Képzeld el, hogy vállalkozásod weboldala egyik napról a másikra elérhetetlenné válik. Fizetett hirdetéseid futnak, az érdeklődők keresnek, de a honlapod helyett hibaüzenet fogadja őket. Mit tennél? Tudnád, kit hívj, hol találod a legfrissebb biztonsági mentést, és hogyan állíthatnád helyre az oldaladat?
Az elmúlt hetekben többször is szembesültem azzal, milyen komoly problémát jelenthet a weboldalbiztonság hiánya. Több WordPress-oldalon találtunk olyan adminisztrátori jogosultságú felhasználókat, akiknek semmi keresnivalójuk nem volt ott. Tegnap pedig egy régi ügyfelem keresett meg kétségbeesetten, mert a weboldala egyszerűen elérhetetlenné vált.
Miközben az oldal helyreállításán dolgoztam, szembejött velem egy friss, súlyos PHP-biztonsági sérülékenységről szóló hír. És arra gondoltam: erről most muszáj írnom. Különösen azért, mert a veszély nemcsak a WordPress-weboldalakat érintheti, hanem más rendszereket, sőt bizonyos AI-val készített honlapokat is.
Amikor egy telefonhívásból egész estés nyomozás lesz
Tegnap éppen egy olyan WordPress-weboldallal foglalkoztam, amelyen korábban illetéktelen adminisztrátori hozzáféréseket találtunk. A biztonsági programozó már egy ideje vizsgálta az esetet, én pedig a szükséges helyreállítási feladatokon dolgoztam.
Ekkor megcsörrent a telefonom.
Egy régi ügyfelem hívott, akinek nagyjából két évvel ezelőtt készítettem el a weboldalát. Az átadás óta saját maguk kezelték, több módosítást is végeztek rajta, rendszeres karbantartást pedig nem kértek tőlem.
Most viszont komoly bajba kerültek: nem működött a honlapjuk.
Elmesélték, hogy néhány nappal korábban kaptak egy e-mailt valamilyen WordPress-frissítésről, de akkor nem foglalkoztak vele. Később a Google Ads-hirdetéseik kapcsán értesültek arról, hogy a hirdetett weboldallal probléma van. És ez az, amikor egy technikai hiba hirtelen nagyon is kézzelfogható üzleti problémává válik.
Hiszen hiába költesz hirdetésekre, ha az érdeklődő a kattintás után egy működésképtelen weboldalra érkezik.
Az ügyfelem megpróbálta saját maga visszaállítani a honlapot, de nem járt sikerrel. Így nekem kellett kiderítenem, mi történt, és hogyan lehetne újra működésre bírni az oldalt.
Elsőként természetesen a helyreállításra koncentráltam. Mert amikor egy vállalkozás weboldala elérhetetlenné válik, az a legfontosabb, hogy minél előbb ismét működjön. A pontos okok felderítése ezt követően, illetve ezzel párhuzamosan történhet.
Azt viszont fontosnak tartom elmondani, hogy egyelőre nem tudjuk biztosan, mi okozta az összeomlást. Lehetett frissítési probléma, valamilyen korábbi módosítás következménye, vagy más technikai hiba is. A feltörés lehetőségét is vizsgálni lehet, de bizonyíték nélkül ezt nem állítanám.
Mi történik, ha nincs friss biztonsági mentés?
A helyreállítás első nehézségével hamar szembesültem.
Az ügyfelem nem talált használható biztonsági mentést a weboldaláról. Én pedig, mivel az átadás óta nem kértek tőlem karbantartást, természetesen nem tároltam a két év alatt készült újabb változataikat.
Maradt tehát a tárhelyen található fájlok és mappák átvizsgálása.
És itt kezdődött az igazi nyomozás.
A tárhelyen több különböző mappát találtam, amelyekben WordPress-fájlok voltak. Első pillantásra úgy tűnhetett, hogy ezek között ott lesz a keresett változat. Csakhogy az alaposabb vizsgálat során kiderült, hogy sok mappából fontos részek hiányoznak.
Még október eleji dátummal rendelkező könyvtárat is találtam, de abból sem állt össze egy teljes weboldal. A fájlok dátuma ráadásul önmagában nem bizonyítja, hogy az adott változat a legfrissebb vagy az utolsó működő állapotot tartalmazza.
