Folytatódik a biztonsági rémálom: mi történt a PHP2Shell után?

A PHP2Shell rendkívüli biztonsági kiadásai október 21-én jelentek meg. Ugyanezen a napon a Node.js is biztonsági frissítéseket adott ki, a Cisco pedig nyolc, kommunikációs termékeket érintő, csoportosított CVE-t tett közzé. Október 22-én az Arista egy olyan VeloCloud-hibára figyelmeztetett, amelyet állítása szerint a támadók már kihasználnak. A PHP október 23-án egy szűkebb feltételrendszer mellett jelentkező, még javítatlan problémáról adott ki újabb figyelmeztetést. Mindegyik eset más javítást igényel. Az azonnali feladat annak megállapítása, hogy pontosan melyik futtatókörnyezet vagy felügyeleti sík van kitéve a támadásnak, majd a megfelelő frissítés tényleges üzembe helyezése.

Miről olvashat ebben a cikkben?

• Mi változott a PHP2Shell eredeti közzététele óta?
• Miben különböznek technikailag a Node.js, a Cisco és az Arista hibái, és kik használhatják ki őket?
• Mit igazolnak a kihasználási kísérletekről szóló beszámolók, és mit nem?
• Mely rendszereket kell ellenőrizni, és milyen intézkedést javasolnak a gyártók?

A PHP harmadik figyelmeztetéséhez még nincs javítás

A PHP október 21-i frissítése a CVE-2026-109618 és a CVE-2026-109619 sérülékenységet javítja, azt a két kritikus futtatókörnyezeti hibát, amelyet a korábbi PHP2Shell-cikkben tárgyaltunk. A PHP október 23-i közleménye a CVE-2026-115560 azonosítójú problémát ismerteti. A korábbi rendkívüli kiadások nem állítják, hogy ezt az új hibát is javítanák, a PHP szerint a teljes tájékoztató és a javítás a következő szokásos hibajavító kiadással érkezik.

Az új hiba feltételei pontosan körülhatároltak. Az alkalmazásnak a konfigurációban php_binary vagy php_serialize értékre kell állítania a session.serialize_handler beállítást, majd futás közben, az ini_set() használatával php értékre kell váltania, még a session_start() meghívása előtt. Emellett a munkamenethez kapcsolódó feltöltési folyamatkövetésnek is engedélyezve kell maradnia. A PHP e feltételek együttes fennállása mellett lehetséges távoli kódfuttatási útvonalat ír le, a beállítást azonban a gyakorlatban valószínűtlennek tartja. Egyelőre nem közölt súlyossági pontszámot vagy teljes technikai leírást. Azok az alkalmazások, amelyek futás közben soha nem váltanak szerializálási módot, nem teljesítik a megadott feltételt.

Az érintett alkalmazásoknál a PHP a session.upload_progress.enabled=0 beállítást javasolja a következő kiadásig. Azok az üzemeltetők, akik ezt már kikapcsolták a PHP2Shell elleni átmeneti intézkedésként, hagyják kikapcsolva. Ez a beállítás az újonnan ismertetett támadási útvonalat kezeli, nem helyettesíti az eredeti két CVE október 21-i javításainak telepítését. A PHP a 8.2.35, 8.3.36, 8.4.27 és 8.5.12 verziókat jelöli meg az eredeti hibák javított kiadásaként. A holland NCSC október 23-i frissítése szintén azt írja, hogy az új probléma a gyakorlatban várhatóan kis eséllyel vezet távoli kódfuttatáshoz, miközben továbbra is sürgeti az eredeti két hiba mielőbbi javítását.

Node.js: a tömörített adat olyan memóriába jut, ahová nem lenne szabad

A Node.js projekt október 21-én biztonsági frissítéseket adott ki a 22.x, 24.x és 26.x ághoz. A legközvetlenebb kódfuttatási kockázat a CVE-2026-111497. A beépített Brotli-dekóder egy érvénytelen blokkváltást végleges formátumhiba helyett úgy kezelt, mintha csak átmenetileg több bemeneti adatra lenne szüksége. A folyamatos feldolgozást végző dekóder így további bájtokat fűzhetett egy nyolcbájtos belső pufferhez, és annak határain túlra írhatott. A projekt szerint ez a memóriakorrupció összeomláshoz, a folyamat memóriájának kiszivárgásához vagy távoli kódfuttatáshoz vezethet.

