{"id":22083,"date":"2026-10-23T05:56:32","date_gmt":"2026-10-22T21:56:32","guid":{"rendered":"https:\/\/synopower.club\/?p=22083"},"modified":"2026-10-23T05:56:32","modified_gmt":"2026-10-22T21:56:32","slug":"synology-php2shell-emergency-patch","status":"publish","type":"post","link":"https:\/\/synopower.club\/hu\/synology-php2shell-emergency-patch\/","title":{"rendered":"PHP2Shell az Synology-n: Hogyan jav\u00edtottunk hat webhelyet egy nap alatt"},"content":{"rendered":"<p class=\"wp-block-paragraph\"><strong>PHP2Shell<\/strong> ...ez a n\u00e9v, amelyet az ipar\u00e1g a CVE-2026-109618 \u00e9s a CVE-2026-109619 eset\u00e9ben alkalmazott, amelyek k\u00e9t kritikus hiba a PHP motorban, \u00e9s lehet\u0151v\u00e9 teszik a hiteles\u00edt\u00e9s n\u00e9lk\u00fcli t\u00e1voli k\u00f3dfuttat\u00e1st. R\u00e9szletek sziv\u00e1rogtak ki 2026. okt\u00f3ber 20-\u00e1n, egy nappal a koordin\u00e1lt k\u00f6zz\u00e9t\u00e9tel el\u0151tt, \u00e9s a PHP projekt okt\u00f3ber 21-\u00e9n kiadta a v\u00e9szhelyzeti kiad\u00e1sokat. Mivel a hiba az interpreterben tal\u00e1lhat\u00f3, \u00e9s nem valamilyen alkalmaz\u00e1sban, a WordPress, a Joomla vagy a MediaWiki jav\u00edt\u00e1sa semmit sem tesz. Az egyetlen igazi jav\u00edt\u00e1s egy \u00faj PHP-build. Hat nyilv\u00e1nos WordPress webhelyet futtatunk Synology hardveren, \u00e9s a PHP2Shell azt jelentette, hogy mindegyiket ugyanazon a h\u00e9ten \u00fajra kellett \u00e9p\u00edteni. Ez az \u00fatmutat\u00f3 bemutatja, hogy mi is val\u00f3j\u00e1ban a hiba, hogyan jav\u00edthat\u00f3 a DSM-en a Package Centeren kereszt\u00fcl, hogyan kell kezelni, ha a webhely kont\u00e9nerben fut, \u00e9s a kellemetlen \u00f6sszehasonl\u00edt\u00e1st ak\u00f6z\u00f6tt, amit az Synology sz\u00e1ll\u00edtott, \u00e9s amit a t\u00f6bbi NAS-gy\u00e1rt\u00f3 eddig el\u00e9rt.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>SynoPower Club pont\uff1a<\/strong>A hat webhely\u00fcnket a PHP2Shell tan\u00e1csad\u00f3 k\u00f6zlem\u00e9ny megjelen\u00e9s\u00e9t k\u00f6vet\u0151 egy munkanapon bel\u00fcl jav\u00edtottuk, \u00e9s ezt nem h\u0151sies l\u00e9p\u00e9sk\u00e9nt tette lehet\u0151v\u00e9 az Synology, hanem az, hogy a tan\u00e1csad\u00f3 k\u00f6zlem\u00e9ny\u00e9vel egy napon k\u00f6zz\u00e9tette a jav\u00edtott csomagokat. Az Synology-SA-26:14 okt\u00f3ber 22-\u00e9n jelent meg \u201eMegoldva\u201d st\u00e1tusszal, \u00e9s a jav\u00edtott verzi\u00f3k teljes t\u00e1bl\u00e1zat\u00e1val a PHP 7.4-ig visszamen\u0151leg. Ugyanezen a napon a QNAP k\u00f6zz\u00e9tette a QSA-26-18-at \u201eJav\u00edt\u00e1s\u201d st\u00e1tusszal \u00e9s a \u201eBejelentend\u0151\u201d szavakkal minden egyes jav\u00edtott verzi\u00f3 cell\u00e1ban, az ASUSTOR pedig a r\u00e9gi PHP t\u00f6rl\u00e9s\u00e9vel v\u00e1laszolt az App Centralb\u00f3l a jav\u00edt\u00e1s helyett. Ha egy nyilv\u00e1nos webhelyet NAS-on \u00fczemeltetsz, ez a hi\u00e1nyoss\u00e1g nem marketing r\u00e9szlet. Ez a k\u00fcl\u00f6nbs\u00e9g egy csomag friss\u00edt\u00e9se \u00e9s a webhely internetr\u0151l val\u00f3 elt\u00e1vol\u00edt\u00e1sa k\u00f6z\u00f6tt, am\u00edg v\u00e1rakozol.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-is-php2shell-and-why-it-is-different\" class=\"wp-block-heading\">Mi a PHP2Shell \u00e9s mi\u00e9rt m\u00e1s?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell nem egyetlen hiba, hanem egy sor kapcsol\u00f3d\u00f3 mem\u00f3riabiztons\u00e1gi hiba, amelyek a PHP mem\u00f3ria-elfogy\u00e1s ut\u00e1ni takar\u00edt\u00e1s\u00e1ban j\u00e1tsz\u00f3dnak le. A PHP ezt haszn\u00e1lja: <code>longjmp()<\/code> ...hogy elker\u00fclje a v\u00e9gzetes hib\u00e1kat, bele\u00e9rtve a mem\u00f3riahi\u00e1nyt is, \u00e9s ez az ugr\u00e1s \u00e1tugorja a tiszt\u00edt\u00f3 k\u00f3dot, amely norm\u00e1lis esetben egy ismert \u00e1llapotba helyezn\u00e9 vissza a motort. Az \u00e1llapot egy r\u00e9sze glob\u00e1lis, \u00e9s fennmarad a k\u00f6vetkez\u0151, ugyanazon munkafolyamat \u00e1ltal kezelt k\u00e9r\u00e9sben is.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A CVE-2026-109618 a mem\u00f3ria-t\u00fall\u00e9p\u00e9s oldal\u00e1ra vonatkozik. Egy l\u00e9trehozott HTTP k\u00e9r\u00e9s kimer\u00edti a mem\u00f3riakorl\u00e1tot, mik\u00f6zben a k\u00e9r\u00e9s adatai csak r\u00e9szben inicializ\u00e1l\u00f3dnak, \u00edgy a takar\u00edt\u00e1si rutin olyan strukt\u00far\u00e1kat is \u00e1tn\u00e9z, amelyek soha nem fejez\u0151dtek be. A CVE-2026-109619 a felszabad\u00edt\u00e1s ut\u00e1ni haszn\u00e1lat oldal\u00e1ra vonatkozik: a felszabad\u00edtott k\u00e9r\u00e9smem\u00f3ri\u00e1ra mutat\u00f3 glob\u00e1lis \u00e1llapotot egy k\u00e9s\u0151bbi k\u00e9r\u00e9s ugyanazon a munkav\u00e9gz\u0151n olvashatja, \u00edgy a hiba k\u00f3dfuttat\u00e1ss\u00e1 vagy mem\u00f3ria-felfed\u00e9ss\u00e9 alakul.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">K\u00e9t tulajdons\u00e1g teszi a PHP2Shellt rosszabb\u00e1 a szok\u00e1sos PHP-figyelmeztet\u00e9sn\u00e9l. El\u0151sz\u00f6r is, el\u0151hiteles\u00edt\u00e9st ig\u00e9nyel. Mindk\u00e9t hiba az alkalmaz\u00e1sszint\u0171 hiteles\u00edt\u00e9s lefuttat\u00e1sa el\u0151tt aktiv\u00e1l\u00f3dik, \u00edgy a bejelentkez\u00e9si fal, a tags\u00e1gi b\u0151v\u00edtm\u00e9ny vagy az adminisztr\u00e1tori jelsz\u00f3 semmit sem v\u00e9d. M\u00e1sodszor, a mem\u00f3ria-nyilv\u00e1noss\u00e1gra hozatali vari\u00e1ns sziv\u00e1rogtatja a munkafolyamat mem\u00f3ri\u00e1j\u00e1t, \u00e9s egy WordPress webhelyen l\u00e9v\u0151 PHP-munkav\u00e9gz\u0151 adatb\u00e1zis-hiteles\u00edt\u00e9si adatokat, API-tokeneket \u00e9s fizet\u00e9si kulcsokat t\u00e1rol. Egy sikeres olvas\u00e1snak nem kell a k\u00f3d v\u00e9grehajt\u00e1s\u00e1ig eljutnia ahhoz, hogy t\u00f6nkretegye a hetedet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A k\u00e9t PHP2Shell CVE-t a PHP biztons\u00e1gi csapata CVSS v4.0 9.2-es pontsz\u00e1mmal \u00e9rt\u00e9kelte. Az Synology saj\u00e1t tan\u00e1csad\u00f3j\u00e1ban 9.8-as pontsz\u00e1mot adott nekik a CVSS v3.1-en. K\u00fcl\u00f6nb\u00f6z\u0151 sk\u00e1l\u00e1k, ugyanaz a k\u00f6vetkeztet\u00e9s. A kihaszn\u00e1l\u00e1si jelent\u00e9sek vegyesek: a watchTowr azt \u00e1ll\u00edtja, hogy k\u00eds\u00e9rleteket l\u00e1tott a honeypot h\u00e1l\u00f3zata ellen, m\u00edg a Bitdefender a telemetri\u00e1j\u00e1ban semmit sem jelentett az \u00edr\u00e1s idej\u00e9n, a QNAP pedig azt \u00e1ll\u00edtja, hogy nem kapott jelent\u00e9st kifejezetten a QNAP term\u00e9keket c\u00e9lz\u00f3 kihaszn\u00e1l\u00e1si k\u00eds\u00e9rletekr\u0151l.