A PHP2Shell néven ismert két kritikus sérülékenység (CVE-2026-109618 és CVE-2026-109619) hitelesítés nélküli távoli kódfuttatást tehet lehetővé. A 9,2-es CVSS-pontszámú hibák NAS-ok, tűzfalak, Nextcloud-konténerek és más PHP-t futtató rendszerek felületeit is érinthetik. A PHP-projekt kiadta a javított verziókat, ezért a rendszereket mielőbb frissíteni kell.
- A PHP 8.1-es és régebbi verzióihoz nem érkezik javítás. A frissítések a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 kiadásokban érhetők el.
- A watchTowr aktív kihasználási kísérleteket észlelt, de sikeres behatolásról nem számolt be. A kockázat különösen nagy az internet felé porttovábbítással megnyitott szolgáltatásoknál.
- A QNAP javítása még folyamatban van; addig korlátozd a NAS internetes elérését, kapcsold ki a felesleges közzétételeket, és távoli hozzáféréshez használj VPN-t. A Synology sem adott még ki közleményt; Web Station használatakor figyeld a PHP-csomagok frissítéseit, és ugyanezeket az óvintézkedéseket alkalmazd.
- Az OPNsense és a pfSense tűzfalak már megkapták a szükséges biztonsági frissítéseket. Ha a kezelőfelületet az internetről is elérhetővé tetted, azonnal telepítsd őket.
- A Nextcloud, WordPress és egyéb Docker-alapú szolgáltatásoknál a képfájlok frissítése mellett a konténerek újraindítása is elengedhetetlen a védelemhez.
- Linux-alapú rendszereken a disztribúciók csomagkezelőin keresztül érkeznek a javítások, ezt követően a PHP-t használó szolgáltatásokat újra kell indítani.
- A Pi-hole 5 felhasználóinak érdemes a 6-os verzióra váltaniuk, mivel az már nem támaszkodik a sérülékeny PHP-környezetre.
- A különböző php.ini alapú kerülőmegoldások csak ideiglenes enyhítést nyújtanak, nem helyettesítik a szoftverfrissítést.