Fontos korlát, hogy önmagában egy Node.js-kiszolgáló futtatása nem jelenti azt, hogy egy támadó Brotli-adatfolyammal el is éri ezt a hibát. Az érintett alkalmazásnak támadó által befolyásolt Brotli-adatot kell kitömörítenie a node:zlib használatával vagy olyan kódútvonalon, amely ezt a dekódert hívja meg. Egy beszámolóban ismertetett laboratóriumi demonstráció több próbálkozás után kódfuttatást ért el egy hivatalos Node.js 24 Linux arm64 builden, ez azonban nem bizonyítja a kihasználhatóságot minden architektúrán, és nem igazol valós rendszerben történt kompromittálódást. A Node.js magas súlyosságúnak minősíti a problémát, és a 22.23.4, 24.22.1 és 26.12.1 verzióban biztosít javítást. A 24.22.1 kiadási megjegyzései is megerősítik a Brotli-javítást ebben az ágban.

Ugyanez a kiadás magas súlyosságú DNS- és TLS-ellenőrzési problémákat is javít. A dns.resolve*() például egy NUL bájtnál csonkolhatta a gépnevet, így az a szoftver, amely az egyik karakterláncot ellenőrizte, végül egy másikat oldhatott fel. Más hibák nem kanonikus IP-címjelöléseket és a tanúsítványok gépnév-ellenőrzését érintik. Ezekhez is meghatározott alkalmazásműködés szükséges, de miattuk a frissítés nem csak a tömörített feltöltéseket fogadó szolgáltatások számára fontos.

Cisco: nyolc CVE

A Cisco október 21-i Unified Communications tájékoztatója nyolc CVE-azonosítót tartalmaz, gyengeségtípusok szerint csoportosítva. A legmagasabb érték 9,8 a CVSS v3.1 szerint, az erőforrások élettartamához és a nem megfelelő hitelesítéshez kapcsolódó csoportoknál. A lista emellett cross-site scriptinget, bemenetellenőrzést, SQL-injekciót, hozzáférés-vezérlést, útvonalbejárást és kivételkezelést is érint. A Cisco szerint az egyes pontszámok az adott csoporton belüli legnagyobb hatású hiba maximális lehetséges súlyosságát jelzik. Félrevezető lenne mind a nyolcat különálló, bizonyított távoli kódfuttatási exploitként bemutatni.

Az érintett termékcsaládba a Unified CM, annak IM & Presence és Session Management kiadása, a Unity Connection, az Emergency Responder és a Prime Collaboration Deployment tartozik. A Cisco szerint a 15-ös ág első javított kiadása a 15SU5, a 14-es kiadásról pedig javított verzióra kell átállni. Nem ad meg a sérülékenységeket kezelő kerülő megoldást, és azt állítja, hogy nincs tudomása rosszindulatú kihasználásról. Ez így is indokolja a frissítés megtervezését: ezek a rendszerek szorosan kapcsolódnak a szervezet telefonos és együttműködési infrastruktúrájához, ahol egy elhamarkodott változtatás önmagában is szolgáltatáskiesést okozhat.

Arista: a gyártó által megerősített kihasználás

Az Arista október 22-i tájékoztatója tartalmazza az összefoglaló legegyértelműbb példáját az aktív támadásokra. A CVE-2026-114625 egy SQL-injekciós hiba a VeloCloud Orchestratorban (VCO). Érintett rendszeren egy érvényes portálmunkamenettel rendelkező felhasználó, akár a legalacsonyabb beépített, Enterprise Read Only szerepkörrel is, operátori jogosultságot szerezhet, és helyi „superuser operator” felhasználónak adhatja ki magát. Az Arista szerint a hibát bizonyítottan aktívan kihasználják. A besorolása 9,9 a CVSS v3.1 szerint, illetve 9,4 a CVSS v4.0 szerint.

