PHP2Shell, Node.js, Linux kernel: az októberi biztonsági javítások, amelyeket érdemes most ellenőrizni

2026 októberében három olyan alapszoftverhez jelent meg fontos biztonsági javítás, amelyre a legtöbb weboldal, webalkalmazás és mobilapp-backend épül. A PHP két kritikus, hitelesítés nélkül kihasználható hibát javított, a Node.js tíz sérülékenységet, a Linux kernel hibájáról pedig a Nemzeti Kibervédelmi Intézet is figyelmeztetést adott ki.

Röviden:

• PHP2Shell (CVE-2026-109618, CVE-2026-109619, október 21.): kritikus, hitelesítés nélküli távoli kódfuttatás a webkéréseket kiszolgáló PHP-telepítéseken (CVSS 4.0: 9,2).
• Node.js (október 21.): tíz javított sérülékenység, a legsúlyosabbak „High” besorolásúak. Köztük van egy Brotli-kicsomagolási hiba (CVE-2026-111497), amely bizonyos feltételek mellett távoli kódfuttatáshoz vezethet.
• Linux kernel (CVE-2026-98432, NKI-figyelmeztetés október 30-án): memóriakezelési hiba az IPv4 TCP-kapcsolatok felépítésében. Hagyományos kernelfrissítésnél a javításhoz újraindítás is kell.
• A mobilappot ezek miatt általában nem kell újra kiadni, mert mindhárom hiba a szervert és a backendet érinti.

1. PHP2Shell: kritikus hiba a PHP-ban

A PHP fejlesztői október 21-én rendkívüli biztonsági kiadást tettek közzé két sérülékenységre, amelyeket a biztonsági szakma PHP2Shell néven emleget. Mindkettő hitelesítés nélküli távoli kódfuttatást tesz lehetővé, a PHP csapata szerint a legnagyobb kockázattal Apache mod_php alatt.

Kit érint: azokat a telepítéseket, ahol a PHP webkéréseket szolgál ki, többek között a PHP-FPM-et, az Apache mod_php-t, a php-cgi-t, a FrankenPHP-t és a LiteSpeedet. A közzététel után a biztonsági cégek kiterjedt szkennelést és kihasználási kísérleteket figyeltek meg.

Az ezekhez a hibákhoz kiadott javítóverziók: PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A teendő a támogatott ág legfrissebb kiadásának telepítése és ezt érdemes rendszeresen ellenőrizni, mert azóta két kiegészítés is megjelent:

• Október 23.: a PHP egy ritka konfigurációban fennmaradó támadási lehetőségre a session.upload_progress.enabled=0 beállítást javasolja a következő rendes kiadásig. Ez azokat az alkalmazásokat érinti, amelyek futás közben átállítják a session-szerializálót.
• Október 26.: a Windowsos PHP-csomagokat (pl. 8.4.27-1) újra kiadták, mert a cURL-bővítményen keresztül a Node.js-nél is javított Brotli-hiba (CVE-2026-111497) a PHP-ban is elérhető lehet, ha az automatikus HTTP-kicsomagolás be van kapcsolva.

A PHP 8.2 hivatalos biztonsági támogatása 2026. december 31-én véget ér. Aki még ezen fut, annak a mostani frissítés jó alkalom a váltás tervezésére.

2. Node.js: tíz javítás, köztük egy Brotli-hiba

A Node.js október 21-i biztonsági kiadása tíz sérülékenységet javít. A legsúlyosabbak „High” besorolásúak, kritikus nincs köztük. A legtöbb figyelmet a beépített Brotli-kicsomagoló hibája (CVE-2026-111497) kapta: ha egy alkalmazás a node:zlib modullal támadó által küldött Brotli-adatot csomagol ki, az az alkalmazás összeomlását, a memóriában tárolt adatok kiszivárgását vagy távoli kódfuttatást okozhat. A többi magas kockázatú hiba a TLS-tanúsítványok ellenőrzését és a DNS-feloldást érinti.

Javított verziók: 22.23.4, 24.22.1 és 26.12.1. A 20-as és a régebbi verziók, valamint a páratlan számú ágak (21, 23, 25) már nem kapnak hivatalos javítást.

Fontos: az npm update ezt nem javítja, mert a hibák magában a Node.js futtatókörnyezetben vannak, nem a projekt csomagjaiban. A Node.js-t kell frissíteni és újraindítani rajta a futó alkalmazásokat.

