Ascultă articolul
PHP2Shell: vulnerabilitate critică în PHP, cu impact global
Două vulnerabilități critice în PHP pot permite executarea de cod de la distanță fără autentificare, iar administratorii sunt îndemnați să instaleze actualizările de securitate.
TEHNOLOGIE-AI
Publicat: 23 octombrie 2026 la 13:17
Actualizat: 23 octombrie 2026 la 14:18
Două vulnerabilități critice descoperite în PHP, limbajul folosit de milioane de site-uri și aplicații web, au declanșat o reacție de urgență la nivel internațional. Defectele de securitate, grupate sub numele informal PHP2Shell, pot permite executarea de cod de la distanță, fără autentificare, pe servere vulnerabile.
PHP a publicat pe 21 octombrie 2026 actualizări de securitate pentru versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35, iar administratorii de sisteme sunt îndemnați să aplice imediat patch-urile. Riscul este considerat major deoarece vulnerabilitățile nu țin de un plugin, o temă sau o aplicație anume, ci de motorul PHP însuși.
Problema afectează infrastructura de bază a webului: PHP este folosit de platforme precum WordPress, Drupal, Joomla, MediaWiki și de numeroase aplicații interne ale companiilor și instituțiilor publice.
Ce este PHP2Shell
PHP2Shell este numele folosit pentru două vulnerabilități critice: CVE-2026-109618 și CVE-2026-109619.
Ambele pot permite unui atacator să execute cod pe server fără parolă, cont sau acces anterior. Într-un scenariu grav, asta poate duce la compromiterea serverului, acces la fișiere, furt de date, modificarea site-ului sau instalarea unor instrumente care mențin accesul atacatorului și după remedierea inițială.
Prima vulnerabilitate, CVE-2026-109618, este legată de modul în care PHP gestionează situațiile în care o cerere depășește limita de memorie. În anumite condiții, PHP putea rămâne cu date interne inițializate incomplet, iar procesul de curățare le putea trata ulterior ca valide.
A doua vulnerabilitate, CVE-2026-109619, ține de starea internă a unei cereri. Date care ar fi trebuit eliminate puteau rămâne accesibile și puteau fi folosite greșit de o cerere ulterioară procesată de același worker PHP.
Ambele vulnerabilități au fost evaluate cu scor CVSS 9.2, ceea ce le plasează în categoria critică.
De ce vulnerabilitatea a produs alarmă internațională
Impactul nu vine doar din severitatea tehnică, ci din amploarea folosirii PHP.
Spre deosebire de o breșă într-un singur produs, o vulnerabilitate în motorul PHP poate afecta aplicații foarte diferite, inclusiv site-uri construite corect la nivel de cod propriu. Problema poate exista sub aplicație, în stratul care procesează cererile web.
PHP a precizat că sunt expuse toate instalările care servesc cereri web, inclusiv PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Riscul este considerat mai ridicat în cazul configurațiilor Apache cu mod_php, unde a fost demonstrată exploatarea printr-o cerere neautentificată înainte ca aplicația să ruleze propriul cod.
Asta explică de ce mai multe organizații au preferat să scoată temporar servicii din online. În cazul sistemelor care nu pot fi actualizate rapid, izolarea sau oprirea temporară poate fi mai sigură decât menținerea lor expusă pe internet.
Ce trebuie să facă administratorii de site-uri
Pentru administratorii de servere, măsura esențială este actualizarea PHP la una dintre versiunile remediate: 8.5.12, 8.4.27, 8.3.36 sau 8.2.35.
Sistemele care folosesc versiuni mai vechi, inclusiv ramuri ieșite din suport, trebuie verificate cu atenție. În unele cazuri, distribuțiile Linux sau furnizorii de hosting pot livra patch-uri backportate, dar responsabilitatea verificării revine administratorului sau furnizorului tehnic.
Pentru site-urile găzduite pe servicii shared hosting, proprietarii trebuie să verifice versiunea PHP din panoul de administrare sau să contacteze furnizorul. Actualizarea aplicației WordPress, Drupal sau Joomla nu este suficientă dacă serverul rulează în continuare o versiune PHP vulnerabilă.