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"eager\" decoding=\"async\" width=\"1400\" height=\"852\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory.webp\" alt=\"Synology-SA-26:14 PHP2Shell figyelmeztet\u00e9s, amely a \u201eMegoldva\u201d \u00e1llapotot \u00e9s a jav\u00edtott verzi\u00f3k t\u00e1bl\u00e1zat\u00e1t mutatja.\" class=\"wp-image-22078\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-300x183.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-1024x623.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-768x467.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-600x365.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-400x243.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-synology-advisory-1000x609.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Synology-SA-26:14, k\u00f6zz\u00e9t\u00e9ve: 2026. okt\u00f3ber 22., 19:45 UTC+8, \u00e1llapota: \u201eMegoldva\u201d.<\/figcaption><\/figure>\n\n\n\n<h2 id=\"php2shell-vs-a-normal-wordpress-exploit\" class=\"wp-block-heading\">PHP2Shell vs. egy norm\u00e1l WordPress sebezhet\u0151s\u00e9gi g\u00f3cpont<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A nyilv\u00e1nos WordPress oldalakat legt\u00f6bbsz\u00f6r b\u0151v\u00edtm\u00e9nyek \u00e1ltal okozott sebezhet\u0151s\u00e9gek jellemzik. A minta ismer\u0151s: egy b\u0151v\u00edtm\u00e9ny egy hib\u00e1s REST v\u00e9gpontot k\u00fcld, egy szkenner megtal\u00e1lja, friss\u00edted a b\u0151v\u00edtm\u00e9nyt, \u00e9s a hiba bez\u00e1rul. A PHP2Shell teljesen szak\u00edt ezzel a szok\u00e1ssal, \u00e9s a b\u0151v\u00edtm\u00e9nyek audit\u00e1l\u00e1s\u00e1nak gondolata itt k\u00e1rba v\u00e9sz.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Vonatkoz\u00e1s<\/th><th>Tipikus b\u0151v\u00edtm\u00e9ny CVE<\/th><th>PHP2Shell<\/th><\/tr><\/thead><tbody><tr><td>Ahol a bog\u00e1r \u00e9l<\/td><td>Alkalmaz\u00e1sk\u00f3d (b\u0151v\u00edtm\u00e9ny vagy t\u00e9ma)<\/td><td>Maga a PHP interpreter<\/td><\/tr><tr><td>Ki ind\u00edthatja el<\/td><td>Gyakran el\u0151fizet\u0151i vagy adminisztr\u00e1tori szerepk\u00f6rre van sz\u00fcks\u00e9g<\/td><td>Senki. El\u0151hiteles\u00edt\u00e9s, az alkalmaz\u00e1slogika futtat\u00e1sa el\u0151tt.<\/td><\/tr><tr><td>Seg\u00edt a WordPress friss\u00edt\u00e9se?<\/td><td>\u00c1ltal\u00e1ban igen<\/td><td>Nem. Az alap- \u00e9s b\u0151v\u00edtm\u00e9nyfriss\u00edt\u00e9sek irrelev\u00e1nsak.<\/td><\/tr><tr><td>Meg\u00e1ll\u00edtja-e egy WAF?<\/td><td>\u00c1ltal\u00e1ban, ha egy szab\u00e1ly l\u00e9tezik<\/td><td>R\u00e9szben. A k\u00e9r\u00e9salakzati szab\u00e1lyok nem \u00e9rik el az OOM \u00fatvonalat.<\/td><\/tr><tr><td>Mi oldja meg val\u00f3j\u00e1ban<\/td><td>B\u0151v\u00edtm\u00e9ny friss\u00edt\u00e9se<\/td><td>Egy \u00faj PHP build, semmi m\u00e1s<\/td><\/tr><tr><td>Robban\u00e1si sug\u00e1r<\/td><td>Egy oldal, egy funkci\u00f3<\/td><td>Minden PHP oldal a g\u00e9pen, egyszerre<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Ez az utols\u00f3 sor az oka annak, hogy a PHP2Shell egy teljes munkanapot vett ig\u00e9nybe egy d\u00e9lut\u00e1n helyett. Egyetlen megosztott PHP csomag egy NAS-on ak\u00e1r egy tucat Web Station virtu\u00e1lis hoszt m\u00f6g\u00f6tt is lehet, \u00e9s egyetlen kont\u00e9nerk\u00e9p t\u00f6bb webhely alapja is lehet. A jav\u00edt\u00e1sok nem webhelyenk\u00e9nt, hanem fut\u00e1sidej\u0171 k\u00f6rnyezetenk\u00e9nt t\u00f6rt\u00e9nnek, \u00e9s fel kell sorolni a fut\u00e1sidej\u0171 k\u00f6rnyezeteket, miel\u0151tt b\u00e1rmit is meg lehetne tenni.<\/p>\n\n\n\n<h2 id=\"how-to-tell-if-your-nas-is-exposed\" class=\"wp-block-heading\">Hogyan \u00e1llap\u00edthat\u00f3 meg, hogy a NAS ki van-e t\u00e9ve a biztons\u00e1gi r\u00e9snek?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell kitetts\u00e9g meghat\u00e1roz\u00e1sa k\u00e9t k\u00fcl\u00f6nb\u00f6z\u0151 k\u00e9rd\u00e9s sz\u00e9tv\u00e1laszt\u00e1s\u00e1val kezd\u0151dik. Tartalmaz-e a doboz sebezhet\u0151 PHP-buildet, \u00e9s ez a build el\u00e9rhet\u0151-e az internetr\u0151l? Az Synology explicit m\u00f3don megk\u00fcl\u00f6nb\u00f6zteti ezt: a DSM egy bels\u0151 PHP-komponenst sz\u00e1ll\u00edt, amelyet az oper\u00e1ci\u00f3s rendszer haszn\u00e1l, \u00e9s az Synology kijelenti, hogy nincsenek k\u00fcls\u0151leg el\u00e9rhet\u0151 moduljai, \u00e9s ez\u00e9rt nincs kitett t\u00e1mad\u00e1si fel\u00fclete. Az ehhez a komponenshez rendelt kock\u00e1zat minim\u00e1lis, \u00e9s a jav\u00edt\u00e1s egy k\u00e9s\u0151bbi DSM-kiad\u00e1sra van \u00fctemezve, \u00edgy a sebezhet\u0151s\u00e9gi vizsg\u00e1latok ne jelezz\u00e9k azt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell sz\u00e1m\u00e1ra fontos csomagok azok, amelyek a PHP-t a weben kereszt\u00fcl szolg\u00e1lj\u00e1k ki. Az Synology list\u00e1ja a Calendar, IDrive, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station \u00e9s WordPress csomagokat tartalmazza. Ha ezek k\u00f6z\u00fcl b\u00e1rmelyik telep\u00edtve van \u00e9s el\u00e9rhet\u0151, akkor a csomag a hat\u00f3k\u00f6r\u00e9be tartozik.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A verzi\u00f3k k\u00f6zvetlen ellen\u0151rz\u00e9se a m\u0171szerfal megb\u00edz\u00e1sa helyett. A Csomagkezel\u00e9si k\u00f6zpontban a telep\u00edtett PHP csomagok verzi\u00f3ja megjelenik a csemp\u00e9n, \u00e9s a friss\u00edt\u00e9si \u00e9rtes\u00edt\u00e9s megnevezi a c\u00e9l buildet. Egy parancs\u00e9rtelmez\u0151b\u0151l k\u00e9rdezze meg mag\u00e1t a futtat\u00f3k\u00f6rnyezetet:<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Synology PHP csomag (\u00e1ll\u00edtsd be az el\u00e9r\u00e9si utat a futtatott verzi\u00f3hoz) \/volume1\/@appstore\/PHP8.2\/usr\/local\/bin\/php -v # Egy kont\u00e9neres\u00edtett site docker exec php -v<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Az ok, ami\u00e9rt ragaszkodni kell <code>php -v<\/code> A PHP2Shell audit\u00e1l\u00e1sakor minden m\u00e1s jel hazugs\u00e1gra utal. A build kimenete sikeresnek jelentheti a gyors\u00edt\u00f3t\u00e1razott r\u00e9teg \u00fajrafelhaszn\u00e1l\u00e1sa k\u00f6zben, egy ir\u00e1ny\u00edt\u00f3pult aktu\u00e1lisk\u00e9nt jelen\u00edthet meg egy csomagot, amikor a fut\u00f3 worker nem az, \u00e9s egy HTTP v\u00e1laszfejl\u00e9cet egy CDN elt\u00e1vol\u00edthat, miel\u0151tt egy\u00e1ltal\u00e1n l\u00e1tn\u00e1nk. Hat webhely\u00fcnk k\u00f6z\u00fcl kett\u0151t eg\u00e9szs\u00e9gesk\u00e9nt jelzett az adminisztr\u00e1ci\u00f3s k\u00e9perny\u0151, mik\u00f6zben m\u00e9g egy nem jav\u00edtott interpretert futtattak.