Tegnap estére végül sikerült egy régebbi, működőképes változatot helyreállítanom egy külön aldomainen. Ez nagyjából a két évvel ezelőtt általam elkészített honlap állapotának felel meg.
Az ügyfelemmel megbeszéltük, hogy tovább keresem a frissebb változatot. Ha találok használhatót, abból dolgozunk tovább. Ha pedig nem, akkor a már működő régebbi verzió lesz az alap.
Ez az eset nagyon jól megmutatja, hogy egy biztonsági mentés értékét akkor értjük meg igazán, amikor szükségünk lenne rá, de nem találjuk.
És még valami: egy weboldal biztonsági mentése nem egyszerűen annyit jelent, hogy valahol megőriztünk néhány fájlt. A teljes mentésnek alkalmasnak kell lennie arra, hogy szükség esetén valóban helyreállíthassuk belőle az oldalt.
Miért nem elég megkeresni egy weboldal fájljait?
Gondolj a saját számítógépedre! Vannak rajta mappák, azokban dokumentumok, képek, különböző fájlok. Ha szeretnél megnyitni egy Word-dokumentumot, megkeresed, rákattintasz, és már látod is a tartalmát.
Egy weboldal ennél jóval összetettebb.
A WordPress esetében például sok különböző fájl, mappa és egy adatbázis dolgozik együtt azért, hogy a látogató a kész weboldalt lássa. Az adatbázisban találhatók többek között a szövegek és beállítások, míg a fájlok között a rendszer működéséhez szükséges elemek, sablonok, bővítmények és feltöltött képek is szerepelnek. Attól tehát, hogy találok egy WordPress-fájlokat tartalmazó mappát, még egyáltalán nem biztos, hogy abból működő honlapot tudok helyreállítani.
Hogy egy nagyon egyszerű példát mondjak: a WordPressben általában van egy uploads nevű mappa, amelyben a weboldalra feltöltött képeket tároljuk. Ha tudom, hogy a honlapon rengeteg kép volt, de ezt a mappát üresen találom, az máris fontos jelzés. Lehet, hogy hiányoznak a képek, vagy valahol máshol kell keresnem őket.
Ugyanez igaz az adatbázisra is. Hiába találom meg a sablont és a bővítményeket, ha nincs hozzájuk megfelelő adatbázis, amelyből a weboldal tartalma és beállításai visszaállíthatók. Egy mentés ráadásul attól is lehet használhatatlan, hogy csak bizonyos elemeket tartalmaz, vagy a visszaállításkor derül ki, hogy sérült.
Ezért olyan fontos, hogy a biztonsági mentések rendszeresen készüljenek, teljesek legyenek, és időnként ellenőrizzük azt is, hogy valóban visszaállítható-e belőlük a weboldal.
Egy friss PHP-biztonsági hír, amely sok weboldalt érinthet
- október 21-én a PHP fejlesztői két kritikus biztonsági sérülékenység javítását tartalmazó frissítéseket adtak ki. A probléma komolyságát mutatja, hogy az európai kiberbiztonsági szervezetek is sürgős intézkedésekre figyelmeztették az érintett weboldalak és szerverek üzemeltetőit.
De mi az a PHP, és miért érdekes ez egy vállalkozó számára?
Nagyon leegyszerűsítve a PHP egy programozási nyelv, amely sok weboldal működésében fontos szerepet játszik. Amikor például megnyitsz egy dinamikus weboldalt, a háttérben különböző műveletek történnek, amelyek segítenek összeállítani azt a tartalmat, amit végül a képernyődön látsz.
A WordPress is PHP-t használ, de korántsem az egyetlen ilyen rendszer. Más tartalomkezelők, webáruházak és egyedi fejlesztésű weboldalak is működhetnek vele. A most nyilvánosságra került hibák azért különösen súlyosak, mert bizonyos sérülékeny szerverkörnyezetekben lehetőséget adhatnak arra, hogy egy támadó távolról, bejelentkezés nélkül rosszindulatú kódot futtasson. Ez akár a weboldalhoz vagy a szerver bizonyos adataihoz való illetéktelen hozzáférést is lehetővé teheti.