3. Linux kernel: a frissítéshez újraindítás is kell

A Nemzeti Kibervédelmi Intézet október 30-án adott ki figyelmeztetést a CVE-2026-98432 azonosítójú kernelhibáról. A sérülékenység az IPv4 TCP-kapcsolatok felépítésénél okozhat use-after-free hibát. Az NKI kritikusnak sorolja és a besorolása szerint távolról, bejelentkezés nélkül kihasználható. Az érintett rendszerek között szerepel a Debian, az Ubuntu, a RHEL, az Amazon Linux és a SUSE.

Teendő: a disztribúció kernelfrissítésének telepítése, majd a szerver újraindítása. Hagyományos kernelfrissítésnél a javított kernel csak újraindítás után fut, így egy régóta újraindítás nélkül működő szerveren a sérülékeny kernel akkor is fut, ha a frissítést már telepítették. Kivétel lehet, ha az adott hibára élő kerneljavítás (livepatch) érhető el és ténylegesen alkalmazták.

A pontos javított verziót a disztribúció saját biztonsági közleménye adja meg, mert a disztribúciók a javításokat saját kernelverzióikba építik be. Több szerveren vagy több régióban futó rendszereknél érdemes a frissítést és az újraindítást szerverenként, egymás után elvégezni és minden lépés után ellenőrizni a szolgáltatást.

Hogyan ellenőrizd a rendszered?

Kiindulópontnak ezek a parancsok jók:

bash

php -v
node -v
uname -r

A parancssorban látott verzió viszont nem mindig egyezik azzal, ami ténylegesen kiszolgálja az oldalt vagy a backendet. A futó szolgáltatás verzióját kell ellenőrizni: a külön PHP-FPM-példányokét, a folyamatkezelővel (pl. pm2, systemd) indított Node.js-alkalmazásokét és a konténerekben futó rendszerekét is.

A kernelnél sem bizonyítja a biztonságot, ha a csomagkezelő nem kínál új verziót. A ténylegesen futó kernelt (uname -r) a disztribúció biztonsági közleményében megadott javított verzióval kell összevetni.

Ha app is tartozik a rendszerhez: kell új appverzió?

A PHP2Shell, a Node.js és a kernel hibája a szervert és a backendet érinti, ezért a telefonokra telepített alkalmazást ezek miatt általában nem kell újra kiadni. A javítás módja attól függ, hol van a hiba:

A cikkben bemutatott szerveroldali sérülékenységek javításához általában nincs szükség új mobilapp-verzió kiadására. Ha viszont az appba fordított natív kód sérülékeny, a javítás csak új builddel és áruházi kiadással jut el a felhasználókhoz és az áruházi ellenőrzés idejével is számolni kell.

A tanulság: a frissítésnek legyen felelőse

Egy weboldal vagy app akkor is lehet sebezhető, ha évek óta hibátlanul működik. Az októberi esetek közös tanulsága:

• A támogatásból kikerült verziók nem kapnak rendszeres hivatalos javítást. Ezeknél külön ellenőrizni kell a javítás elérhetőségét. Előfordulhat rendkívüli forráskód-javítás, disztribúciós vagy fizetős támogatás, de ezek nem helyettesítik automatikusan a támogatott verzióra történő átállást.
• A telepített javítás még nem minden esetben véd. A kernelnél az újraindítás, a backendnél a szolgáltatás újraindítása is a javítás része.
• Tisztázni kell, ki felel érte. Sok projektnél az átadás után nincs kijelölve, ki figyeli a biztonsági közleményeket és ki frissíti a szervert, a backendet és az appot.

A Petadevnél az általunk fejlesztett és üzemeltetett rendszerek biztonságát és ezzel ügyfeleink és az ő felhasználóik adatainak védelmét a munkánk alapvető részének tekintjük, nem utólagos feladatnak. Azoknál a rendszereknél, amelyek üzemeltetését vállaljuk, figyeljük a biztonsági közleményeket és projektenként egyeztetjük a szükséges frissítéseket. Hogy mit érdemes rögzíteni egy app üzemeltetéséről, azt az app üzemeltetés és karbantartás oldalunkon írtuk le, a frissítések költségéről pedig a mobilapp-fenntartás költségeiről szóló cikkünkben olvashatsz.