<\/p>\n\n\n\n<h2 id=\"patching-php2shell-on-synology-in-4-steps\" class=\"wp-block-heading\">PHP2Shell jav\u00edt\u00e1sa Synology-n 4 l\u00e9p\u00e9sben<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Egy DSM-en fut\u00f3 Web Station webhely eset\u00e9ben a teljes PHP2Shell jav\u00edt\u00e1s egy Package Center friss\u00edt\u00e9s. Az Synology PHP biztons\u00e1gi friss\u00edt\u00e9seket tesz k\u00f6zz\u00e9 a DSM 7.4, 7.3 \u00e9s 7.2 verzi\u00f3khoz, \u00e9s a PHP csomag friss\u00edt\u00e9se ut\u00e1n a f\u00fcgg\u0151 csomagok \u00fajraindulnak, ami megoldja a probl\u00e9m\u00e1t. A Mail Station a dokument\u00e1lt kiv\u00e9tel, \u00e9s saj\u00e1t manu\u00e1lis friss\u00edt\u00e9st ig\u00e9nyel.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Ellen\u0151rizze a tan\u00e1csad\u00f3t<\/h3>\n<div class=\"rank-math-step-content\"><p>Nyisd meg az Synology-SA-26:14 f\u00e1jlt, \u00e9s jegyezd fel az \u00f6sszes telep\u00edtett PHP \u00e1g jav\u00edtott verzi\u00f3j\u00e1t. A c\u00e9lpontok a 7.4.33-0131, 8.0.30-0122, 8.1.34-0120, 8.2.35-0171, 8.3.36-0051 \u00e9s 8.4.27-0051. A PHP 7.3-nak nincs jav\u00edt\u00e1sa, mert a term\u00e9k \u00e9lettartama lej\u00e1rt.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Friss\u00edt\u00e9s a Csomagkezel\u00e9si k\u00f6zponton kereszt\u00fcl<\/h3>\n<div class=\"rank-math-step-content\"><p>A DSM-ben nyissa meg a Csomagkezel\u00e9si k\u00f6zpontot, \u00e9s n\u00e9zze meg a Telep\u00edtve elemet. Minden sebezhet\u0151 PHP csomaghoz megjelenik az El\u00e9rhet\u0151 friss\u00edt\u00e9s felirat az \u00faj online verzi\u00f3val. Kattintson a Friss\u00edt\u00e9s gombra minden felsorolt PHP \u00e1gon, \u00e9s friss\u00edtse az Synology Napt\u00e1r \u00e9s a Mail Station csomagokat, ha telep\u00edtve vannak.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Hagyjuk az eltartottakat \u00fajrakezdeni<\/h3>\n<div class=\"rank-math-step-content\"><p>A PHP-t\u0151l f\u00fcgg\u0151 csomagok automatikusan \u00fajraindulnak, amint a PHP csomag friss\u00edt\u00e9se befejez\u0151d\u00f6tt, \u00e9s ez az \u00fajraind\u00edt\u00e1s l\u00e9p \u00e9letbe a jav\u00edt\u00e1s. A Mail Station kiv\u00e9tel, amelyet manu\u00e1lisan kell friss\u00edteni a Csomagkezel\u00e9si k\u00f6zpontb\u00f3l.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Ellen\u0151rizze a fut\u00f3 \u00e9rtelmez\u0151t<\/h3>\n<div class=\"rank-math-step-content\"><p>Ne b\u00edzz a m\u0171szerfalban. Futtasd a php -v parancsot a csomag el\u00e9r\u00e9si \u00fatj\u00e1n vagy a kont\u00e9neren bel\u00fcl, \u00e9s ellen\u0151rizd, hogy a buildsz\u00e1m megegyezik-e a tan\u00e1csad\u00f3ban szerepl\u0151vel. Ezut\u00e1n ellen\u0151rizd, hogy minden Web Station virtu\u00e1lis host egy olyan profilhoz van-e k\u00f6tve, amelyet t\u00e9nylegesen friss\u00edtett\u00e9l.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"803\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82.webp\" alt=\"Synology Csomagkezel\u00e9si k\u00f6zpont, amelyen l\u00e1that\u00f3 a PHP 8.2 friss\u00edt\u00e9s a 8.2.35-0171 verzi\u00f3ra\" class=\"wp-image-22079\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-300x172.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-1024x587.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-768x441.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-18x10.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-600x344.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-400x229.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-php82-1000x574.webp 1000w\" \/><figcaption class=\"wp-element-caption\">A tan\u00e1csad\u00f3 dokumentumban eml\u00edtett PHP 8.2.35-0171-es verzi\u00f3t k\u00edn\u00e1l\u00f3 Csomagkezel\u00e9si K\u00f6zpont.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">A fenti k\u00e9perny\u0151k\u00e9p az egyik saj\u00e1t g\u00e9p\u00fcnkr\u0151l k\u00e9sz\u00fclt, a PHP2Shell tan\u00e1csad\u00f3 k\u00f6zlem\u00e9nye ut\u00e1ni reggelen. Fontos megjegyezni, hogy az \u00dajdons\u00e1gok panel k\u00f6zvetlen\u00fcl a kor\u00e1bbi verzi\u00f3t nevezi meg, \u00edgy az Synology build ut\u00f3tagot tal\u00e1lgat\u00e1s n\u00e9lk\u00fcl \u00f6sszevetheti a PHP kiad\u00e1ssal. Az Synology Napt\u00e1r ugyanabban a friss\u00edt\u00e9si list\u00e1ban jelenik meg a 3.0.4-21435-\u00f6s verzi\u00f3n\u00e1l, ami pontosan az a verzi\u00f3, amelyet a tan\u00e1csad\u00f3 k\u00f6zlem\u00e9nye el\u0151\u00edr.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"793\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update.webp\" alt=\"Synology Csomagkezel\u00e9si k\u00f6zpont be\u00e1ll\u00edt\u00e1sok meger\u0151s\u00edt\u00e9si p\u00e1rbesz\u00e9dpanelje a PHP 8.2 friss\u00edt\u00e9s\u00e9hez 8.2.35-0171-re\" class=\"wp-image-22080\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-300x170.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-1024x580.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-768x435.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-18x10.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-600x340.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-400x227.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-package-center-update-1000x566.webp 1000w\" \/><figcaption class=\"wp-element-caption\">A friss\u00edt\u00e9si p\u00e1rbesz\u00e9dablak, amely a PHP 8.2.35-0171-et nevezi el, amelyet az Synology Inc. adott ki.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Egy PHP2Shell csapda, amit \u00e9rdemes megeml\u00edteni a Web Station felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra: egy DSM g\u00e9pen egyszerre t\u00f6bb PHP \u00e1g is telep\u00edtve lehet, \u00e9s minden virtu\u00e1lis g\u00e9p egy profilhoz van k\u00f6tve. Az alap\u00e9rtelmezett profil friss\u00edt\u00e9se nem seg\u00edt egy m\u00e1sik \u00e1ghoz r\u00f6gz\u00edtett webhelyen. El\u0151sz\u00f6r sorolja fel a profilokat, friss\u00edtse az \u00f6sszeset, majd ellen\u0151rizze az \u00f6sszes webhely k\u00f6t\u00e9s\u00e9t a Webszolg\u00e1ltat\u00e1s alatt.<\/p>\n\n\n\n<h2 id=\"which-dsm-packages-are-affected\" class=\"wp-block-heading\">Mely DSM csomagok \u00e9rintettek?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell-lel kapcsolatos Synology utas\u00edt\u00e1s sz\u0171kebb k\u00f6r\u0171, mint amit a p\u00e1nik sugallt. Csak bizonyos PHP-f\u00fcgg\u0151 csomagokat futtat\u00f3 rendszereket \u00e9rint, \u00e9s az Synology Drive kifejezetten nem tartozik k\u00f6z\u00e9j\u00fck. Az IDrive szerepel a list\u00e1n, de harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 szoftver.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Weboldali megjelen\u00e9s \u00e9s a legmagasabb priorit\u00e1s.<\/strong> Web Station, WordPress, Joomla, MediaWiki, vtigerCRM, KodExplorer \u00e9s phpMyAdmin. Ezek PHP-t biztos\u00edtanak b\u00e1rki sz\u00e1m\u00e1ra, aki el tudja \u00e9rni \u0151ket.<\/li>\n\n\n\n<li><strong>Levelez\u00e9s \u00e9s napt\u00e1r.