Két kritikus PHP-sebezhetőség, amely a WordPress-oldalakat is érintheti: CVE-2026-109618 és CVE-2026-109619

Mi történt?

A PHP fejlesztői 2026. október 21-én két kritikus sérülékenység javítását jelentették be: CVE-2026-109618 és CVE-2026-109619. A hibák a PHP futtatókörnyezetben vannak, nem a WordPress magjában, egy adott témában vagy egy konkrét bővítményben. A PHP hivatalos tájékoztatója szerint bizonyos, speciálisan összeállított kérések távoli kódfuttatást tehetnek lehetővé; a támadónak ehhez nem feltétlenül kell bejelentkeznie.

Ez nem jelenti azt, hogy minden WordPress-oldalt feltörtek, vagy hogy minden szerveren ugyanúgy kihasználható a hiba. A tényleges kockázat függ a PHP-verziótól, a tárhelycsomagtól és a futtatási környezettől. A PHP a webszerver folyamatának jogosultságaival fut, ezért egy sikeres támadás lehetséges hatása is ezektől a jogosultságoktól és az elkülönítéstől függ.

A PHP közleménye többféle, webes kéréseket kiszolgáló környezetet sorol fel, köztük a PHP-FPM-et, az Apache mod_php-t, a php-cgi-t és a LiteSpeedet. A közlemény a mod_php-t nevezi a legnagyobb kockázatú környezetnek, de önmagában a LiteSpeed, az Nginx vagy egy másik webszerver használata nem helyettesíti a PHP javítását.

Forrás: PHP: hivatalos biztonsági közlemény.

Mit csinál a két hiba? Egyszerűen elmagyarázva

A részletek technikaiak, de WordPress-tulajdonosként a legfontosabb tanulság egyszerű: a hiba a PHP-ban van, ezért a javítást is a tárhely PHP-környezetén kell elvégezni. A WordPress adminfelületén nincs olyan kapcsoló, amely ezt a két CVE-t kijavítaná.

Adatgrafikon: a két hiba súlyossága

A hivatkozott elsődleges források nem adnak ellenőrzött, aktuális százalékot arról, hogy az összes WordPress-oldal közül mennyi fut még javítatlan PHP-n. Ezért itt nem szerepel becsült érintettségi arány vagy kitalált támadásszám. A bemutatott mérőgrafikon a két hivatalos CVSS-pontszámot mutatja.

Források: CVE-2026-109618 — PHP biztonsági tanács és CVE-2026-109619 — PHP biztonsági tanács.

Mely PHP-verziók érintettek, és melyek javítottak?

A PHP projekt az alábbi javított kiadásokat tette közzé. Az adott ágban a javított verzió előtti kiadások érintettek lehetnek, kivéve, ha a tárhelyszolgáltató vagy a Linux-disztribúció külön biztonsági javítást portolt vissza a saját csomagjába.

Fontos WordPress-tipp: a WordPress.org jelenleg PHP 8.3 vagy újabb verziót javasol. A PHP 8.2.35 ettől még tartalmazza a két CVE javítását, de a PHP 8.2 támogatása 2026. december 31-én véget ér. Ha az oldalad PHP 8.2-t használ, egyeztess a tárhelyszolgáltatóval a javításról, majd tervezz kompatibilitási ellenőrzés után újabb, támogatott ágra váltást.

Miért nem elég csak a WordPressben látható verziószám?

Egyes szolgáltatók a javítást a saját csomagjukba portolják vissza, így a csomag verziószáma eltérhet a PHP projekt által kiadott verziótól. A cPanel biztonsági tájékoztatója például külön verziókat sorol fel a cPanel EasyApache 4 és a CloudLinux EasyApache 4 csomagjaihoz. A CloudLinux-listában szerepel például az ea-php83 8.3.35-2, míg a PHP projekt javított kiadása 8.3.36.

