„Az Európai Bizottság (DG CNECT), az ENISA, az Európai Uniós Kiberbiztonsági Ügynökség, a CERT-EU, az Europol EC3 és az uniós nemzeti számítógép-biztonsági eseményekre reagáló csoportok hálózata (CSIRT-hálózat) azt tanácsolja a szervezeteknek, hogy tegyenek azonnali lépéseket a weboldalak és alkalmazások számára széles körben használt programozási nyelv, a PHP két kritikus sebezhetőségének kezelésére.
A CVE-2026-109618 és CVE-2026-109619 néven nyomon követett biztonsági rések lehetővé tehetik a támadók számára, hogy hitelesítés nélkül távolról hajtsanak végre rosszindulatú kódot a sebezhető kiszolgálókon. A PHP biztonsági csapata 2026. október 21-én 13:40-kor (UTC) adta ki a frissítéseket. Ezeknek a frissítéseknek a teljes technikai részletei, valamint az érintett és a rögzített verziók a kiadást kísérik.
A PHP biztonsági tanácsadása a következő címen található: https://www.php.net/archive/2026.php
A szervezeteknek azonosítaniuk kell PHP-alapú alkalmazásaikat, egyeztetniük kell a tárhelyszolgáltatókkal és a szolgáltatókkal, és alkalmazniuk kell a kiadott biztonsági frissítéseket. Az internetre néző rendszerek előnyben részesítése. Amennyiben az azonnali helyreállítás nem valósítható meg, fontolja meg a kitett alkalmazások elkülönítését a nyilvános hálózatoktól, amíg javításokat nem lehet alkalmazni.
Sok kereskedelmi és nyílt forráskódú termék a háttérben a PHP-re támaszkodik. Ennek eredményeként egyeseket érinthetnek ezek a biztonsági rések, még akkor is, ha úgy tűnik, hogy nem használják közvetlenül a PHP-t. Javasoljuk, hogy ellenőrizze az NCSC-NL GitHub adattárban a PHP-t tartalmazó és esetlegesen érintett harmadik féltől származó szoftverekre vonatkozó információkat: https://github.com/NCSC-NL/php2shell
A CSIRT-hálózat tagjai által közzétett legfrissebb tanácsok megtalálhatók a megfelelő hivatalos kommunikációs csatornáikon. A szervezetek hivatkozhatnak a CERT-EU által adott iránymutatásra is. Az ENISA tanácsadói gyűjteményt tart fenn a következő címen: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Az ENISA és valamennyi érintett uniós szereplő továbbra is figyelemmel kíséri ezt a fenyegetést, hogy hozzájáruljon az uniós szintű általános helyzetismerethez.
Uniós politika
A szervezeteknek tisztában kell lenniük azzal is, hogy 2026. szeptember 11-től a hardver- és szoftvertermékek gyártóinak az (EU) 2024/2847 rendelettel (a kiberrezilienciáról szóló jogszabály) összhangban a hitelminősítő intézetek egységes jelentéstételi platformján keresztül jelenteniük kell az aktívan kihasznált sebezhetőségeket. További információ: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting és https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
A kiberrezilienciáról szóló jogszabály (CRA) fő kiberbiztonsági követelményei 2027. december 11-től alkalmazandók. Ezek megkövetelik a hardver- és szoftvertermékek (a továbbiakban: digitális elemeket tartalmazó termékek) gyártóitól, hogy beépített biztonságot valósítsanak meg, és biztosítsák a biztonsági támogatást az ilyen termékek életciklusa során, beleértve a sebezhetőségek haladéktalan orvoslását is.”
Forrás:
Együttes nyilatkozat a PHP kritikus sebezhetőségeiről; Shaping Europe’s digital future, Európai Bizottság; 2026. október 21-22.