<\/strong> A Mail Station manu\u00e1lis friss\u00edt\u00e9sre szorul a PHP csomag ut\u00e1n. Az Synology Calendar saj\u00e1t, jav\u00edtott verzi\u00f3val rendelkezik a 3.0.4-21435-\u00f6s verzi\u00f3ban.<\/li>\n\n\n\n<li><strong>A DSM bels\u0151 \u00f6sszetev\u0151je.<\/strong> Jelen van, de k\u00edv\u00fclr\u0151l nem el\u00e9rhet\u0151, a jav\u00edt\u00e1s egy k\u00e9s\u0151bbi DSM kiad\u00e1sra halasztott\u00e1k, a kock\u00e1zatot az Synology minim\u00e1lisnak min\u0151s\u00edtette.<\/li>\n\n\n\n<li><strong>A kont\u00e9nerek nincsenek lefedve.<\/strong> Egy Container Manageren bel\u00fcli PHP futtat\u00f3k\u00f6rnyezetet te jav\u00edthatsz ki. Egyetlen csomagfriss\u00edt\u00e9s sem fogja \u00e9rinteni, ami a leggyakoribb ok, ami\u00e9rt a NAS tulajdonos azt hiszi, hogy k\u00e9szen van, amikor val\u00f3j\u00e1ban nem.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ha m\u00e9g mindig a 7.2-n\u00e9l kor\u00e1bbi DSM kiad\u00e1st haszn\u00e1lod, az Synology azt javasolja, hogy ideiglenesen letiltsd az \u00e9rintett csomagokat, am\u00edg el\u00e9rhet\u0151v\u00e9 nem v\u00e1lik egy jav\u00edtott verzi\u00f3. Maga a DSM 7.2 a nyilatkozatban v\u00e9gterm\u00e9kk\u00e9nt van megjel\u00f6lve, annak ellen\u00e9re, hogy megkapta ezeket a PHP friss\u00edt\u00e9seket.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A neh\u00e9z PHP2Shell eset a PHP 7.3-as \u00e9s r\u00e9gebbi verzi\u00f3ira vonatkozik. Az Synology nem fogja megjav\u00edtani a 7.3-as verzi\u00f3t, mert a \u00e1g \u00e9lettartama lej\u00e1rt, \u00e9s az upstream semmit sem publik\u00e1lt a 7.3-as \u00e9s kor\u00e1bbi verzi\u00f3khoz. A Linux disztrib\u00faci\u00f3k visszaportol\u00e1sokat k\u00fcldtek n\u00e9h\u00e1ny r\u00e9gi streamhez, de egy Synology PHP csomag nem disztrib\u00faci\u00f3s csomag. Ha egy webhelynek 7.3-as vagy 5.6-os verzi\u00f3ra van sz\u00fcks\u00e9ge a futtat\u00e1shoz, akkor nem \u00e9rkezik jav\u00edt\u00e1s, \u00e9s a tisztess\u00e9ges lehet\u0151s\u00e9gek az webhely \u00e1thelyez\u00e9se egy t\u00e1mogatott \u00e1gra, egy WAF m\u00f6g\u00e9 helyez\u00e9se, vagy a nyilv\u00e1nos internetr\u0151l val\u00f3 lev\u00e1laszt\u00e1sa.<\/p>\n\n\n\n<h2 id=\"how-container-site-owners-handle-php2shell\" class=\"wp-block-heading\">Hogyan kezelik a kont\u00e9ner webhelytulajdonosok a PHP2Shell-t<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hat oldalunk k\u00f6z\u00fcl \u00f6t Dockerben futtatja a WordPress-t Web Station helyett, \u00e9s itt v\u00e1lik \u00e9rdekess\u00e9 a PHP2Shell, mivel a Csomagkezel\u00e9si k\u00f6zpont nem tud seg\u00edteni. A futtat\u00f3k\u00f6rnyezet az, amit a k\u00e9pf\u00e1jl tartalmaz, \u00e9s egy k\u00e9pf\u00e1jl \u00fajra\u00e9p\u00edt\u00e9se nem ugyanaz, mint a friss\u00edt\u00e9se.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Az els\u0151 PHP2Shell hiba, amivel tal\u00e1lkoztunk, \u00e9s ami val\u00f3sz\u00edn\u0171leg m\u00e1sokat is \u00e9rinteni fog, az az, hogy egy egy\u00e9ni k\u00e9p \u00fajra\u00e9p\u00edt\u00e9se \u00fajra felhaszn\u00e1lja a gyors\u00edt\u00f3t\u00e1razott alapr\u00e9teget. Egy feloldott <code>T\u00d3L<\/code> A \u201ec\u00edmke\u201d nem azt jelenti, hogy \u201efriss\u201d. Az egyik rendszerk\u00e9p\u00fcnket n\u00e9gy nappal kor\u00e1bban \u00e9p\u00edtett\u00e9k \u00fajra, \u00e9s m\u00e9g mindig tartalmazott egy 2025 j\u00faliusi PHP-buildet, t\u00f6bb mint egy \u00e9vvel a biztons\u00e1gi jav\u00edt\u00e1sok elmarad\u00e1sa ut\u00e1n, mivel semmi sem k\u00e9nyszer\u00edtette a Dockert az alapverzi\u00f3 \u00fajraind\u00edt\u00e1s\u00e1ra.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Rossz: csendben \u00fajrahasznos\u00edtja a helyben gyors\u00edt\u00f3t\u00e1rolt alap r\u00e9teget: docker build -t mysite. # Helyes: mindig \u00fajra le kell h\u00fazni az alap k\u00e9pf\u00e1jlt: docker build --pull -t mysite. # Ezut\u00e1n csak a k\u00edv\u00e1nt szolg\u00e1ltat\u00e1st kell elind\u00edtani az alv\u00f3 testv\u00e9rek elind\u00edt\u00e1sa n\u00e9lk\u00fcl: docker compose up -d --no-deps wordpress # \u00c9s ellen\u0151rzi azt a dolgot, ami t\u00e9nyleg sz\u00e1m\u00edt: docker exec wordpress php -v<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">A m\u00e1sodik PHP2Shell hiba enn\u00e9l kellemetlenebb, mert sikeres eredm\u00e9nyt jelez. A build kimenet\u00e9t a k\u00f6vetkez\u0151n kereszt\u00fcl tov\u00e1bb\u00edtjuk: <code>farok<\/code> elrejti az \u00e9p\u00edt\u00e9si hib\u00e1t, mivel a folyamat kil\u00e9p\u00e9si k\u00f3dja az utols\u00f3 parancshoz tartozik, \u00e9s <code>set -e<\/code> soha nem indul el. A l\u00e9trehoz\u00e1si l\u00e9p\u00e9s ezut\u00e1n \u00fajra l\u00e9trehozza a kont\u00e9nert a r\u00e9gi rendszerk\u00e9pb\u0151l, ki\u00edrja az Elind\u00edtva feliratot, \u00e9s egy frissen telep\u00edtettnek t\u0171n\u0151, jav\u00edtatlan webhelyet hagy maga ut\u00e1n. Ellen\u0151rizd a build eredm\u00e9ny\u00e9t \u00f6nmag\u00e1ban, \u00e9s ellen\u0151rizd a k\u00f6vetkez\u0151vel: <code>php -v<\/code> k\u00e9s\u0151bb.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">K\u00e9t apr\u00f3bb megjegyz\u00e9s. C\u00edmk\u00e9zd meg a r\u00e9gi rendszerk\u00e9pet az \u00fajra\u00e9p\u00edt\u00e9s el\u0151tt, mert egy rendszerk\u00e9p megtartja a c\u00edmk\u00e9j\u00e9t, \u00e9s egy ingyenes vissza\u00e1ll\u00edt\u00e1si pontot biztos\u00edt, ami sokkal olcs\u00f3bb, mint egy pillanatk\u00e9p. \u00c9s ne sz\u00e1m\u00edts arra, hogy egy rendszerk\u00e9p-felt\u00f6lt\u00e9s friss\u00edti az alkalmaz\u00e1st: a hivatalos WordPress rendszerk\u00e9p bel\u00e9p\u00e9si pontja csak akkor m\u00e1solja az alapvet\u0151 f\u00e1jlokat, ha a dokumentum gy\u00f6kere \u00fcres, \u00edgy egy kont\u00e9ner \u00fajb\u00f3li l\u00e9trehoz\u00e1sa egy \u00fajabb rendszerk\u00e9pen a megl\u00e9v\u0151 telep\u00edt\u00e9st pontosan ott hagyja, ahol volt. Ezt egy \u00e1tmeneti p\u00e9ld\u00e1nyon ellen\u0151rizt\u00fck, miel\u0151tt \u00e9les k\u00f6rnyezetbe ker\u00fclt\u00fcnk volna, \u00e9s a WordPress verzi\u00f3 nem ker\u00fclt \u00e1thelyez\u00e9sre.<\/p>\n\n\n\n<h2 id=\"why-disabling-upload-progress-only-covers-half\" class=\"wp-block-heading\">Mi\u00e9rt csak a session.upload_progress letilt\u00e1sa fedi le a f\u00e1jl fel\u00e9t?