A hivatalos tájékoztatás szerint az érintett PHP-rendszereket sürgősen frissíteni kell. A javított verziók között szerepel a PHP 8.2.35, 8.3.36, 8.4.27 és 8.5.12. A részletes szakmai tájékoztatást elolvashatod a PHP hivatalos weboldalán, illetve az Európai Unió Kiberbiztonsági Ügynökségének közleményében.
Fontos megérteni, hogy ez nem egy WordPress-specifikus hiba. A probléma a PHP működését érinti, ezért más PHP-alapú rendszerek is veszélybe kerülhetnek. És éppen ez az, ami miatt ezt a hírt minden weboldaltulajdonosnak érdemes komolyan vennie.
A saját, elmúlt hetekben tapasztalt eseteimről ugyanakkor nem állítom, hogy ehhez a friss PHP-sérülékenységhez kapcsolódnak. Az okok feltárása külön vizsgálatot igényel. A hír inkább arra emlékeztetett ismét, hogy milyen fontos a weboldalak folyamatos felügyelete.
Csak a WordPress-weboldalak sérülékenyek?
Sokan a weboldalbiztonság kérdését automatikusan összekapcsolják a WordPress-szel. Ez érthető, hiszen rendkívül népszerű rendszerről beszélünk, és a biztonsági problémáiról is gyakran hallani.
Pedig bármilyen weboldal esetében előfordulhat sérülékenység.
Egy Joomla- vagy Drupal-alapú honlap, egy Magento-, PrestaShop- vagy más webáruház, illetve egyedi fejlesztésű weboldal is tartalmazhat olyan programhibát, amelyet egy támadó kihasználhat.
A mostani PHP-hiba például éppen azt mutatja meg, hogy a veszély olykor nem is magában a weboldalban, hanem a működéséhez szükséges háttérrendszerben található.
Képzeld el úgy, mint egy házat. Lehet gyönyörű az épület, lehetnek jók az ajtók és ablakok, de ha a ház elektromos hálózatában komoly hiba keletkezik, az az egész épület működésére hatással lehet. A weboldalaknál is hasonló a helyzet. A látogatók által látható felület mögött szerver, programok, adatbázisok és különböző szolgáltatások működnek együtt. Ezek bármelyikénél jelentkezhet probléma.
Egy egyedi fejlesztésű honlap sem lesz automatikusan biztonságosabb attól, hogy nem WordPressre épül. Sőt, az is kérdés, hogy ki gondoskodik a későbbi frissítéséről, ha a fejlesztő már nem foglalkozik vele. Ugyanakkor a WordPress használata önmagában sem jelent biztonsági problémát. Egy megfelelően felügyelt, naprakészen tartott rendszer sokkal biztonságosabban működhet, mint egy elhanyagolt, egyedi fejlesztésű oldal.
A döntő kérdés tehát nem pusztán az, hogy mivel készült a weboldalad, hanem az is, hogy ki és hogyan gondoskodik a biztonságos működéséről.
Az AI-val készített weboldalak is veszélyben lehetnek?
Ez különösen érdekes kérdés, hiszen ma már mesterséges intelligencia segítségével is készíthetünk weboldalakat. Néhány jól megfogalmazott utasítás, és az AI máris összeállítja a honlap felépítését, szövegét, képeit vagy akár a működéséhez szükséges programkódot.
De vajon ettől a weboldal biztonságosabb lesz? A válasz attól függ, hogyan és milyen rendszerben készült.
Ha például egy AI-eszköz WordPress-weboldalt hoz létre, akkor az eredmény továbbra is WordPress-alapú honlap lesz. Ugyanúgy szüksége lehet a rendszer, a bővítmények és a háttérben futó PHP frissítésére, mint bármely más WordPress-oldalnak.
Ha mesterséges intelligenciával készíttetsz egyedi programkódot, akkor egészen más kérdések merülnek fel. Az AI képes gyorsan kódot írni, de a létrehozott megoldás tartalmazhat hibákat, sérülékenységeket vagy nem megfelelő beállításokat is.
Egy jól működőnek látszó weboldal tehát még nem feltétlenül biztonságos.
Más a helyzet az olyan weboldalépítő szolgáltatásoknál, ahol a honlap egy szolgáltató saját rendszerében működik. Ilyenkor a szerver, a háttérrendszer és számos technikai frissítés kezelését maga a szolgáltató végzi.
