Pe 21 octombrie 2026, echipa PHP a publicat de urgență remedieri pentru două vulnerabilități critice: CVE-2026-109618 și CVE-2026-109619, cunoscute împreună ca PHP2Shell. Ambele permit unui atacator să ruleze cod pe server fără parolă și fără cont, doar printr-o cerere web construită special.
Dacă site-ul firmei, magazinul online sau o aplicație internă rulează pe PHP, vă privește. Mai jos găsiți ce s-a întâmplat, de ce e urgent și ce verificați azi.
De ce vă privește direct
PHP este limbajul pe care rulează WordPress, majoritatea magazinelor online și o mare parte din site-urile de prezentare din România. Problema nu e în codul site-ului, ci în motorul de dedesubt.
- Nu contează cât de bine e făcut site-ul. Breșa e în PHP, nu în temă sau în pluginuri.
- Actualizarea WordPress și a pluginurilor nu rezolvă problema. Ele nu înlocuiesc un PHP vulnerabil.
- Sunt afectate practic toate versiunile folosite azi — de la PHP 5.4 până la 8.5.11.
Ce s-a întâmplat, pe înțelesul tuturor
Prima breșă (CVE-2026-109618): când PHP rămâne fără memorie în mijlocul unei cereri, lasă în urmă date pregătite doar pe jumătate. La „curățenie”, le tratează ca fiind în regulă. Un atacator poate provoca intenționat situația și poate strecura propriul cod.
A doua breșă (CVE-2026-109619): după ce o cerere se încheie, PHP uneori păstrează „urme” în memorie. Următoarea cerere servită de același proces poate folosi acele urme, iar un atacator priceput transformă asta în control asupra serverului.
Gândiți-vă la un hotel unde cartela fostului client încă deschide camera după check-out.
De ce e o situație urgentă
- A fost o vulnerabilitate 0-day. Detaliile au scăpat public pe 20 octombrie, cu o zi înainte de remediere, iar atacatorii au avut un avans.
- Atacurile au început deja. Cloudflare și mai multe firme de securitate au raportat încercări de exploatare din primele ore.
- Expunerea e uriașă. Palo Alto Networks estimează peste 22 de milioane de servere expuse, potențial vulnerabile.
- Autoritățile cer acțiune imediată. Centrul Național de Securitate Cibernetică din Marea Britanie a recomandat actualizarea imediată sau scoaterea sistemelor offline până la patch.
Un server compromis înseamnă date de clienți expuse, site folosit pentru spam sau fraudă, ori un site picat exact când aveți nevoie de el. Pentru firmele care intră sub NIS2 sau GDPR, poate însemna și un incident de raportat.
Ce faceți azi, pas cu pas
- Aflați ce versiune de PHP aveți. O găsiți în panoul de hosting (cPanel, Plesk) sau în WordPress, la Instrumente → Sănătatea site-ului → Info → Server.
- Comparați-o cu versiunile reparate: PHP 8.5.12, 8.4.27, 8.3.36 sau 8.2.35. Orice versiune mai veche din aceeași ramură e vulnerabilă.
- Dacă aveți PHP 8.1, 8.0, 7.4 sau mai vechi, proiectul PHP nu mai livrează remedieri. Unii furnizori de hosting au compilat versiuni reparate, dar soluția corectă e trecerea la o versiune suportată.
- Cereți confirmare scrisă de la firma de hosting: „Serverul meu are PHP actualizat pentru PHP2Shell?” Răspunsul trebuie să conțină versiunea exactă.
- După actualizare, verificați serverul. Dacă site-ul a rulat expus după 20 octombrie, merită o verificare de fișiere modificate, conturi noi de administrator și procese necunoscute.
Există setări temporare (de exemplu dezactivarea session.upload_progress sau modificarea memory_limit) care închid o parte din căile de atac. Sunt incomplete, unele au efecte secundare serioase și nu înlocuiesc actualizarea. Echipa PHP o spune explicit: actualizarea este singura variantă sigură.
Întrebări frecvente
Site-ul meu e pe WordPress. Sunt afectat?
Probabil da, dacă serverul rulează o versiune PHP mai veche decât 8.5.12, 8.4.27, 8.3.36 sau 8.2.35. WordPress rulează pe PHP, iar vulnerabilitatea e în PHP, nu în WordPress.
Am actualizat WordPress și toate pluginurile. Nu e suficient?
Nu. Actualizarea WordPress schimbă codul site-ului, nu versiunea PHP de pe server. PHP se actualizează din panoul de hosting sau de către administratorul serverului.
Ce înseamnă „0-day”?
O vulnerabilitate cunoscută de atacatori înainte să existe o remediere. PHP2Shell a fost 0-day între scurgerea detaliilor, pe 20 octombrie, și publicarea patch-urilor, pe 21 octombrie 2026. Acum remedierea există, dar vulnerabilitatea e exploatată activ.
Cum știu dacă serverul meu a fost deja compromis?
Semnele tipice sunt fișiere PHP noi sau modificate recent, conturi de administrator necunoscute, trafic sau consum de resurse neobișnuit și procese care nu ar trebui să ruleze. O verificare făcută de un specialist dă un răspuns sigur.
Cum vă putem ajuta
Pentru site-urile găzduite de noi, verificăm și actualizăm PHP-ul pe servere. Dacă site-ul dumneavoastră e găzduit în altă parte și nu știți pe ce versiune rulează, vă ajutăm să aflați în câteva minute și, la nevoie, facem un audit de securitate al serverului.
Pentru firmele care au obligații NIS2, vedeți și pagina de conformitate NIS2, iar pentru restul serviciilor, secțiunea Cybersecurity. Sunați-ne la 0341 100 777 sau scrieți-ne și verificăm împreună azi.
Articol informativ, publicat la 24 octombrie 2026. Informațiile provin din anunțul de securitate PHP din 21 octombrie 2026 și din analizele publicate de Red Hat, Debian, Google Cloud, Palo Alto Networks Unit 42, watchTowr și BleepingComputer.