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A nem jav\u00edthat\u00f3 g\u00e9peken kering\u0151 PHP2Shell-enyh\u00edt\u00e9s a k\u00f6vetkez\u0151 be\u00e1ll\u00edt\u00e1ssal \u00e9rhet\u0151 el: <code>session.upload_progress.enabled = 0<\/code>, valamint a DSM-en, amely a Web Stationben a Script Language Settings alatt, a PHP profil Core lapj\u00e1n tal\u00e1lhat\u00f3. \u00c9rdemes megcsin\u00e1lni. Ez nem jav\u00edt\u00e1s, \u00e9s a hi\u00e1nyoss\u00e1g sz\u00e1m\u00edt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A munkamenet felt\u00f6lt\u00e9si folyamat\u00e1nak el\u00e9r\u00e9si \u00fatja csak egy a lehets\u00e9ges hozz\u00e1f\u00e9r\u00e9si m\u00f3dok k\u00f6z\u00fcl. A mem\u00f3ria-nyilv\u00e1noss\u00e1gra hozatali v\u00e1ltozat a szok\u00e1sos t\u00f6bbr\u00e9szes k\u00e9r\u00e9skezel\u00e9sen kereszt\u00fcl \u00e9rhet\u0151 el, \u00e9s egy\u00e1ltal\u00e1n nem ig\u00e9nyli a munkamenet-funkci\u00f3t, \u00edgy a funkci\u00f3 kikapcsol\u00e1sa nyitva hagyja ezt az utat. A PHP projekt egyenesen kijelentette, hogy nincsenek teljes k\u00f6r\u0171 enyh\u00edt\u00e9sek, \u00e9s hogy a friss\u00edt\u00e9s az egyetlen biztons\u00e1gos megold\u00e1s. Az Imunify360 jelent\u00e9se szerint jelenleg egyetlen szab\u00e1ly sem blokkolja a CVE-2026-109618 mem\u00f3ria-t\u00fall\u00e9p\u00e9si \u00fatvonal\u00e1t, az Elastic pedig megjegyzi, hogy a felt\u00f6lt\u00e9si folyamat be\u00e1ll\u00edt\u00e1s lez\u00e1rja a meger\u0151s\u00edtett munkamenet-\u00fatvonalakat, de nem minden v\u00e1ltozatot.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Azt is l\u00e1tni fogod <code>mem\u00f3ria_korl\u00e1t = -1<\/code> javasolt, azon a logik\u00e1n alapulva, hogy a hib\u00e1t a mem\u00f3riahi\u00e1ny okozza. Tekintsd ezt cser\u00e9nek, ne gy\u0151zelemnek. A korl\u00e1t elt\u00e1vol\u00edt\u00e1sa egy nyilv\u00e1nos webszerveren az egyik hibam\u00f3dot egy m\u00e1sikra v\u00e1ltoztatja, egy megosztott mem\u00f3ria-kerettel rendelkez\u0151 NAS-on pedig arra \u00f6szt\u00f6nzi a munkav\u00e9gz\u0151 pool-t, hogy ehelyett a teljes g\u00e9pet mer\u00edtse ki.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A peremh\u00e1l\u00f3zati sz\u0171r\u00e9s a PHP2Shell r\u00e9teg, ami val\u00f3ban hozz\u00e1ad valamit, mert l\u00e1tja a visszafejtett forgalmat, a routered pedig nem. A Cloudflare fel\u00fcgyelt szab\u00e1lyokon alapul\u00f3 v\u00e9delmet vezetett be a PHP2Shellhez, az AWS a CVE-2026-109619 lefedetts\u00e9get adta hozz\u00e1 a PHP fel\u00fcgyelt szab\u00e1lycsoportj\u00e1nak 2.3-as verzi\u00f3j\u00e1hoz, az Azure Front Door pedig a 99006001-es szab\u00e1lyt adta hozz\u00e1, amely alap\u00e9rtelmez\u00e9s szerint le van tiltva. A Community Snort \u00e9s Suricata szab\u00e1lyok l\u00e9teznek a GitHubon, de a hivatalos Snort \u00e9s Emerging Threats szab\u00e1lyk\u00e9szletek az \u00edr\u00e1s idej\u00e9n m\u00e9g nem tettek k\u00f6zz\u00e9 semmit, \u00edgy a NAS behatol\u00e1s-megel\u0151z\u0151 funkci\u00f3ja nem fog itt megmenteni. A TLS-en bel\u00fclr\u0151l \u00fagysem tud olvasni.<\/p>\n\n\n\n<h2 id=\"which-nas-vendor-actually-shipped-a-fix\" class=\"wp-block-heading\">Melyik NAS-gy\u00e1rt\u00f3 sz\u00e1ll\u00edtott val\u00f3j\u00e1ban jav\u00edt\u00e1st?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell t\u00f6rt\u00e9net\u00e9nek ez a r\u00e9sze, aminek befoly\u00e1solnia kellene, hogy mit v\u00e1s\u00e1rolsz. Az Upstream PHP okt\u00f3ber 21-\u00e9n jelent meg. \u00cdme, hogyan \u00e1llt a n\u00e9gy f\u0151 fogyaszt\u00f3i \u00e9s prosumer NAS-gy\u00e1rt\u00f3 m\u00e1snap, saj\u00e1t tan\u00e1csad\u00f3 oldalaikr\u00f3l, nem pedig a tud\u00f3s\u00edt\u00e1sokb\u00f3l kiindulva.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Elad\u00f3<\/th><th>Tan\u00e1csad\u00f3<\/th><th>\u00c1llapot<\/th><th>Kijav\u00edtott verzi\u00f3k k\u00f6zz\u00e9t\u00e9ve<\/th><\/tr><\/thead><tbody><tr><td><strong>Synology<\/strong><\/td><td>Synology-SA-26:14, 2026. okt\u00f3ber 22.<\/td><td><strong>Megoldva<\/strong><\/td><td>Igen. Minden fi\u00f3k PHP 7.4-t\u0151l 8.4-ig, valamint a Napt\u00e1r \u00e9s a Mail Station.<\/td><\/tr><tr><td>QNAP<\/td><td>QSA-26-18, 2026. okt\u00f3ber 22.<\/td><td>R\u00f6gz\u00edt\u0151<\/td><td>Nem. Minden sorban a k\u00f6vetkez\u0151 olvashat\u00f3: Bejelentend\u0151<\/td><\/tr><tr><td>ASUSTOR<\/td><td>R\u00e9gi PHP-k kivezet\u00e9se, 2026. okt\u00f3ber 22.<\/td><td>Nyugd\u00edj, nem egy folt<\/td><td>Nem. A PHP 7, 7.3, 7.4 \u00e9s 8.1 verzi\u00f3k elt\u00e1vol\u00edtva az App Centralb\u00f3l.<\/td><\/tr><tr><td>Z\u00d6LD<\/td><td>Nem tal\u00e1lhat\u00f3<\/td><td>Ismeretlen<\/td><td>Nem tal\u00e1lhat\u00f3 figyelmeztet\u00e9s az UGOS Pro-hoz<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Az Synology a tan\u00e1csad\u00f3 k\u00f6zlem\u00e9ny napj\u00e1n k\u00f6zz\u00e9tett egy teljes PHP2Shell verzi\u00f3t\u00e1bl\u00e1zatot, \u00e9s a tan\u00e1csad\u00f3 k\u00f6zlem\u00e9nyt \u201eMegoldottnak\u201d jel\u00f6lte. Egy DSM-tulajdonosnak, aki elolvasta, d\u00e9lut\u00e1n tennie kellett valamit: megnyitnia a Csomagkezel\u00e9si k\u00f6zpontot, a Friss\u00edt\u00e9s gombra kattintania, majd ellen\u0151riznie. Ez a teljes jav\u00edt\u00e1si \u00fatvonal, \u00e9s ez\u00e9rt fejezt\u00fck be a Web Station g\u00e9peink a friss\u00edt\u00e9st percek, nem pedig napok alatt.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"852\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced.webp\" alt=\"QNAP QSA-26-18 tan\u00e1csad\u00f3, amely a Jav\u00edt\u00e1s \u00e9s a Bejelent\u00e9s alatt \u00e1llapotot mutatja minden jav\u00edtott verzi\u00f3 sorban\" class=\"wp-image-22081\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-300x183.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-1024x623.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-768x467.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-18x12.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-600x365.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-400x243.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-qnap-to-be-announced-1000x609.webp 1000w\" \/><figcaption class=\"wp-element-caption\">QNAP QSA-26-18: \u00e1llapotjav\u00edt\u00e1s alatt, \u00e9s minden jav\u00edtott verzi\u00f3 m\u00e9g bejelentend\u0151.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">A QNAP ugyanazon a napon tette k\u00f6zz\u00e9 a hib\u00e1t, \u00e9s egy hossz\u00fa ideig \u00e9rintett term\u00e9kcsoportot sorolt fel, bele\u00e9rtve a QTS 6.1.0, QTS 5.2.11 \u00e9s kor\u00e1bbi verzi\u00f3kat, QuTS hero h6.1.0, h6.0.x \u00e9s h5.2.11 \u00e9s kor\u00e1bbi verzi\u00f3kat, QuTScloud c5.2.9 \u00e9s kor\u00e1bbi verzi\u00f3kat, Note Station 3, QNE ADRA, QVR Surveillance on ARM32 modelleken \u00e9s TVR OS-t. Mindegyik \u00e1llapota \u201eJav\u00edt\u00e1s\u201d \u00e1llapotot mutat, jav\u00edtott verzi\u00f3 n\u00e9lk\u00fcl. Mivel a PHP futtat\u00f3k\u00f6rnyezet a QTS webes komponenseinek r\u00e9sze, nincs friss\u00edtend\u0151 csomag, \u00edgy a jav\u00edt\u00e1snak firmware-k\u00e9nt kell \u00e9rkeznie.