Ez nem jelenti azt, hogy a tárhelyed biztosan javított vagy biztosan javítatlan: a csomagcsalád és a csomagkiadás számít. Ha cPanelt vagy CloudLinuxot használsz, ne válts automatikusan verziót pusztán a WordPressben megjelenő szám alapján. Kérd a szolgáltatótól a tényleges csomag és a két CVE javításának ellenőrzését.

Forrás: cPanel: PHP biztonsági kiadás és csomagverziók. A cPanel/CloudLinux példa csak az adott csomagkörnyezetre vonatkozik.

Mit tegyen most egy WordPress-oldal tulajdonosa?

1. Nézd meg, milyen PHP-verziót lát a WordPress

1. Lépj be a WordPress adminfelületére.
2. Nyisd meg az Eszközök → Webhely egészsége menüpontot.
3. Válaszd az Információ fület, majd nyisd le a Szerver részt.
4. Jegyezd fel a PHP-verziót. Ez az adat tájékoztató jellegű: önmagában nem bizonyítja, hogy egy szolgáltatói visszaportolás tartalmazza-e a javítást.

A WordPress dokumentációja szerint ezen a képernyőn a szerverkörnyezetről és a PHP-változókról is találsz információt. A beállítások módosításához viszont sok esetben a tárhelyszolgáltató segítsége szükséges. Forrás: WordPress: Webhely egészsége.

2. Kérj konkrét megerősítést a tárhelyszolgáltatótól

Ne csak azt kérdezd, hogy „friss-e a PHP”. Kérd meg a szolgáltatót, hogy a saját domainedhez rendelt PHP-futtatókörnyezetet és csomagot ellenőrizze.

Tárgy: PHP biztonsági javítás ellenőrzése – CVE-2026-109618 és CVE-2026-109619

Kérem, ellenőrizzék a [SAJÁT DOMAIN] webhelyemhez rendelt PHP-futtatókörnyezetet. Szeretném megtudni a használt PHP-kezelőt és a telepített PHP-csomag pontos kiadását, valamint azt, hogy a csomag tartalmazza-e a CVE-2026-109618 és CVE-2026-109619 javítását. Ha a javítás még nem érhető el az aktuális környezetben, kérem, jelezzék, milyen javított PHP-csomagra tudnak átállítani, illetve szükséges-e a PHP-folyamatok újraindítása.

A kérésben a zárójelezett részt cseréld ki a saját domainnevedre. Ha a szolgáltató visszaportolt javítást használ, kérd, hogy a csomagkiadás vagy a biztonsági közlemény alapján erősítse meg a CVE-k javítását. A „naprakész” válasz önmagában nem mondja meg, melyik PHP-csomagról van szó.

3. Ne állíts át találomra PHP-verziót

Egy PHP-verzióváltás régi témákkal, bővítményekkel vagy egyedi fejlesztésekkel okozhat kompatibilitási hibát. Ha a szolgáltató szerint verzióváltás szükséges, kérdezd meg, melyik javított, támogatott verziót ajánlja, és készíts mentést. Ha van tesztkörnyezeted, előbb ott próbáld ki a váltást.

4. A frissítés után ellenőrizd a webhely fontos funkcióit

• Betöltődik-e a kezdőlap és néhány fontos aloldal?
• Be tudsz-e lépni a WordPress adminfelületére?
• Működik-e a kapcsolatfelvételi űrlap és a fájlfeltöltés?
• WooCommerce esetén végig tudsz-e menni a kosár és a pénztár folyamatán?
• A tárhelyszolgáltató megerősítette-e, hogy a frissítés után a megfelelő PHP-folyamatok is újraindultak?

5. Tarts meg egy visszaállítható mentést

A frissítés előtt ellenőrizd, hogy van-e használható mentés a WordPress fájljairól és az adatbázisról. A mentés nem javítja ki a PHP-hibát, de segíthet egy sikertelen kompatibilitási váltás utáni helyreállításban.