Ez kényelmes megoldás lehet, de ettől még a felhasználói fiókok védelme, a hozzáférések kezelése, a külső kapcsolatok biztonsága és az adatok megőrzése továbbra is figyelmet igényel.
Ráadásul az AI-val készült weboldalak közül nem mindegyik használ PHP-t. Vannak olyan rendszerek is, amelyek teljesen más technológiára épülnek, ezért a mostani PHP-sérülékenység közvetlenül nem feltétlenül érinti őket.
A mesterséges intelligencia segíthet elkészíteni egy weboldalt, de önmagában nem garantálja annak hosszú távú biztonságát.
Éppen ezért, mielőtt AI-val készíttetnél honlapot, érdemes tisztázni néhány dolgot: hol fog működni az oldal, ki kezeli a technikai frissítéseket, hogyan készülnek a mentések, és mi történik, ha egyszer valami meghibásodik?
Mert a weboldal elkészítése és a biztonságos üzemeltetése két külön feladat, függetlenül attól, hogy ember vagy mesterséges intelligencia készítette.
Mit jelent, ha a tárhelyszolgáltatód azt írja: nincs teendőd?
A friss PHP-biztonsági hír kapcsán én is kaptam értesítést a Hostingertől.
A levélben arról tájékoztattak, hogy ismerik a problémát, megtették a szükséges védelmi intézkedéseket, és gondoskodnak a PHP-rendszerek biztonsági frissítéséről. Azt is jelezték, hogy az ügyfeleknek ezzel kapcsolatban nincs külön teendőjük.
Ez megnyugtató, hiszen egy jó tárhelyszolgáltató fontos szerepet vállal a weboldalak biztonságos működtetésében.
A Hostinger hivatalos állapotjelentésében is olvasható, hogy a szolgáltató megvizsgálta a konkrét sérülékenységet, további védelmi intézkedéseket vezetett be, és megkezdte a javított PHP-verziók bevezetését.
De mit tegyél, ha Te nem kaptál hasonló levelet?
Szerintem a legegyszerűbb, ha megkeresed a tárhelyszolgáltatódat, és rákérdezel.
Például így:
„Értesültem a 2026. októberi kritikus PHP-biztonsági sérülékenységekről. Szeretném megtudni, hogy az én weboldalam érintett-e, és megtörténtek-e a szükséges biztonsági frissítések.”
Ehhez nincs szükséged programozói ismeretekre.
Arra viszont figyelj, hogy egy tárhelyszolgáltató levele mindig az adott szolgáltatásra és környezetre vonatkozik. Ha saját szervert használsz, vagy különleges beállításokkal működik a weboldalad, eltérő feladataid lehetnek.
És még valami nagyon fontos: attól, hogy a tárhelyszolgáltató a szerver biztonsági frissítéseiről gondoskodik, a weboldalad minden más része még nem kerül automatikusan szakértői felügyelet alá.
A sablonok, bővítmények, felhasználói hozzáférések, egyedi fejlesztések és mentések kezelése sok esetben külön feladat.
Ezért érdemes pontosan tudnod, mit vállal a tárhelyszolgáltatód, és mi az, amiről neked vagy a weboldalad karbantartójának kell gondoskodnia.
Mennyibe kerülhet, ha egyszer csak leáll a weboldalad?
Amikor egy vállalkozás weboldala összeomlik, általában elsőként a helyreállítás költsége jut eszünkbe. Mennyibe kerül a szakember munkája? Hány órát kell a hibakereséssel tölteni? Szükség lesz-e új fejlesztésre?
Pedig a tényleges veszteség ennél jóval nagyobb is lehet.
Gondolj arra az ügyfelemre, akiről a cikk elején meséltem! Google Ads-hirdetéseik futottak, miközben a honlapjuk elérhetetlenné vált. Ha valaki rákattint egy hirdetésre, de nem jut el a keresett információhoz, jó eséllyel továbbáll. Lehet, hogy éppen egy potenciális ügyfél veszik el.
És mi történik, ha ez órákig vagy napokig tart?