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A QNAP id\u0151k\u00f6zben egy list\u00e1t k\u00edn\u00e1l a PHP2Shell \u00e1ldozatainak a lehets\u00e9ges megold\u00e1sokr\u00f3l, \u00e9s \u00e9rdemes alaposan elolvasni, mert mit k\u00e9r t\u0151l\u00fcnk: tiltsa le az \u00fatv\u00e1laszt\u00f3 porttov\u00e1bb\u00edt\u00e1s\u00e1t \u00e9s az UPnP-t, vonja vissza a myQNAPcloud szolg\u00e1ltat\u00e1sok k\u00f6zz\u00e9t\u00e9tel\u00e9t, helyezze \u00e1t a t\u00e1voli hozz\u00e1f\u00e9r\u00e9st VPN m\u00f6g\u00e9, korl\u00e1tozza a fel\u00fcgyeleti portokat a megb\u00edzhat\u00f3 alh\u00e1l\u00f3zatokra, \u00e1ll\u00edtsa le a nem sz\u00fcks\u00e9ges PHP-alap\u00fa alkalmaz\u00e1sokat, tiltsa le a be\u00e9p\u00edtett webszervert, ha nem haszn\u00e1lja, \u00e9s ellen\u0151rizze a QuLog Centert a kompromitt\u00e1l\u00f3d\u00e1s jeleit keresve. Ez j\u00f3 tan\u00e1cs egy nem friss\u00edtett g\u00e9p sz\u00e1m\u00e1ra. Ez egyben k\u00e9r\u00e9s is b\u00e1rki sz\u00e1m\u00e1ra, aki nyilv\u00e1nos weboldalt \u00fczemeltet, hogy kapcsolja ki a weboldalt.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"814\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement.webp\" alt=\"Az ASUSTOR 2026. okt\u00f3ber 22-i keltez\u00e9s\u0171, a r\u00e9gi PHP-k kivezet\u00e9s\u00e9r\u0151l sz\u00f3l\u00f3 bejelent\u00e9se a PHP 7, 7.3, 7.4 \u00e9s 8.1 verzi\u00f3inak elt\u00e1vol\u00edt\u00e1s\u00e1r\u00f3l sz\u00f3l.\" class=\"wp-image-22082\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-300x174.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-1024x595.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-768x447.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-18x10.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-600x349.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-400x233.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/php2shell-asustor-retirement-1000x581.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Az ASUSTOR a PHP2Shell probl\u00e9m\u00e1j\u00e1ra a r\u00e9gi PHP-k kivezet\u00e9s\u00e9vel reag\u00e1lt a jav\u00edt\u00e1sok helyett.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Az ASUSTOR egy harmadik utat v\u00e1lasztott. Az okt\u00f3ber 22-i keltez\u00e9s\u0171, \u201eLegacy PHP Retirement Announcement\u201d (Hagyat\u00e9ki PHP kivezet\u00e9s\u00e9r\u0151l sz\u00f3l\u00f3 bejelent\u00e9s) c\u00edm\u0171 k\u00f6zlem\u00e9ny\u00e9ben azonnali hat\u00e1llyal elt\u00e1vol\u00edtja a PHP 7, PHP 7.3, PHP 7.4 \u00e9s PHP 8.1 verzi\u00f3kat az App Centralb\u00f3l, javasolja a fontos adatok biztons\u00e1gi ment\u00e9s\u00e9t, \u00e9s arra utas\u00edtja a tulajdonosokat, hogy mostant\u00f3l csak a PHP 8.3-as vagy 8.4-es verzi\u00f3t haszn\u00e1lj\u00e1k. Az indokl\u00e1s v\u00e9dhet\u0151, mivel a friss\u00edt\u00e9s csak a 8.2-es \u00e9s \u00fajabb verzi\u00f3kat jav\u00edtja. Egy r\u00e9gi PHP alkalmaz\u00e1st futtat\u00f3 tulajdonosra n\u00e9zve ennek az a hat\u00e1sa, hogy a futtat\u00f3k\u00f6rnyezet elt\u0171nik a t\u00e1rol\u00f3b\u00f3l, ahelyett, hogy jav\u00edt\u00e1sra ker\u00fclne, \u00e9s az ASUSTOR nem \u00e1ll\u00edtja, hogy a 8.3-as vagy 8.4-es verzi\u00f3 jav\u00edtott buildje kiker\u00fclt volna. Figyelj\u00fck meg az elt\u00e9r\u00e9st az Synology-vel, amely k\u00f6zz\u00e9tett egy jav\u00edtott 7.4-es buildet a 7.4.33-0131-es sz\u00e1mon pontosan azoknak a felhaszn\u00e1l\u00f3knak, akiket az ASUSTOR migr\u00e1lni k\u00e9r.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Az UGREEN eset\u00e9ben semmilyen PHP2Shell-re vonatkoz\u00f3 tan\u00e1csad\u00f3 dokumentumot nem tal\u00e1ltunk az UGOS Pro-hoz. A nyilv\u00e1nos nyilatkozat hi\u00e1nya nem bizony\u00edtja, hogy egy term\u00e9k sebezhet\u0151, \u00e9s az UGOS Pro egyszer\u0171en nem sz\u00e1ll\u00edt webes PHP futtat\u00f3k\u00f6rnyezetet. De ha te vagy a tulajdonos, a hallgat\u00e1s nem egy olyan v\u00e1lasz, amelyre reag\u00e1lhatsz, \u00e9s ez \u00f6nmag\u00e1ban is egyfajta kock\u00e1zatv\u00e1llal\u00e1s.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mindez nem teszi az Synology-t t\u00f6k\u00e9letess\u00e9. Nem fogja megjav\u00edtani a PHP 7.3-at, a DSM 7.2-t \u00e9lettartam\u00e1nak v\u00e9g\u00e9t jelzi, \u00e9s a saj\u00e1t bels\u0151 PHP komponense tov\u00e1bbra is \u00fctemezett, nem pedig jav\u00edt\u00e1s alatt \u00e1ll. A l\u00e9nyeg sz\u0171kebb k\u00f6r\u0171 \u00e9s hasznosabb, mint egy m\u00e1rka\u00e9rv: azon a napon, amikor egy hiteles\u00edt\u00e9s el\u0151tti t\u00e1voli k\u00f3dfuttat\u00e1si hiba l\u00e9pett fel a PHP motorban, az egyik gy\u00e1rt\u00f3 a jav\u00edt\u00e1st egy gombbal alak\u00edtotta \u00e1t a Package Centerben, a t\u00f6bbiek pedig egy v\u00e1rakoz\u00f3 j\u00e1t\u00e9kk\u00e1 tett\u00e9k.<\/p>\n\n\n\n<h2 id=\"where-to-find-more-official-resources\" class=\"wp-block-heading\">Hol tal\u00e1lhat tov\u00e1bbi hivatalos forr\u00e1sokat?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell \u00edr\u00e1sunk idej\u00e9n k\u00e9tnapos, \u00e9s a helyzet m\u00e9g mindig v\u00e1ltozik, ez\u00e9rt az \u00f6sszefoglal\u00f3k helyett az els\u0151dleges forr\u00e1sokra kell t\u00e1maszkodni. Egyel\u0151re egyik gy\u00e1rt\u00f3t\u00f3l sem \u00e9rkezett hivatalos vide\u00f3s besz\u00e1mol\u00f3, \u00edgy az al\u00e1bbi lista ink\u00e1bb dokument\u00e1ci\u00f3, mintsem \u00fatmutat\u00f3.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_14\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:14<\/a> a m\u00e9rvad\u00f3 verzi\u00f3t\u00e1bla. Ellen\u0151rizze \u00fajra a jav\u00edt\u00e1s el\u0151tt, mert a tan\u00e1csad\u00f3k m\u00f3dosulhatnak.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/php2shell\/Synology%20Statement%20on%20PHP2Shell%20Vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">Az Synology PSIRT nyilatkozat<\/a> felsorolja az \u00e9rintett csomagokat, \u00e9s elmagyar\u00e1zza a DSM bels\u0151 \u00f6sszetev\u0151j\u00e9t \u00e9s a Mail Station kiv\u00e9telt.<\/li>\n\n\n\n<li>A GHSA-w8hw-w9fx-j79w \u00e9s a GHSA-6wmf-4rv5-p3rp nev\u0171, upstream GitHub tan\u00e1csad\u00f3 dokumentumok az Synology tan\u00e1csad\u00f3 dokumentumb\u00f3l sz\u00e1rmaznak, \u00e9s a motor viselked\u00e9s\u00e9t \u00edrj\u00e1k le, nem pedig a gy\u00e1rt\u00f3i csomagol\u00e1st.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.qnap.com\/en\/security-advisory\/qsa-26-18\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">QNAP QSA-26-18<\/a> itt jelenik meg a fix firmware verzi\u00f3, ha QTS-t vagy QuTS hero-t futtatsz. Ez az az oldal, amit \u00e9rdemes figyelni, nem egy h\u00edr.