Ez nem hitelesítés nélkül kihasználható hiba. A támadónak hálózati hozzáférésre van szüksége a VCO webes felületéhez, valamint érvényes bejelentkezésre. Ez a korlát fontos, de a megszerezhető hozzáférés is az: az orchestrator az SD-WAN-környezetet felügyeli. Az Arista szerint a saját üzemeltetésű VCO 5.2.x ágának 5.2.3.18 előtti, 6.1.x ágának 6.1.3.10 előtti, illetve 6.4.x ágának 6.4.2.12 előtti kiadásai érintettek. A Hosted és Dedicated példányok is érintettek voltak, de ezeket az Arista már javította, a VeloCloud Edge és Gateway termékeket pedig nem érintettként sorolja fel. A saját környezetben üzemeltető szervezeteknek telepíteniük kell a javított kiadást, és gyanús tevékenység után kell kutatniuk a VCO webes, alkalmazás-, rendszer- és adatbázisnaplóiban. A felügyeleti hozzáférés megbízható hálózatokra korlátozása átmeneti kontroll, nem maga a javítás.

Mit bizonyít a nyilvános exploitkód?

A Wiz és a Calif meghatározott alkalmazások és konfigurációk ellen működő PHP2Shell-támadási láncokat ír le. Egy Node.js Brotli-demonstráció ismételt próbálkozások után kódfuttatást ért el egy hivatalos builden. Ezek az eredmények a tesztelt feltételek melletti technikai megvalósíthatóságot igazolják. Nem mondják meg, milyen megbízhatósággal támadható egy tetszőleges, internet felől elérhető szolgáltatás, vagy hogy betörtek-e egy adott szervezethez. A nyilvános kódtárolókat és exploitvideókat is ugyanezen a mércén kell értékelni.

Valóban sikeresek a támadások?

A válasz termékenként eltér, és attól is függ, mit értünk „siker” alatt. Az Amazon MadPot érzékelői már október 17-én, a javítás előtt négy nappal rögzítettek egy PHP2Shell-kísérletet, majd október 21-én továbbiakat. Az Amazon szerint nem volt egyértelmű, hogy a korai támadókódok képesek lettek volna-e valós rendszereket kompromittálni. A Cloudflare is megfigyelt támadási forgalmat, míg a holland NCSC október 23-án azt közölte, hogy egy külföldi, lehetséges sikeres kihasználásról szóló beszámoló továbbra sincs megerősítve, és a tömeges kihasználás kevésbé tűnik valószínűnek, mint kezdetben becsülték. Egy automatizált vizsgálat, egy blokkolt kérés, egy összeomló kiszolgálófolyamat és egy igazolt behatolás különböző megállapítások.

A fent említett Node.js-kódfuttatási eredmény kutatói demonstráció, nem éles rendszerben jelentett betörés. A Cisco nem tud kommunikációs CVE-inek ismert rosszindulatú kihasználásáról. Az Arista kifejezetten jelzi a VCO-hiba aktív kihasználását, bár a tájékoztatója nem nevez meg áldozatot, és nem ír le befejezett behatolást. E különbségek egyike sem gyengíti a gyártói javítások telepítésének indokoltságát. Azt mutatják meg az incidenskezelőknek, hol áll rendelkezésre bizonyíték, és hol kell még összegyűjteni azt.

Miért kapcsolhatnak le egy weboldalt?

Az internet felől elérhető, egyelőre nem frissíthető vagy érdemben nem védhető PHP-szolgáltatásoknál a brit NCSC az ideiglenes leállítás megfontolását javasolja. Ez a döntés a rendelkezésre állást csökkenti a kitettség mérsékléséért cserébe, amíg az üzemeltetők frissítik, újraindítják és ellenőrzik a futtatókörnyezetet. Egy elővigyázatossági leállítás nem igazolja, hogy behatolás történt. A döntésnek egyértelmű felelőssel és tesztelhető visszaállítási tervvel kell rendelkeznie, különösen olyan közszolgáltatásoknál, amelyek elérhetősége fontos a felhasználóknak.