Egy webáruháznál elmaradhatnak a rendelések. Egy szolgáltatónál elveszhetnek az ajánlatkérések. Egy időpontfoglalással működő vállalkozásnál megállhatnak a foglalások. A weboldal látogatói pedig sokszor azt sem tudják, mi történt. Egyszerűen azt látják, hogy az oldal nem működik. A probléma különösen kellemetlen, ha egy vállalkozás jelentős összegeket fordít arra, hogy érdeklődőket tereljen a honlapjára.
Persze nem minden leállás jelent azonnali bevételkiesést, és egy rövid hiba sem feltétlenül okoz maradandó károkat. De minél fontosabb szerepet tölt be a weboldal a vállalkozás működésében, annál nagyobb lehet a kockázat.
A helyreállítás költsége ráadásul sok mindentől függ. Egy jól dokumentált, friss mentésből visszaállítható weboldal egészen más feladatot jelent, mint egy olyan rendszer, amelynél először azt kell kideríteni, egyáltalán mely fájlokból és adatokból lehet újra működő honlapot készíteni.
És akkor még nem beszéltünk arról, hogy egy valódi betörés esetén további biztonsági vizsgálatra, hozzáférések cseréjére és esetleg adatvédelmi intézkedésekre is szükség lehet.
A rendszeres karbantartás költségét ezért érdemes a váratlan helyreállítás lehetséges költségeivel is összevetni.
A rendszeres weboldal-karbantartás nemcsak a frissítésekről szól
Az elmúlt hetek tapasztalatai ismét megerősítettek abban, hogy a weboldal-karbantartás sokkal többet jelent néhány frissítés elvégzésénél.
Természetesen fontos, hogy a weboldal rendszere és a hozzá tartozó programok naprakészek legyenek. De legalább ennyire lényeges a mentések ellenőrzése, a hozzáférések felügyelete és a működés rendszeres vizsgálata. Hiszen egy weboldal akár úgy is működhet, hogy közben a háttérben már biztonsági probléma jelentkezett. Máskor egy hibás frissítés, egy inkompatibilis bővítmény vagy egy szerencsétlenül sikerült módosítás okozhat működési zavart. Ilyenkor nagyon sokat számít, ha van friss mentés, és pontosan tudjuk, milyen változtatások történtek korábban.
A rendszeres karbantartás másik nagy előnye, hogy a szakember ismeri a weboldalt. Tudja, milyen rendszerre épül, milyen bővítményeket használ, milyen egyedi beállítások szükségesek a működéséhez. Ez különösen fontos akkor, ha gyorsan kell reagálni egy váratlan problémára.
Ha saját magad szeretnéd ellenőrizni a WordPress-weboldalad néhány alapvető biztonsági beállítását, korábbi cikkemben részletesen bemutattam a legfontosabb ellenőrzéseket: WordPress karbantartás: fontos ellenőrzések a weboldalad védelméért.
Azt azonban érdemes tudnod, hogy még a rendszeres karbantartás sem jelent százszázalékos védelmet minden támadással vagy meghibásodással szemben. A cél a kockázatok csökkentése, a problémák korábbi felismerése és a helyreállítás megkönnyítése.
Számomra a mostani eset legfontosabb tanulsága talán éppen ez: amikor valami elromlik, óriási különbség van aközött, hogy egy ismert, mentésekkel rendelkező weboldalon kell hibát keresnem, vagy először azt kell kiderítenem, miből lehet egyáltalán újra felépíteni az egészet.
Ki vigyáz a weboldaladra, amikor Te a vállalkozásoddal foglalkozol?
Amikor elkészül egy új weboldal, általában mindenki örül. Végre szép, működik, megjelennek rajta a szolgáltatások, termékek, kapcsolatfelvételi lehetőségek. Aztán telnek a hónapok, évek. Új szövegek kerülnek fel, változnak az árak, bővülnek a szolgáltatások. Időnként frissítést kér a rendszer, néha valami furcsán működik, de ha a honlap látszólag rendben van, könnyű megfeledkezni a háttérben zajló folyamatokról.
Pedig a weboldalad a vállalkozásod egyik fontos eszköze. Sokszor ez az első felület, amellyel egy leendő ügyfeled találkozik.
Gondolj bele: vajon hány érdeklődő próbálja meg másodszor is felkeresni a honlapodat, ha az első alkalommal nem működik?