Recomandările tehnice includ inventarierea tuturor sistemelor PHP, prioritizarea celor expuse public, aplicarea patch-urilor, verificarea logurilor și monitorizarea eventualelor semne de compromitere.
💡 WoW Pulse | De ce nu este doar o problemă pentru programatori?
PHP rulează pe server, nu pe telefonul sau laptopul utilizatorului obișnuit. Totuși, consecințele pot ajunge la public atunci când un site vulnerabil stochează date personale, conturi, plăți, documente sau informații interne. Pentru utilizatori, riscul nu se rezolvă printr-o actualizare locală, ci prin reacția rapidă a administratorilor și furnizorilor de hosting.
Rolul AI în descoperirea vulnerabilităților
Un element important al cazului PHP2Shell este rolul inteligenței artificiale în identificarea și validarea vulnerabilităților.
OpenAI a transmis că o vulnerabilitate critică a fost identificată de compania Calif folosind modelul GPT-5.6 Sol, în cadrul inițiativei Patch the Planet. Wiz a raportat separat descoperirea vulnerabilităților și a explicat că modelele AI au redus bariera tehnică necesară pentru a transforma probleme vechi și greu de exploatat într-un scenariu practic.
Această parte a cazului este importantă pentru securitatea cibernetică globală. AI-ul poate ajuta apărătorii să găsească vulnerabilități înaintea atacatorilor, dar aceleași capabilități pot accelera și dezvoltarea de exploituri după ce informațiile tehnice devin publice.
PHP2Shell arată astfel o schimbare de ritm: intervalul dintre descoperirea unei vulnerabilități, publicarea patch-ului și apariția tentativelor de exploatare poate deveni tot mai scurt.
De ce au contat întârzierile și scurgerile de informații
PHP Foundation a explicat că primele indicii privind problema legată de gestionarea memoriei au apărut încă din 2024, după un audit extern. La acel moment, nu exista însă un vector concret de exploatare, iar remedierea era dificilă deoarece soluțiile posibile puteau afecta compatibilitatea, performanța sau extensiile din ecosistem.
Fundația a descris întârzierea drept un eșec structural, cauzat de procesul decizional și de resursele limitate ale echipei de securitate. Situația s-a complicat în octombrie 2026, când identificatorii CVE au început să circule public înaintea comunicării finale, accelerând publicarea actualizărilor.
Această succesiune a creat presiune pe organizații: patch-urile trebuiau aplicate rapid, în timp ce detaliile tehnice începeau deja să fie analizate de comunitatea de securitate și de potențiali atacatori.
Ce înseamnă pentru utilizatorii obișnuiți
Utilizatorii nu trebuie să instaleze un patch PHP pe propriul telefon sau calculator, decât dacă administrează direct un server sau un site.
Riscul pentru public apare indirect, prin site-urile și serviciile care rulează PHP vulnerabil. În cazul platformelor importante, responsabilitatea actualizării revine echipelor tehnice. În cazul site-urilor mici, magazinelor online, blogurilor sau aplicațiilor administrate prin firme de hosting, proprietarii trebuie să verifice dacă furnizorul a aplicat actualizările.
Pentru utilizatorii care observă servicii indisponibile temporar, întreruperea poate fi rezultatul unei măsuri preventive, nu neapărat dovada unei breșe. În acest tip de incident, scoaterea temporară din online a unui sistem vulnerabil poate fi o decizie de protecție.
📌 Citește și pe WoW Pulse
Miza mai largă: infrastructura web depinde de componente invizibile
PHP2Shell nu este doar o vulnerabilitate tehnică punctuală. Este un avertisment despre dependența webului de componente open-source folosite masiv, întreținute adesea de echipe reduse și integrate în produse comerciale, servicii publice și platforme globale.
Când o astfel de componentă are o problemă critică, efectul se propagă rapid în lanț: de la limbajul de programare la frameworkuri, CMS-uri, aplicații, furnizori de hosting și instituții care nici măcar nu gestionează direct codul PHP.
Cazul arată și cum se schimbă securitatea în epoca AI. Vulnerabilități greu de exploatat în trecut pot deveni mai ușor de analizat, automatizat și testat. Pentru apărători, avantajul depinde de capacitatea de a descoperi și închide breșele înainte ca aceeași tehnologie să fie folosită ofensiv.