<\/li>\n\n\n\n<li>A saj\u00e1t Csomagkezel\u00e9si k\u00f6zpontod az utols\u00f3 sz\u00f3 arr\u00f3l, hogy mi van telep\u00edtve. A tan\u00e1csad\u00f3 megmondja a c\u00e9l build sz\u00e1m\u00e1t, a csempe pedig azt, hogy mi van val\u00f3j\u00e1ban telep\u00edtve, \u00e9s csak <code>php -v<\/code> megmondja, mi fut \u00e9ppen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">A nyilv\u00e1nos webhelyek Synology virtu\u00e1lis g\u00e9peken t\u00f6rt\u00e9n\u0151 futtat\u00e1s\u00e1nak h\u00e1tter\u00e9r\u0151l a k\u00f6vetkez\u0151 \u00fatmutat\u00f3nkban olvashat: <a href=\"https:\/\/synopower.club\/hu\/synology-vdsm-docker-migration\/\">Docker verem mozgat\u00e1sa VDSM vend\u00e9gek k\u00f6z\u00f6tt<\/a> lefedi azokat a pillanatfelv\u00e9tel-k\u00e9sz\u00edt\u00e9si \u00e9s visszag\u00f6rget\u00e9si szok\u00e1sokat, amelyek t\u00fal\u00e9lhet\u0151v\u00e9 tett\u00e9k ezt a v\u00e9szhelyzetet.<\/p>\n\n\n\n<h2 id=\"php2shell-limits-and-security-notes\" class=\"wp-block-heading\">PHP2Shell korl\u00e1tok \u00e9s biztons\u00e1gi megjegyz\u00e9sek<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell jav\u00edt\u00e1sa DSM-en egyszer\u0171, m\u00e1shol viszont megt\u00e9veszt\u0151, ez\u00e9rt \u00e9rdemes n\u00e9h\u00e1ny korl\u00e1toz\u00e1st vil\u00e1gosan kimondani, miel\u0151tt befejezettnek nyilv\u00e1n\u00edtan\u00e1nk a feladatot.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Egy PHP2Shell csomagfriss\u00edt\u00e9s nem webhely-audit. A PHP friss\u00edt\u00e9se att\u00f3l a pillanatt\u00f3l kezdve bez\u00e1rja a r\u00e9st, de ha a szerver el\u00e9rhet\u0151 volt az internetr\u0151l okt\u00f3ber 20. \u00e9s 22. k\u00f6z\u00f6tt, akkor el\u00e9rhet\u0151 volt, am\u00edg egy m\u0171k\u00f6d\u0151 exploit nyilv\u00e1nos volt. Ellen\u0151rizd a napl\u00f3kat v\u00e1ratlan POST-k\u00f6tetek ut\u00e1n, keress \u00edrhat\u00f3 k\u00f6nyvt\u00e1rakban megjelen\u0151 f\u00e1jlokat, \u00e9s cser\u00e9ld le azokat a hiteles\u00edt\u0151 adatokat, amelyeket egy PHP-munkav\u00e9gz\u0151 birtokolhatott. A mem\u00f3ria-felfed\u0151 v\u00e1ltozat a hiteles\u00edt\u0151 adatok forgat\u00e1s\u00e1t \u00e9sszer\u0171 \u00f3vint\u00e9zked\u00e9ss\u00e9 teszi, nem pedig paranoi\u00e1v\u00e1.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A PHP2Shell ellen\u0151rz\u00e9s\u00e9nek a fut\u00f3 interpretert kell c\u00e9loznia. Az ir\u00e1ny\u00edt\u00f3pultok, a build napl\u00f3k \u00e9s a v\u00e1laszfejl\u00e9cek mind legal\u00e1bb egyszer kudarcot vallottak ebben a k\u00f6rben. Egy CDN k\u00e9pes elt\u00e1vol\u00edtani a fejl\u00e9cet, amely a verzi\u00f3t mutatta volna, egy build sikeres jelent\u00e9st k\u00fcldhet egy gyors\u00edt\u00f3t\u00e1razott r\u00e9teg \u00fajrafelhaszn\u00e1l\u00e1sa k\u00f6zben, \u00e9s egy csomagcsemp\u00e9k megjelen\u00edthetik az aktu\u00e1lis \u00e1llapotot, mik\u00f6zben egy r\u00e9gi worker m\u00e9g mindig fut. Csak <code>php -v<\/code> A k\u00e9r\u00e9seket kiszolg\u00e1l\u00f3 dologban t\u00f6rt\u00e9nik a dolog rendez\u00e9se.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A kont\u00e9nerekre nem vonatkozik semmilyen gy\u00e1rt\u00f3i PHP2Shell-figyelmeztet\u00e9s. Ezt \u00e9rdemes megism\u00e9telni, mert ez a leggyakoribb biztons\u00e1gi t\u00e9veszme egy NAS-on. Ha a webhelyed a Container Managerben fut, a Package Center naprak\u00e9szen megjelen\u0151 jelent\u00e9sei semmit sem \u00e1rulnak el a webhelyedr\u0151l. Ugyanez vonatkozik minden harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 alkalmaz\u00e1sra, amely saj\u00e1t fut\u00e1si k\u00f6rnyezetet csomagol.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A konfigur\u00e1ci\u00f3s kock\u00e1zatcs\u00f6kkent\u00e9sek eleve r\u00e9szlegesek. A munkamenet felt\u00f6lt\u00e9s\u00e9nek letilt\u00e1sa seg\u00edt, a mem\u00f3riakorl\u00e1t elt\u00e1vol\u00edt\u00e1sa az egyik kock\u00e1zatot a m\u00e1sikra cser\u00e9li, \u00e9s egy \u00fatv\u00e1laszt\u00f3 behatol\u00e1smegel\u0151z\u0151 funkci\u00f3ja nem tudja megvizsg\u00e1lni a m\u00e1shol v\u00e9gz\u0151d\u0151 TLS-forgalmat. Mindezt \u00fagy kezelje, mintha egy val\u00f3di jav\u00edt\u00e1s el\u0151k\u00e9sz\u00edt\u00e9se k\u00f6zben megv\u00e1s\u00e1rolt id\u0151 lenne, ne pedig egy helyettes\u00edt\u0151.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Az \u00e9lettartamuk v\u00e9g\u00e9t el\u00e9r\u0151 futtat\u00f3k\u00f6rnyezeteknek egy\u00e1ltal\u00e1n nincs PHP2Shell \u00fatvonaluk. A PHP 7.3 \u00e9s a kor\u00e1bbi verzi\u00f3k semmit sem kaptak az upstream \u00e1gt\u00f3l \u00e9s semmit az Synology-t\u0151l. Ha egy webhelynek val\u00f3ban egy nem t\u00e1mogatott \u00e1gra van sz\u00fcks\u00e9ge, akkor a migr\u00e1ci\u00f3, az izol\u00e1ci\u00f3 vagy a nyilv\u00e1nos internetr\u0151l val\u00f3 kivonul\u00e1s k\u00f6z\u00fcl kell v\u00e1lasztani. Nincs negyedik lehet\u0151s\u00e9g, \u00e9s az ellenkez\u0151j\u00e9t sz\u00ednlelve v\u00e1lik egy kor\u00e1bbi webhelyb\u0151l az ugyanazon a g\u00e9pen tal\u00e1lhat\u00f3 \u00f6sszes t\u00f6bbi r\u00e9szhez vezet\u0151 \u00fatt\u00e1.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">V\u00e9g\u00fcl, a h\u00edrek helyett a figyelmeztet\u00e9st kell figyelni. Az Synology SA-26:14-gyel jel\u00f6lt hib\u00e1t a megjelen\u00e9st k\u00f6vet\u0151 hat percen bel\u00fcl megoldottuk \u00e9s egyszer \u00e1tdolgoztuk. A QNAP k\u00f6z\u00f6lte, hogy a QSA-26-18 friss\u00edt\u00e9sre ker\u00fcl, amint el\u00e9rhet\u0151v\u00e9 v\u00e1lnak a jav\u00edtott verzi\u00f3k. Mindk\u00e9t oldal megv\u00e1ltozik, \u00e9s a cikkben szerepl\u0151 verzi\u00f3sz\u00e1mok a 2026. okt\u00f3ber 22-\u00e9n k\u00f6zz\u00e9tettek.<\/p>\n\n\n\n<h2 id=\"references\" class=\"wp-block-heading\">Hivatkoz\u00e1sok<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_14\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:14 PHP2Shell biztons\u00e1gi figyelmeztet\u00e9s<\/a>, k\u00f6zz\u00e9t\u00e9ve: 2026. okt\u00f3ber 22., \u00e1llapota: Megoldva, jav\u00edtott verzi\u00f3kkal a PHP 7.4-t\u0151l 8.4-ig.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/php2shell\/Synology%20Statement%20on%20PHP2Shell%20Vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Nyilatkozat a PHP2Shell sebezhet\u0151s\u00e9geir\u0151l<\/a>, a PSIRT feljegyz\u00e9se felsorolja az \u00e9rintett csomagokat \u00e9s a DSM lefedetts\u00e9g\u00e9t.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.qnap.com\/en\/security-advisory\/qsa-26-18\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">QNAP QSA-26-18<\/a>, \u00e1llapot Jav\u00edt\u00e1s alatt, az \u00e9rintett term\u00e9kek jav\u00edtott verzi\u00f3kkal vannak list\u00e1zva. Hamarosan bejelentj\u00fck.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.asustor.com\/product\/status_detail?id=14\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">ASUSTOR r\u00e9gi PHP kivezet\u00e9s bejelent\u00e9s<\/a>, a PHP 7, 7.3, 7.4 \u00e9s 8.1 elt\u00e1vol\u00edt\u00e1sa az App Centralb\u00f3l.