Mit tegyenek most a szervezetek?

Kezdjék az elérhető VCO-rendszerekkel. Ellenőrizzék, üzemeltetnek-e saját környezetben VeloCloud Orchestratort, milyen kiadás fut rajta, ki éri el a webes felületét, és megjelennek-e a naplókban az Arista tájékoztatójában szereplő jelek. Kompromittálódás gyanúja esetén őrizzék meg a bizonyítékokat, majd térjenek át az adott verzióág javított kiadására.

Fejezzék be a PHP2Shell-javítások telepítését. Minden webes kiszolgálón, konténerben és felügyelt szolgáltatásban a ténylegesen futó PHP verzióját ellenőrizzék, majd a frissítés után indítsák újra a tartósan futó kiszolgálófolyamatokat. Az új CVE-2026-115560 esetében ellenőrizzék a szerializálási mód futás közbeni váltásának pontos feltételeit, és ahol ez indokolt, tiltsák le a munkamenethez kapcsolódó feltöltési folyamatkövetést. Ahol rendelkezésre állnak naplók, legalább október 17-ig visszamenően vizsgálják a gyanús tevékenységet, de pusztán egy automatizált vizsgálat miatt ne minősítsenek egy kiszolgálót kompromittáltnak.

A Node.js-dekódereket keressék meg, ne csak a Node.js-csomagokat. Azonosítsák a nem megbízható Brotli-adatokat kitömörítő szolgáltatásokat, beleértve a kéréstörzset feldolgozó middleware-eket és a tömörített távoli válaszokat fogyasztó kódot. Frissítsék az érintett 22.x, 24.x és 26.x futtatókörnyezeteket a projekt javított kiadásaira, majd ellenőrizzék, hogy a folyamat valóban újraindult-e. A többi DNS- és TLS-javítás jelentőségét is vizsgálják meg azoknál a kódoknál, amelyek gépneveket ellenőriznek vagy engedélyezési listához hasonlítanak.

A Cisco-frissítést szolgáltatásváltozásként tervezzék meg. Vegyék leltárba a hat érintett kommunikációs terméket, állapítsák meg, hogy a 14-es vagy a 15-ös kiadást futtatják-e, és tesztelt helyreállítási tervvel készítsék elő az átállást a 15SU5 vagy egy másik javított kiadásra. A Cisco tájékoztatója nem ad meg konfigurációs kerülő megoldást.

A tágabb tanulság

A közzétételek különböző támadási felületeket érintenek. A PHP új hibájához ritka munkamenet-beállítás szükséges, a Node.js esetében a támadó által befolyásolt tömörített adatnak el kell érnie a dekódert, a Cisco tájékoztatója belső vizsgálat során feltárt, ismert visszaélés nélküli hibákat csoportosít, az Arista felügyeleti síkot érintő hibáját pedig már kihasználják, de bejelentkezés szükséges hozzá. Egyetlen súlyossági pontszám elfedi ezeket a különbségeket.

A PHP Foundation és a Cisco egyaránt beszámol mesterséges intelligenciával (MI) támogatott munkáról a biztonsági folyamataiban. A gyorsabb feltárás lerövidítheti a reagálásra rendelkezésre álló időt. A kitettséget továbbra is szolgáltatásonként kell megállapítani. A bizonyíték konkrét: a futó verzió, az újraindított folyamat, az elérhető bemeneti útvonal és a javítás előtti időszakot lefedő naplók. Ezek nélkül egy lezárt CVE-hibajegy szándékot rögzít, nem ellenőrzött javítást.

Források

• PHP, 2026. októberi biztonsági közlemények
• Node.js, október 21-i biztonsági kiadások
• Cisco, a Unified Communications biztonsági megerősítéséről szóló tájékoztató
• Arista, a VeloCloud Orchestrator 0199-es biztonsági tájékoztatója
• Amazon Threat Intelligence, a PHP2Shell-kísérletek időrendje
• Holland NCSC, október 23-i PHP-frissítés