Mi történt?
A PHP 2026. október 21-én javításokat tett közzé a CVE-2026-109618 és CVE-2026-109619 hibákhoz, amelyek együttes neve PHP2Shell. Ezek lehetővé tehetik, hogy egy támadó bejelentkezés nélkül futtasson kódot egy érintett webszerveren. A PHP hivatalos közleménye ismerteti az érintett telepítéseket és frissítéseket. Az NSA azt javasolta az üzemeltetőknek, hogy gyorsan telepítsék a javításokat, és ha nem tudják biztonságossá tenni az érintett rendszereket, fontolják meg a hálózatról való leválasztásukat. Egy elővigyázatossági leállás önmagában nem bizonyítja a betörést. Az üzemeltetők a szállítók aktuális útmutatásait és későbbi közleményeit kövessék, ne ezt a cikket használják a javítások telepítési ellenőrzőlistájaként.
Mit jelent ez az adataid számára?
A közvetlen kockázat a sebezhető PHP-telepítést használó szolgáltatásokat és az általuk elérhető információkat érinti. Nem bizonyítja, hogy minden online tárolás veszélyes, vagy hogy a fájljaid kiszivárogtak. Látogatóként nem frissítheted a szolgáltató szervereit. Korlátozhatod a feltöltéseket, naprakészen tarthatod a saját szoftvereidet, és ellenőrizheted a szolgáltató hivatalos biztonsági közleményeit. Ha a fiókod érintett, kövesd az ellenőrzött utasításokat. Kerüld a váratlan üzenetekben kapott jelszó-visszaállítási hivatkozásokat: közvetlenül nyisd meg a szolgáltatást. Azokról a fájlokról, amelyeket nem veszíthetsz el, őrizz meg külön biztonsági másolatot.
Hol segít a titkosítás, és mik a korlátai?
Ha feltöltés előtt az eszközödön titkosítod a fájlokat, és a kulcsokat a szerveren kívül tartod, az segít megvédeni a tartalmukat a tárolt másolatok ellopásakor. Ettől nem válik ártalmatlanná minden szerverfeltörés: a támadók továbbra is láthatnak metaadatokat, törölhetnek fájlokat, vagy módosíthatják a webalkalmazás által a böngészőnek küldött kódot. Ez a kód használat közben ellophatja a kulcsokat; ezt a kockázatot a Proton biztonsági modellje is ismerteti. Az erős titkosításhoz biztonságos eszközök és megbízható szoftverek is kellenek. A kizárólag az eszközödön tárolt fájlokat nem teszi hozzáférhetővé egy olyan szolgáltatás feltörése, amelybe sosem töltötted fel őket.
Döntsd el, mi marad az eszközödön
Nem előzhetsz meg minden szoftverhibát, de eldöntheted, hol tárolod a személyes fájljaidat. A Sealby az eszközödön titkosítja a széfek tartalmát. Ha nem akarod feltölteni egy széf tartalmát, tartsd kizárólag helyben; a titkosított iCloud-szinkronizálás választható, és a Beállításokban széfenként külön kapcsolható be. Ha bekapcsolod a szinkronizálást vagy titkosított biztonsági másolatot készítesz, az eszközödön kívül is létezhetnek másolatok. Védelmük továbbra is attól függ, hogy biztonságban tartod-e a feloldáshoz szükséges adatokat és a helyreállítási kifejezést. A titkosítás nem védi a már feloldott széfet attól, aki irányítja az eszközödet, és nem távolítja el a más alkalmazásokban vagy felhőszolgáltatásokban hagyott eredeti fájlokat.