmények és sablonok: további funkciókat és megjelenési lehetőségeket biztosítanak.
Ezek az összetevők külön-külön is tartalmazhatnak biztonsági hibákat.
Ezért fontos megérteni, hogy egy naprakész WordPress önmagában még nem garantálja a weboldal teljes biztonságát. Ha például a szerveren futó PHP-verzió sérülékeny, az a WordPress működésétől függetlenül is kockázatot jelenthet.
Mit jelent a PHP-sebezhetőség?
A sebezhetőség olyan programozási vagy működési hiba, amelyet egy támadó bizonyos körülmények között kihasználhat.
A PHP esetében ez jelenthet például hibás memóriakezelést, nem megfelelő adatfeldolgozást vagy olyan belső működési problémát, amely lehetőséget adhat illetéktelen műveletek végrehajtására.
A legsúlyosabb esetek egyike a távoli kódfuttatás, angolul Remote Code Execution (RCE).
Ez azt jelenti, hogy egy támadó megfelelő körülmények között távolról is képes lehet kártékony programkódot futtatni az érintett szerveren.
Ennek következménye lehet például:
- A weboldal fájljainak illetéktelen módosítása.
- Kártékony programkód elhelyezése a weboldalon.
- Bizalmas adatokhoz való jogosulatlan hozzáférés.
- A weboldal vagy a szerver működésének megzavarása.
- További támadások előkészítése az érintett rendszeren keresztül.
Fontos azonban, hogy egy sebezhetőség létezése nem jelenti automatikusan azt, hogy minden érintett weboldalt sikeresen megtámadtak. A tényleges kockázat függ a sérülékeny komponens verziójától, a szerver konfigurációjától és a támadáshoz szükséges feltételektől.
2026 októbere: Két kritikus PHP-sebezhetőség és egy újabb biztonsági javítás
2026 októberében a PHP fejlesztőcsapata több, biztonsági szempontból jelentős frissítést adott ki.
Két kritikus biztonsági hiba – 2026. október 21.
Október 21-én jelent meg a PHP két kritikus sebezhetőségét javító biztonsági frissítés.
A két érintett hiba az alábbi CVE-azonosítókat kapta:
- CVE-2026-109618: a PHP memóriahiányos állapotának (out-of-memory) kezelésével kapcsolatos hiba.
- CVE-2026-109619: a felszabadított memóriához kapcsolódó, elavult belső állapot kezeléséből eredő hiba.
Mindkét sebezhetőség lehetőséget teremthetett távoli kódfuttatásra, akár hitelesítés nélkül is.
A PHP hivatalos tájékoztatása szerint mindkét sérülékenység CVSS v4.0 szerint 9,2-es súlyossági értékelést kapott, ami kritikus besorolásnak számít.
A hibák javítására az alábbi PHP-verziók jelentek meg:
| PHP-verzió | Javított kiadás |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
A PHP fejlesztői az érintett verziókat használóknak a frissítés mielőbbi telepítését javasolták. A hivatalos biztonsági tájékoztató szerint nincs olyan teljes körű alternatív védekezési megoldás, amely a frissítést helyettesítené.
A régebbi PHP-verzióknál különösen fontos figyelembe venni, hogy a PHP projekt már nem biztosít minden korábbi verzióhoz közvetlen biztonsági frissítéseket. Egyes Linux-disztribúciók és hosszú távú támogatást biztosító szolgáltatók ugyanakkor visszaportolhatják a javításokat a régebbi verziókba.
Újabb PHP-frissítés a Brotli könyvtár sebezhetősége miatt – 2026. október 26.
Alig néhány nappal később újabb biztonsági intézkedésre került sor.
A PHP fejlesztői október 26-án bejelentették, hogy frissített Windows-csomagokat tesznek elérhetővé a Brotli tömörítési könyvtár egy biztonsági hibájának javítására.
A probléma a CVE-2026-111497 azonosítójú sebezhetőséghez kapcsolódik.
A Brotli egy tömörítési technológia, amelyet különböző szoftverek és webes rendszerek használnak az adatok hatékonyabb továbbítására és feldolgozására.
A PHP Windows-csomagjaiban az érintett dekóder a cURL kiterjesztésen keresztül lehetett elérhető, amennyiben az automatikus HTTP-válasz-dekódolás engedélyezve volt.
A javítás érdekében a PHP fejlesztői újraépítették az érintett Windows-csomagokat:
- PHP 8.5.12-1
- PHP 8.4.27-1
- PHP 8.3.36-1
- PHP 8.2.35-1
A végükön szereplő „-1” jelölés a frissített Windows-csomagot azonosítja. Nem új PHP-főverzióról van szó, hanem a csomagban található függőségek frissítéséről.
Fontos különbség: ez a Brotli-hiba nem jelenti azt, hogy minden PHP- vagy WordPress-weboldal érintett. A PHP hivatalos tájékoztatása a Windows-csomagokban található, meghatározott konfiguráció mellett elérhető sérülékeny dekódert nevezi meg.
