Két rendkívül súlyos biztonsági rést fedeztek fel az internet egyik legelterjedtebb programozási nyelvében. Több európai országban állami honlapokat és közszolgáltatásokat állítottak le, Magyarországon pedig a Nemzeti Kiberbiztonsági Intézet sürgős figyelmeztetést adott ki. A szakértők szerint a sérülékenységek kihasználásával a támadók akár jelszó nélkül is átvehetik az irányítást az érintett szerverek felett.
Hetediknap a Google Keresőben
Kérjük állítsa be, hogy a hetediknap.hu mindenképpen megjelenjen a találatai közt!
Komoly kiberbiztonsági riadókészültség alakult ki Európában október 21-én, szerdán, miután a világszerte használt PHP programozási nyelvben két kritikus biztonsági hibát azonosítottak. A sérülékenységek súlyossága miatt több országban úgy döntöttek, hogy inkább ideiglenesen elérhetetlenné tesznek egyes állami és közszolgáltatási honlapokat, mintsem kockáztassák azok feltörését.
A probléma különösen azért jelentős, mert a PHP az internet működésének egyik alapvető technológiája, amelyet számtalan weboldal, vállalati alkalmazás, adatbázisokhoz kapcsolódó rendszer és online ügyintézési felület használ.
Jelszó nélkül is bejuthatnak a támadók
A két sérülékenység a CVE-2026-109618 és CVE-2026-109619 azonosítót kapta, súlyosságukat pedig egy tízfokozatú skálán 9,2 pontra értékelték.
A hibák sikeres kihasználása lehetővé teheti, hogy illetéktelen személyek távolról, előzetes bejelentkezés nélkül futtassanak rosszindulatú programkódot az érintett szervereken. Ez nem pusztán egy weboldal működésének megzavarását jelentheti, hanem megfelelő körülmények között érzékeny adatok megszerzéséhez vagy a kiszolgáló feletti ellenőrzés átvételéhez is vezethet.
Európában már állami honlapokat is lekapcsoltak
Hollandiában több kormányzati szolgáltatást elővigyázatosságból elérhetetlenné tettek. Az intézkedés olyan fontos ügyintézési felületeket is érintett, mint a MijnOverheid és a DigiD. A holland Nemzeti Kiberbiztonsági Központ saját honlapját is ideiglenesen leállította.
Más európai országokban, köztük Finnországban és Franciaországban is történtek megelőző intézkedések. A hatóságok elsősorban azt igyekeztek megakadályozni, hogy a javítások telepítéséig a támadók kihasználhassák a rendszerek sebezhetőségét.
Fontos ugyanakkor, hogy a honlapok lekapcsolása önmagában nem jelenti azt, hogy az adott rendszereket már feltörték. Több esetben kifejezetten megelőző biztonsági döntésről van szó.
Magyarországon is kritikus riasztást adtak ki
A Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézete szerdán hivatalos riasztást tett közzé, amelyben a sérülékenységek súlyosságára és az érintett technológia rendkívül széles körű elterjedtségére figyelmeztetett.
Az intézet felszólította az érintett szervezeteket, hogy a biztonsági frissítéseket haladéktalanul telepítsék. Amennyiben ez nem oldható meg azonnal, azt javasolta, hogy a veszélyeztetett rendszereket különítsék el a nyilvános hálózattól, vagy szükség esetén átmenetileg függesszék fel működésüket.
A PHP fejlesztői időközben közzétették a hibák javítására szolgáló biztonsági frissítéseket.
A mesterséges intelligencia új korszakot nyithat a kibertámadásokban
Az ügy egyik legérdekesebb és egyben legnyugtalanítóbb részlete a mesterséges intelligencia szerepe.
A Google anyavállalatához, az Alphabethez tartozó Wiz kiberbiztonsági vállalat kutatói szerint a fejlett mesterségesintelligencia-modellek kulcsszerepet játszottak abban, hogy a PHP régi, hosszú ideje rejtve maradt hibáinak kihasználhatóságát bizonyítani tudták.
Ez a fejlemény túlmutat a mostani incidensen. A mesterséges intelligencia ugyanis nemcsak a védekező szakemberek munkáját gyorsíthatja fel, hanem a támadók számára is megkönnyítheti a korábban rendkívül bonyolultnak számító sebezhetőségek felkutatását és kihasználását.
A mostani eset így arra is figyelmeztet, hogy az internet biztonsága egyre inkább versenyfutássá válik: az a kérdés, hogy a hibákat felismerő és kijavító szakemberek vagy a támadók tudnak-e gyorsabban cselekedni.
