Október 21-én, szerdán néhány órán át úgy kellett üzemeltetnünk ügyfeleink weboldalait, hogy egy súlyos, nyilvánosan ismert biztonsági hibára még nem volt telepíthető javítás. Az oldalak végig elérhetők maradtak, csak a fájlfeltöltés és az online fizetés szünetelt. Estére ezek is visszaálltak.
Integral Vision
Mi volt a probléma?
A hiba a PHP-ban volt. Erre a programozási nyelvre épül a Drupal és a WordPress, és összességében a weboldalak nagyjából kétharmada. A hiba nem egy bővítményben vagy egy elhanyagolt oldalban volt, hanem az alattuk futó rétegben. Így a gondosan fejlesztett oldalak is veszélybe kerülhettek.
A potenciális támadó megfelelően összeállított kéréssel nem megfelelő védelem esetén kódot futtathatott volna a szerveren, és így hozzáférhetett például az adatbázishoz. A PHP fejlesztői a két hibát (CVE-2026-109618, CVE-2026-109619) 9,2-esre értékelték a tízes súlyossági skálán.
A hibákat nyáron jelentették a PHP fejlesztőinek. A feltárásban több biztonsági kutatócsapat és AI-alapú eszköz is részt vett. A javítás csendben készült, a nyilvánosságra hozatalt október 22-re tervezték. A részletek azonban október 20-án kiszivárogtak, este a támadást bemutató videó is megjelent. A PHP csapata ezért előrehozta a kiadást: a javított verziók október 21-én 16:00-kor (magyar idő szerint) jelentek meg.
Mit tettünk?
Amint értesültünk a hibáról, felmértük, mely rendszereink érintettek. Ebben és az átmeneti korlátozások előkészítésében AI-eszközökkel is dolgoztunk. Az eredményeket a kollégáink ellenőrizték, mielőtt bármit élesítettünk. Egy órán belül minden általunk üzemeltetett szerveren életbe léptek az átmeneti intézkedések.
A teljes leállítás helyett szerveroldali korlátozásokkal csökkentettük a támadás lehetőségét. Emiatt néhány órára le kellett állítanunk a fájlfeltöltést és az online fizetést, minden más működött. A PHP fejlesztői szerint az ilyen átmeneti beállítások nem helyettesítik a javítást, csak szűkítik a támadási felületet. Ezért a hivatalos frissítést is a lehető leghamarabb telepíteni akartuk.
Közben minden ügyfelünket értesítettük. Az értesítések szövegét AI segítségével készítettük elő, miközben folyt a műszaki munka.
A javítás megjelenése után telepítettük a frissítést az általunk üzemeltetett környezetekben, és feloldottuk a korlátozásokat. Estére a fájlfeltöltés és a fizetés is újra működött. Másnap reggel, amikor a hír a magyar sajtóban is megjelent, nálunk már a javított verzió futott.
Ha az oldalát más üzemelteti
Kérdezze meg a szolgáltatót, milyen PHP-verzión fut az oldal, és telepítette-e a javítást. A 8.2-es és újabb verziókhoz hivatalos frissítés jelent meg. A 8.1-es és régebbi verziókat a PHP projekt már nem támogatja. Egyes Linux-disztribúciók adnak hozzájuk külön biztonsági javítást, de hosszabb távon a támogatott verzióra váltás a megoldás.
Miben segített az AI?
A hibák feltárásában AI-alapú eszközök is szerepet kaptak, és ugyanez a technológia a támadók munkáját is gyorsíthatja. A Cloudflare már a javítás megjelenése előtt támadási kísérleteket észlelt, néhány órával a kiszivárgás után.
Nálunk az AI abban segített, hogy a felmérés, a korlátozások előkészítése és az ügyfelek tájékoztatása párhuzamosan haladhatott, nem egymás után. A döntéseket a csapat hozta meg. Ezúttal néhány órányi funkciókorlátozással át tudtuk vészelni azt az időszakot, amikor még nem volt javítás. Egy másik hibánál lehet, hogy a teljes leállítás lesz a helyes döntés. Az a fontos, hogy az ilyen döntést gyorsan és megalapozottan tudjuk meghozni.
Források: NBSZ NKI riasztás, PHP Foundation, The Hacker News
Oszd meg ismerőseiddel!