A két októberi biztonsági esemény jól mutatja, hogy a webes technológiák biztonsága folyamatos figyelmet és naprakész karbantartást igényel.
Mi történhet, ha egy weboldal elavult PHP-verziót használ?
Sokan úgy gondolják, hogy ha a weboldaluk megfelelően működik, akkor nincs szükség a technikai környezet frissítésére.
Ez azonban téves megközelítés.
Egy weboldal attól még lehet sérülékeny, hogy látszólag minden rendben működik. A biztonsági hibák nem feltétlenül okoznak azonnal látható problémát, és a weboldal tulajdonosa sokszor csak akkor szerez tudomást róluk, amikor már megtörtént a támadás.
Egy elavult, biztonsági javításokat nem kapó PHP-verzió használata több szempontból is kockázatos:
1. Ismert biztonsági hibák kihasználása
Ha egy PHP-verzióhoz már nem érkeznek biztonsági javítások, az újonnan felfedezett sérülékenységek hosszabb ideig javítatlanok maradhatnak.
2. Jogosulatlan hozzáférés
Bizonyos sebezhetőségek lehetővé tehetik, hogy a támadók megkerüljék az alkalmazás szokásos védelmi mechanizmusait.
3. Kártékony kód elhelyezése
Egy sikeres támadás után a weboldal fájljai módosulhatnak, rosszindulatú kód kerülhet az oldalba, vagy akár átirányítások is megjelenhetnek.
4. Adatvesztés és üzleti károk
Egy weboldal feltörése nemcsak technikai probléma. Egy webáruház esetében például az üzleti működés is veszélybe kerülhet, míg egy céges weboldalnál a látogatók bizalma és a vállalkozás online megítélése sérülhet.
Hogyan ellenőrizheted, hogy milyen PHP-verziót használ a weboldalad?
A PHP-verzió ellenőrzése az első lépés a biztonságosabb működés felé.
WordPress esetében több lehetőség is rendelkezésre áll.
1. Ellenőrzés a WordPress adminisztrációs felületén
Jelentkezz be a WordPress adminisztrációs felületére.
A bal oldali menüben válaszd az alábbi útvonalat:
Eszközök → Webhely egészsége → Információ → Szerver
Itt megtalálod a weboldal által használt PHP-verziót és több fontos szerverinformációt is.
2. Ellenőrzés a tárhelyszolgáltató felületén
Sok tárhelyszolgáltató biztosít lehetőséget a PHP-verzió megtekintésére és módosítására.
cPanel használata esetén például a MultiPHP Manager vagy a MultiPHP INI Editor segítségével ellenőrizhető a kapcsolódó PHP-konfiguráció.
Fontos, hogy a szerveren több különböző PHP-verzió is telepítve lehet. Ezért mindig azt a verziót kell ellenőrizni, amelyet az adott weboldal ténylegesen használ.
Mit tegyél, ha elavult vagy sérülékeny PHP-verziót használsz?
Ha kiderül, hogy a weboldalad elavult PHP-verzión fut, érdemes mielőbb megtervezni a frissítést.
A folyamat azonban nem mindig merül ki egyetlen verzió kiválasztásában.
A PHP-frissítés előtt ellenőrizni kell, hogy a WordPress-verzió, a telepített sablonok és a bővítmények kompatibilisek-e a kiválasztott PHP-verzióval.
A biztonságos frissítés javasolt lépései:
- Teljes biztonsági mentés: készüljön mentés a weboldal fájljairól és adatbázisáról.
- Kompatibilitás ellenőrzése: ellenőrizni kell a WordPress, a sablonok és a bővítmények kompatibilitását.
- PHP-verzió kiválasztása: lehetőség szerint jelenleg támogatott, biztonsági frissítéseket kapó verziót kell választani.
- Tesztelés: a frissítést célszerű tesztkörnyezetben ellenőrizni, különösen összetettebb weboldalak esetében.
- Frissítés és ellenőrzés: a módosítás után ellenőrizni kell a weboldal működését, az űrlapokat, a funkciókat és az esetleges hibanaplókat.
A PHP-verzió frissítése előtt érdemes megvizsgálni a tárhelyszolgáltató által biztosított biztonsági javításokat is. Előfordulhat ugyanis, hogy egy régebbi verzióhoz a szolgáltató már telepítette a megfelelő javítást.
A PHP 8.2 esetében különösen fontos a közelgő támogatási határidő: a hivatalos PHP projekt szerint a 8.2-es ág támogatása 2026. december 31-én véget ér.
Miért nem elegendő csak a WordPress-t frissíteni?
A WordPress frissítése elengedhetetlen, de a weboldal biztonsága ennél összetettebb feladat.