Átmeneti védelem: ezt bízd a tárhelyszolgáltatóra

A PHP hivatalos tanácsa szerint a javított PHP-kiadás telepítése az egyetlen teljes megoldás. A biztonsági közlemény említ átmeneti, csak bizonyos támadási útvonalakat szűkítő beállításokat is. Ezek nem teszik teljesen biztonságossá a javítatlan PHP-t, és helytelen alkalmazásuk hibát vagy működési problémát okozhat.

• A szolgáltató mérlegelheti a feltöltések és a kérésméretek szerveroldali korlátozását, különösen a memória-kimerüléshez kapcsolódó kockázat csökkentésére.
• A PHP közleménye a session.upload_progress.enabled=0 beállítást is említi egy, a CVE-2026-109619-hez kapcsolódó konkrét útvonal csökkentésére. Ezt a megfelelő szerveroldali konfigurációban kell beállítani, és a PHP-folyamatokat újra kell indítani; ez nem javítja ki az összes lehetséges útvonalat.
• A PHP 8.5 esetén a közlemény a fatal_error_backtraces=0 beállítást is említi egy bemutatott eset korlátozására. Ez sem teljes körű javítás.

Ne másold ezeket a beállításokat találomra a wp-config.php fájlba vagy egy bővítménybe. A PHP-közleményben szereplő egyik memória-beállítás, a memory_limit=-1, például megszünteti a PHP kérésenkénti memóriakorlátját. Ezt csak a szerver üzemeltetője mérlegelje a saját környezetében; nem általános WordPress-felhasználói beállítás. A PHP közlemény az átmeneti intézkedésekről részletesebben ír, és külön figyelmeztet arra, hogy ezek nem helyettesítik a frissítést.

A WAF vagy CDN kiegészítő védelmet adhat, de nem garantálja minden támadási változat kiszűrését, és nem cseréli le a javítatlan PHP-t javítottra.

Gyors ellenőrző kimutatás a saját oldaladhoz

Az alábbi táblázatot töltsd ki a saját webhelyed adataival. Üresen hagyott mezők nem jelentenek automatikusan sérülékenységet; a cél az, hogy pontos választ kapj a tárhelyszolgáltatótól.

Rövid idővonal

Összefoglalás WordPress-tulajdonosoknak

1. A WordPress adminban a Eszközök → Webhely egészsége → Információ → Szerver résznél jegyezd fel a PHP-verziót.
2. Küldd el a fenti mintalevelet a tárhelyszolgáltatónak, és kérj konkrét megerősítést mindkét CVE javításáról.
3. Ne a WordPress vagy a bővítmények frissítését tekintsd a PHP-javítás helyettesítőjének.
4. Ne állíts át PHP-verziót, és ne módosíts szerverbeállítást találomra; a szolgáltatóval egyeztess.
5. A javítás után ellenőrizd a webhely fontos funkcióit, és tarts meg visszaállítható biztonsági mentést.

A WordPress.org jelenleg PHP 8.3 vagy újabb verziót javasol, de a CVE-javítás ellenőrzésekor a tárhelyszolgáltató által telepített tényleges csomagot is figyelembe kell venni. A PHP visszaportolt javítása más verziószámot mutathat, ezért a legbiztosabb kérdés nem az, hogy „milyen számot látok?”, hanem az, hogy a konkrét PHP-csomag tartalmazza-e mindkét CVE javítását.

Források

• PHP: hivatalos biztonsági közlemény és átmeneti intézkedések
• PHP: CVE-2026-109618 biztonsági tanács
• PHP: CVE-2026-109619 biztonsági tanács
• cPanel: PHP-csomagok és javított kiadások
• WordPress: Webhely egészsége képernyő
• WordPress.org: rendszerkövetelmények és ajánlott PHP-verzió

A cikk a 2026. október 22-én elérhető PHP-, WordPress- és cPanel-tájékoztatók alapján készült. A tárhelyed aktuális állapotát a szolgáltató tudja megerősíteni; a cikk nem helyettesít egyedi szervervizsgálatot.