Două vulnerabilități critice din PHP au declanșat o alertă de securitate la nivel mondial, după ce cercetătorii au stabilit că atacatorii ar putea executa cod de la distanță fără autentificare. Mii de site-uri au fost suspendate preventiv, iar Directoratul Național de Securitate Cibernetică (DNSC) avertizează că serverele PHP neactualizate din România trebuie considerate expuse unui risc ridicat.
PHP este un limbaj de programare utilizat pentru funcționarea a milioane de site-uri. Tehnologia se află în spatele unor platforme precum WordPress, Wikipedia și numeroase magazine online, unde procesează informațiile și le afișează în browser.
Ce pot face atacatorii
Vulnerabilitățile pot permite accesul la servere fără ca atacatorul să se autentifice. După compromitere, acesta ar putea prelua controlul sistemului, ajunge la baze de date și sustrage informații confidențiale.
Experții avertizează că riscul este mai mare pentru organizațiile mici, ale căror site-uri nu sunt administrate constant și nu beneficiază de resurse suficiente pentru securitate informatică. Publicarea detaliilor tehnice ar putea declanșa, în următoarele săptămâni, un val de tentative de atac.
Problemele au fost identificate de cercetători de la Calif și Wiz, cu ajutorul unor instrumente de inteligență artificială capabile să analizeze rapid codul informatic. Potrivit echipelor de cercetare, erorile existau de ani de zile, însă noile tehnologii au făcut posibilă găsirea lor într-un timp mult mai scurt.
Wiz a descris vulnerabilitățile drept cele mai grave descoperite vreodată cu ajutorul inteligenței artificiale. OpenAI a atras atenția că aceeași tehnologie poate fi folosită atât pentru identificarea breșelor, cât și pentru dezvoltarea mai rapidă a instrumentelor de atac.
Site-uri suspendate preventiv
Organizații publice și private din mai multe țări au luat măsuri înainte ca toate sistemele să fie verificate sau actualizate. Printre platformele afectate se numără:
- mai multe sisteme administrate de Wikimedia;
- site-uri ale guvernului Finlandei;
- platforma Consiliului Local din Edinburgh;
- site-ul BBC;
- pagina Agenției pentru securitate cibernetică din Olanda;
- site-ul Universității din Geneva;
- site-uri ale unor consilii locale și autorități sanitare din Scoția;
- platforme de gaming și forumuri online.
Site-ul Universității din Geneva a fost suspendat la solicitarea CERT-EU, echipa europeană de intervenție în cazul incidentelor informatice. În paralel, autorități și agenții de securitate din mai multe state au recomandat oprirea temporară a platformelor care nu pot fi actualizate imediat.
Alerta DNSC pentru România
La 21 octombrie 2026, echipa de securitate PHP a publicat versiuni corectate pentru ramurile software afectate. Problemele au primit identificatorii CVE-2026-109618 și CVE-2026-109619 și sunt cunoscute public sub denumirea „PHP2Shell”.
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Ambele vulnerabilități au un scor CVSS v4.0 de 9,2 și permit, potrivit confirmării oficiale PHP, execuția de cod la distanță fără autentificare. DNSC precizează că existența unor dovezi de concept publice și a traficului de atac raportat face foarte probabilă exploatarea pe scară largă.
„Orice server PHP neactualizat și expus în Internet trebuie considerat la risc ridicat de compromitere”, a transmis DNSC. Instituția recomandă actualizarea imediată, repornirea tuturor proceselor PHP și verificarea versiunii folosite efectiv de server.
Instalările PHP ajunse la sfârșitul ciclului de viață prezintă cel mai mare risc. Acestea trebuie protejate prin backport-uri sau prin furnizorul LTS, izolate și migrate cu prioritate la o versiune care beneficiază în continuare de suport.
DNSC a amintit că, potrivit Legii 58/2023, articolul 5, litera a), responsabilitatea pentru securitatea cibernetică a unui sistem, a unei rețele sau a unui serviciu informatic revine persoanei fizice ori juridice care îl deține, îl organizează, îl administrează și/sau îl utilizează.
Recomandările autorităților
Dezvoltatorii PHP le-au cerut tuturor utilizatorilor să instaleze imediat actualizările. Dacă acest lucru nu este posibil, sistemele expuse public ar trebui scoase temporar din funcțiune până la aplicarea patch-urilor.
Agenția Națională de Securitate a Statelor Unite (NSA) a avertizat că vulnerabilitățile pot oferi o cale directă către bazele de date. Centrul Național pentru Securitate Cibernetică din Marea Britanie a recomandat, în plus, verificarea serverelor pentru identificarea unor programe ascunse care ar putea menține accesul atacatorilor după compromitere.
Alerte similare au fost emise în Uniunea Europeană, Singapore și Australia. Premierul Japoniei, Sanae Takaichi, le-a cerut administratorilor să verifice dacă site-urile accesibile publicului folosesc PHP.
Amazon a anunțat că a detectat mai multe tentative de atac cu câteva zile înainte ca vulnerabilitățile să fie făcute publice. Deocamdată, nu este clar cum au aflat potențialii atacatori despre existența breșei.
Ce trebuie să urmărești
Administratorii trebuie să confirme versiunea PHP instalată, să aplice una dintre actualizările disponibile și să repornească procesele afectate. După actualizare, este necesară verificarea jurnalelor și a sistemului pentru semne ale unei compromiteri anterioare.
Și tu trebuie să fii atent la mesajele primite de la serviciile online pe care le folosești. Unele platforme ți-ar putea solicita schimbarea parolei, iar mesajele suspecte care cer date de autentificare sau informații personale trebuie tratate cu prudență.