A teljes technikai környezetet rendszeresen ellenőrizni kell:
- WordPress alaprendszer: mindig a megfelelő, naprakész verzió használata.
- PHP-verzió: támogatott, biztonsági javításokkal ellátott környezet.
- Bővítmények: a szükségtelen és elavult pluginok eltávolítása, a használtak rendszeres frissítése.
- Sablonok: biztonsági és kompatibilitási frissítések telepítése.
- Adatbázis és fájlok: rendszeres biztonsági mentések készítése.
- Hozzáférések: erős jelszavak, megfelelő felhasználói jogosultságok és indokolt esetben kétlépcsős hitelesítés alkalmazása.
- SSL és szerverbiztonság: a megfelelő titkosítás és szerveroldali védelem biztosítása.
A biztonság nem egyetlen beállításon múlik, hanem több egymásra épülő védelmi intézkedés eredménye.
Hogyan segít a rendszeres weboldal-karbantartás a biztonsági kockázatok csökkentésében?
A weboldal biztonságának fenntartása folyamatos feladat.
A PHP-hoz hasonló technológiákban rendszeresen fedeznek fel új hibákat, amelyekre a fejlesztők biztonsági frissítéseket adnak ki. Ezek telepítése és a weboldal működésének ellenőrzése megfelelő technikai felkészültséget igényel.
Egy jól felépített karbantartási folyamat többek között az alábbiakat foglalja magában:
- A WordPress alaprendszer, a sablonok és a bővítmények rendszeres frissítése.
- A PHP-verzió és a szerverkörnyezet ellenőrzése.
- A kompatibilitási problémák feltárása.
- Biztonsági mentések készítése.
- Technikai hibák felderítése és javítása.
- A weboldal működésének ellenőrzése a frissítések után.
Különösen fontos, hogy egy kritikus biztonsági hiba megjelenésekor ne csak a frissítés telepítése történjen meg, hanem a kapcsolódó rendszer működését is ellenőrizzék.
Egy elavult bővítmény, nem megfelelő szerverbeállítás vagy inkompatibilis sablon ugyanis a frissítés után is okozhat problémákat.
Weboldal-támogatás és karbantartás a SmartArt segítségével
Egy vállalkozás weboldala ma már sok esetben az ügyfélszerzés, az értékesítés és a kapcsolattartás egyik legfontosabb eszköze.
Éppen ezért nem érdemes megvárni, amíg egy biztonsági probléma, technikai hiba vagy elavult rendszer miatt a weboldal működése veszélybe kerül.
A SmartArt weboldal-támogatási szolgáltatásával segítséget nyújtunk a weboldalak rendszeres karbantartásában, frissítésében és technikai problémáinak kezelésében.
A támogatás keretében többek között az alábbi feladatokban tudunk segíteni:
- WordPress rendszer és bővítmények frissítése.
- Technikai hibák felderítése és javítása.
- Weboldalak karbantartása és modernizálása.
- Elavult technológiai megoldások felülvizsgálata.
- A weboldal működésének és kompatibilitásának ellenőrzése.
- Tartalmi és technikai módosítások elvégzése.
Nem kell minden technikai problémával egyedül megküzdened. A rendszeres támogatás segít abban, hogy weboldalad hosszú távon is megbízhatóan működjön.
Ismerd meg a SmartArt weboldal-támogatási szolgáltatását!
Összefoglalva: a weboldal biztonsága folyamatos figyelmet igényel
A 2026 októberében nyilvánosságra került PHP-sebezhetőségek ismét megmutatták, hogy még széles körben használt, kiforrott technológiák esetében is előfordulhatnak kritikus biztonsági hibák.
A megfelelő védelemhez nem elegendő kizárólag a WordPress frissítése. A PHP-verziót, a bővítményeket, a sablonokat és a teljes technikai környezetet is rendszeresen ellenőrizni kell.
A legfontosabb tanácsunk: ne csak akkor foglalkozz a weboldalad biztonságával, amikor már probléma jelentkezett!
A rendszeres karbantartás, a biztonsági frissítések időben történő telepítése és a technikai ellenőrzések jelentősen csökkenthetik a weboldalad sérülékenységét.
Ha szeretnéd szakértő kezekben tudni weboldalad technikai hátterét, vedd fel velünk a kapcsolatot!
SmartArt – Weboldal támogatás és karbantartás
Források és további szakmai olvasnivalók
A cikk elkészítéséhez az alábbi szakmai forrásokat használtuk:
- PHP.net – Hivatalos PHP biztonsági közlemény és 2026-os kiadások
- CISA – Critical Vulnerabilities in PHP Require Immediate Patching (2026. október 21.)
- HVG – Újabb kritikus sebezhetőséget találtak a PHP-ben, már megvan a javítás is (2026. október 28.)
- Prog.hu – Újabb vészjavítást kapott a PHP, ezúttal a Brotli tömörítési hibára (2026. október 28.)