Szerintem a weboldal elkészültekor érdemes arról is dönteni, ki fog gondoskodni a későbbi működéséről.Lehet, hogy ezt Te magad vállalod. Lehet, hogy munkatársad kezeli, vagy megbízol vele egy szakembert. Mindegyik megoldás működhet, ha a feladatok és a felelősségek világosak. A lényeg, hogy valaki rendszeresen figyeljen rá. Tudja, mikor készültek biztonsági mentések, hol találhatók, hogyan lehet őket visszaállítani, és kit kell értesíteni, ha probléma jelentkezik.
Mert a weboldalbiztonság nem akkor válik fontossá, amikor már nem működik a honlapod. A legjobb pillanat a gondoskodásra az, amikor még minden rendben van.
Ha szeretnéd szakértőre bízni a weboldalad rendszeres felügyeletét, vagy bizonytalan vagy abban, hogy jelenleg milyen állapotban van a honlapod, keress meg, és nézzük át együtt a lehetőségeket.
Amit weboldaltulajdonosként még érdemes tudnod
Honnan tudhatom, hogy biztonságos-e a weboldalam?
A weboldal külső megjelenése önmagában nem árulja el, hogy minden rendben van-e. Egy szakmai ellenőrzés során többek között a frissítéseket, a felhasználói hozzáféréseket, a biztonsági beállításokat és a mentéseket érdemes átvizsgálni. Azt is fontos megvizsgálni, vannak-e gyanús változtatások vagy szokatlan működési jelek.
A mostani PHP-sérülékenység minden weboldalt érint?
A sérülékenység a PHP-t használó szerverkörnyezeteket érintheti. Mivel sokféle weboldal és alkalmazás épül PHP-ra, a probléma túlmutat a WordPressen. Azok a weboldalak, amelyek nem használnak PHP-t, ettől a konkrét hibától általában nem érintettek. Ha bizonytalan vagy, kérdezd meg a tárhelyszolgáltatódat.
Az AI-val készített weboldalak biztonságosabbak?
Önmagában az AI használata sem nagyobb biztonságot, sem sérülékenységet nem jelent. A biztonság a létrehozott programkódtól, a használt rendszertől, a tárhelytől, a beállításoktól és a későbbi karbantartástól függ. Az AI-val létrehozott programkód szakmai ellenőrzése különösen fontos lehet.
Ha a tárhelyszolgáltatóm frissít, nekem már nincs teendőm?
Ez attól függ, milyen szolgáltatást veszel igénybe. A szolgáltató általában a saját szerverkörnyezetéért felel, de a weboldalad egyedi beállításai, bővítményei, hozzáférései és mentései külön figyelmet igényelhetnek. Érdemes pontosan tisztázni, mi tartozik a szolgáltatásába.
Milyen gyakran érdemes biztonsági mentést készíteni?
Ez a weboldal működésétől függ. Egy ritkán változó bemutatkozó honlapnál más mentési gyakoriság lehet megfelelő, mint egy naponta rendeléseket fogadó webáruháznál. Minél gyakrabban változik az oldal tartalma vagy adatbázisa, annál fontosabbak a gyakori mentések. A mentések biztonságos, a működő weboldaltól elkülönített tárolása és a visszaállítás rendszeres kipróbálása is lényeges.
Mi a teendő, ha egyik napról a másikra eltűnik a weboldalam?
Először ellenőrizd, hogy a tárhelyszolgáltatónál nincs-e ismert üzemzavar, és értesítsd a weboldalad karbantartóját vagy fejlesztőjét. Ha hirdetések futnak az elérhetetlen oldalra, érdemes azokat ideiglenesen szüneteltetni. A hibakeresés előtt fontos megőrizni a rendelkezésre álló adatokat és fájlokat, különösen, ha felmerül a feltörés gyanúja. Egy régebbi mentés visszaállítása előtt azt is ellenőrizni kell, hogy a mentés biztonságos-e.
Megéri rendszeresen karbantartani egy kisebb vállalkozás weboldalát is?
Igen, különösen akkor, ha a honlap fontos szerepet játszik az ügyfélszerzésben, az ajánlatkérésekben vagy az értékesítésben. Egy kisebb vállalkozás számára is kellemetlen lehet egy többnapos leállás. A karbantartás célja, hogy csökkentse az ilyen problémák esélyét, és szükség esetén megkönnyítse a helyreállítást.