<\/li>\n\n\n\n<li><a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/21\/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">S\u00fag\u00f3 a Net Security-nek a PHP2Shell upstream kiad\u00e1saiban<\/a>, amely a PHP 8.5.12, 8.4.27, 8.3.36 \u00e9s 8.2.35 verzi\u00f3it, valamint a r\u00e9gebbi \u00e1gak csak forr\u00e1sk\u00f3dot tartalmaz\u00f3 visszaportjait tartalmazza.<\/li>\n<\/ul>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Gyakran Ism\u00e9telt K\u00e9rd\u00e9sek<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">S\u00e9r\u00fcl\u00e9keny a Synology NAS-om a PHP2Shell-lel szemben?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Csak akkor, ha egy el\u00e9rhet\u0151 PHP-f\u00fcgg\u0151 csomagot futtat. Az Synology felsorolja a Calendar, IDrive, Joomla, KodExplorer, MailStation, MediaWiki, phpMyAdmin, vtigerCRM, Web Station \u00e9s WordPress csomagokat. A DSM bels\u0151 PHP komponense jelen van, de az Synology kijelenti, hogy nincs kitett t\u00e1mad\u00e1si fel\u00fclete, \u00e9s a kock\u00e1zatot minim\u00e1lisnak min\u0151s\u00edti.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hogyan tudom a PHP2Shell-t DSM-en foltozni?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nyisd meg a Csomagkezel\u00e9si k\u00f6zpontot, menj a Telep\u00edtett elemekre, \u00e9s friss\u00edts minden olyan PHP csomagot, amelyn\u00e9l el\u00e9rhet\u0151 friss\u00edt\u00e9s l\u00e1that\u00f3. A c\u00e9l buildek a 7.4.33-0131, 8.0.30-0122, 8.1.34-0120, 8.2.35-0171, 8.3.36-0051 \u00e9s 8.4.27-0051. A f\u00fcgg\u0151 csomagok ut\u00e1na \u00fajraind\u00edtj\u00e1k magukat, kiv\u00e9ve a Mail Stationt, amely manu\u00e1lis friss\u00edt\u00e9st ig\u00e9nyel.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">A WordPress friss\u00edt\u00e9se megoldja a probl\u00e9m\u00e1t?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nem. A hiba a PHP motorban van, nem a WordPressben, \u00edgy a mag, a t\u00e9ma \u00e9s a b\u0151v\u00edtm\u00e9nyek friss\u00edt\u00e9sei semmit sem v\u00e1ltoztatnak. Az egyetlen jav\u00edt\u00e1s egy \u00faj PHP build. Ez a leggyakoribb f\u00e9lre\u00e9rt\u00e9s ezzel a tan\u00e1csad\u00e1ssal kapcsolatban.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">A PHP 7.4 t\u00e9nyleg foltozva van az Synology-n?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Igen. Az Synology k\u00f6zz\u00e9tette a 7.4.33-0131-es verzi\u00f3t, annak ellen\u00e9re, hogy a PHP upstream verzi\u00f3ja csak egy forr\u00e1sk\u00f3d\u00fa backportot adott ki sz\u00e1mozott kiad\u00e1s n\u00e9lk\u00fcl az adott \u00e1ghoz. A PHP 7.3 m\u00e1s: az Synology kijelenti, hogy nem lesz jav\u00edt\u00e1s, mert a verzi\u00f3 el\u00e9rte az \u00e9lettartama v\u00e9g\u00e9t.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Befoly\u00e1solja-e a PHP2Shell a webhelyemet a Container Managerben?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Semmilyen csomagfriss\u00edt\u00e9s nem \u00e9rinti. \u00dajra kell \u00e9p\u00edteni a k\u00e9pet a docker build \u2013pull paranccsal, hogy az alap r\u00e9teg \u00fajra legyen h\u00fazva, el kell ind\u00edtani a szolg\u00e1ltat\u00e1st az up -d \u2013no-deps paranccsal, majd meg kell er\u0151s\u00edteni a php -v paranccsal a kont\u00e9neren bel\u00fcl. Olyan kimenetet kell l\u00e9trehozni, amely szerint a siker nem bizony\u00edt\u00e9k.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Biztons\u00e1goss\u00e1 tesz a session.upload_progress letilt\u00e1sa?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Egy \u00fatvonalat z\u00e1r le, nem az \u00f6sszeset. A mem\u00f3ria-felfed\u00e9si v\u00e1ltozat a szok\u00e1sos t\u00f6bbr\u00e9szes kezel\u00e9sen megy kereszt\u00fcl, \u00e9s nem ig\u00e9nyli a munkamenet-funkci\u00f3t. A PHP projekt szerint nincsenek teljes k\u00f6r\u0171 enyh\u00edt\u00e9sek, \u00e9s a friss\u00edt\u00e9s az egyetlen biztons\u00e1gos megold\u00e1s.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Blokkolhatja a Threat Prevention a routeremen a PHP2Shell-t?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Nem jelent\u0151s m\u00e9rt\u00e9kben. Ez egy al\u00e1\u00edr\u00e1smotor, amely nem tud TLS-en bel\u00fcl olvasni, a ford\u00edtott proxy \u00e9s az ugyanazon az alh\u00e1l\u00f3zaton l\u00e9v\u0151 forr\u00e1s k\u00f6z\u00f6tti forgalom soha nem \u00e9ri el azt, \u00e9s a hivatalos Snort \u00e9s Emerging Threats szab\u00e1lyrendszerek az \u00edr\u00e1s idej\u00e9n semmit sem tettek k\u00f6zz\u00e9 ezekre a CVE-kre vonatkoz\u00f3an.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">A QNAP \u00e9s az ASUSTOR m\u00e1r jav\u00edtotta a PHP2Shell-t?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>2026. okt\u00f3ber 22-\u00e9n nem. A QNAP QSA-26-18 sz\u00e1m\u00fa tan\u00e1csad\u00f3 dokumentum \u00e1llapota \u201eJav\u00edt\u00e1s\u201d, minden jav\u00edtott verzi\u00f3 \u201eBejelent\u00e9sre v\u00e1r\u201d, \u00e9s az ASUSTOR v\u00e1laszul elt\u00e1vol\u00edtotta a r\u00e9gi PHP-t az App Centralb\u00f3l a jav\u00edtott verzi\u00f3 k\u00f6zz\u00e9t\u00e9tele helyett. Az Synology-SA-26:14-et m\u00e9g aznap \u201eMegoldott\u201d-k\u00e9nt jel\u00f6lt\u00e9k meg a teljes verzi\u00f3t\u00e1bl\u00e1zattal.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>PHP2Shell is the name the industry settled on for CVE-2026-109618 and CVE-2026-109619, a pair of critical flaws in the PHP engine itself that allow unauthenticated remote code execution. Details leaked on 20 October 2026, a day before the coordinated disclosure, and the PHP project shipped emergency releases on 21 October. Because the bug lives in [&hellip;]<\/p>\n","protected":false},"author":0,"featured_media":22085,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_eb_attr":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-22083","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-others"],"_links":{"self":[{"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/posts\/22083","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/comments?post=22083"}],"version-history":[{"count":1,"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/posts\/22083\/revisions"}],"predecessor-version":[{"id":22084,"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/posts\/22083\/revisions\/22084"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/media\/22085"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/media?parent=22083"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/categories?post=22083"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/synopower.club\/hu\/wp-json\/wp\/v2\/tags?post=22083"}],"curies":[{"name":"munkaf\u00fczet","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}