---
title: "Kritikus PHP biztonsági frissítés: két távoli kódfuttatási hiba javítva"
url: "https://hellowp.io/hu/kritikus-php-biztonsagi-frissites-2026-oktober/"
date: "2026-10-21"
modified: "2026-10-21"
author: "HelloWP Team"
language: "hu_HU"
categories: ["Karbantartás"]
featured_image: "https://hellowp.io/hu/app/uploads/2026/10/kritikus-php-biztonsagi-frissites-1024x683.webp"
excerpt: "A PHP október 21-én két kritikus, bejelentkezés nélküli távoli kódfuttatást lehetővé tevő hibát javított. Mit jelent ez a WordPress-oldaladra, és mit érdemes tenned?"
---

# Kritikus PHP biztonsági frissítés: két távoli kódfuttatási hiba javítva

Október 21-én a PHP fejlesztőcsapata soron kívüli biztonsági kiadást tett közzé: a **PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35** két kritikus hibát javít. A WordPress.org is külön figyelmeztetésben kérte az oldaltulajdonosokat, hogy mielőbb frissítsenek.

## Mi a probléma?

Mindkét hiba (CVE-2026-109618 és CVE-2026-109619) **bejelentkezés nélküli távoli kódfuttatást** tesz lehetővé, vagyis egy támadó egyetlen kéréssel saját kódot futtathatna a szerveren. A súlyosságuk a CVSS 4.0 skálán 9,2, ez a legmagasabb, „kritikus” kategória.

- Az első hiba a memóriahiány kezelésében van: ha a PHP egy kérés közben kifut a memóriából, a félig előkészített belső adatokat a kérés lezárásakor érvényesnek veheti.
- A második hibánál egy kéréshez tartozó belső állapot a memória felszabadítása után is megmaradhat, és ugyanazon a folyamaton egy későbbi kérés hozzáférhet.

A hiba nem a WordPressben van, hanem magában a PHP-ben, ezért minden webes PHP-alkalmazást érint, a futtatás módjától függetlenül (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). A PHP csapata szerint a mod_php-t használó szervereken a legnagyobb a kockázat.

## Mit érdemes most tenned?

- **Nézd meg a PHP-verziót:** a WordPress-adminban az Eszközök → Webhely egészsége → Információ → Szerver alatt látod.
- **Ha régebbi a fenti verzióknál, frissíts**, vagy kérd meg a tárhelyszolgáltatódat, hogy tegye meg.
- **A PHP 8.2-nél régebbi verziók már nem kapnak hivatalos biztonsági javítást.** Ha az oldalad ilyenen fut, a váltás most különösen sürgős.
- WordPress-frissítésre nincs szükség: a javítás kizárólag a PHP-t érinti.

Részletek: a [WordPress.org bejelentése](https://wordpress.org/news/2026/10/critical-php-security-release/) és a [PHP biztonsági közleménye](https://www.php.net/archive/2026.php).

## Frissítés

A PHP csapata egy nappal korábban, október 20-án előre jelezte a kiadást és annak pontos időpontját. Ezt kihasználva előre felkészültünk, így a javított verziók megjelenése után **néhány percen belül az összes szerverünket frissítettük**.