Site-ul firmei tale rulează PHP? Verifică azi, nu mâine

Pe 21 octombrie 2026, echipa PHP a lansat de urgență actualizări pentru două vulnerabilități critice, cunoscute sub numele de PHP2Shell. Ele permit unui atacator să preia controlul unui server web fără parolă și fără cont, doar printr-o cerere trimisă către site.

Dacă firma ta are un site de prezentare pe WordPress, un magazin online sau o aplicație web, sunt șanse mari ca acesta să ruleze pe PHP. Iar atacurile au început deja, unele chiar înainte ca patch-ul să fie disponibil.

Vestea bună este că problema are rezolvare. Vestea mai puțin bună este că fiecare zi în care serverul rămâne neactualizat este o zi în care site-ul poate fi compromis.

În acest articol îți explicăm pe înțelesul tuturor ce s-a întâmplat, cum verifici dacă ești afectat și ce trebuie făcut acum.

Ce este PHP și de ce te privește?

PHP este limbajul de programare care rulează „în spatele” unei mari părți din site-urile de pe internet. Nu îl vezi, dar el generează paginile, procesează formularele de contact, comenzile și autentificările.

PHP stă la baza unor platforme foarte folosite de firme:

• WordPress (site-uri de prezentare și bloguri);
• WooCommerce, PrestaShop, Magento și OpenCart (magazine online);
• Joomla și Drupal;
• aplicații interne, portaluri pentru clienți și CRM-uri dezvoltate la comandă;
• panouri de administrare a hostingului, precum cPanel sau Plesk.

Cu alte cuvinte, chiar dacă nu ai auzit niciodată de PHP, este foarte probabil ca site-ul firmei tale să depindă de el. Iar o vulnerabilitate în PHP înseamnă o vulnerabilitate în site-ul tău, indiferent cât de bine este făcut.

Ce este PHP2Shell (CVE-2026-109618 și CVE-2026-109619)?

PHP2Shell este numele dat de cercetători unei perechi de vulnerabilități descoperite în nucleul limbajului PHP. Ambele sunt de tip RCE (Remote Code Execution), adică permit executarea de cod de la distanță pe server.

Pe scurt, ce se întâmplă tehnic:

• CVE-2026-109618 apare atunci când PHP rămâne fără memorie exact în timp ce pregătește o cerere. Datele interne rămân construite pe jumătate, iar rutina de curățare le tratează ca fiind valide.
• CVE-2026-109619 apare atunci când o informație internă a unei cereri „supraviețuiește” după ce memoria ei a fost eliberată. O cerere ulterioară, procesată de același proces PHP, poate folosi aceste date expirate.

Ambele sunt erori de gestionare a memoriei, din categoria „use-after-free”. Aceste tipuri de erori sunt printre cele mai periculoase, pentru că un atacator priceput le poate transforma în control complet asupra serverului.

Ce face situația mai gravă: cele două probleme existau în cod de foarte mulți ani, dar abia acum au fost demonstrate ca fiind exploatabile.

De ce este atât de gravă această vulnerabilitate?

Ambele vulnerabilități au primit scorul 9.2 din 10 (CVSS 4.0), adică nivel critic. Motivele sunt simple:

• nu este nevoie de cont sau parolă – atacatorul nu trebuie să fie autentificat;
• funcționează pe configurația implicită – nu e nevoie ca site-ul să aibă o setare greșită;
• problema este în PHP, nu într-un plugin – deci afectează orice aplicație PHP, oricât de bine ar fi scrisă;
• atacatorul obține control asupra serverului – poate citi baza de date, fura date ale clienților, instala malware sau folosi serverul pentru alte atacuri.

Scara este uriașă. Palo Alto Networks a identificat peste 22,6 milioane de servere expuse pe internet care ar putea fi vulnerabile.

Pentru o firmă, un site compromis poate însemna date ale clienților furate, obligații de raportare conform GDPR, site blocat de Google ca periculos și pierderea încrederii clienților.

Este vulnerabilitatea exploatată deja?

Da. Și aici este partea care face ca acest subiect să fie urgent.

• 17 octombrie 2026 – Amazon detectează în rețeaua sa de servere-capcană (honeypot) prima încercare de exploatare, cu patru zile înainte de anunțul public.
• 21 octombrie 2026 – echipa PHP publică versiunile corectate. În aceeași zi, mai multe firme de securitate raportează atacuri reale.
• 22 octombrie 2026 – exploatarea este descrisă ca fiind pe scară largă.

Agenția americană de securitate cibernetică CISA a recomandat ca sistemele bazate pe PHP care nu pot fi actualizate imediat, sau care rulează PHP 8.1 ori mai vechi, să fie scoase offline până la actualizare. O astfel de recomandare apare foarte rar.

Atacatorii folosesc programe automate care scanează internetul și încearcă exploatarea pe orice server găsesc. Nu contează dacă firma ta este mică sau mare. Contează doar dacă serverul este actualizat.

Cum verifici ce versiune PHP rulează site-ul tău?

Există mai multe metode, în funcție de cum este găzduit site-ul.

Din WordPress

Intră în panoul de administrare și mergi la Instrumente → Sănătatea site-ului → Informații → Server. Acolo apare versiunea PHP folosită.

Din panoul de hosting

• în cPanel, caută opțiunea MultiPHP Manager sau Select PHP Version;
• în Plesk, deschide domeniul și intră la PHP Settings.

Atenție: dacă hostingul folosește Plesk, toate versiunile PHP livrate cu acesta sunt afectate, deci trebuie verificate și actualizările de PHP din panou.

Pe un server propriu

Dacă firma are un server dedicat sau virtual, administratorul poate rula comanda php -v în terminal. Atenție că pe același server pot rula mai multe versiuni PHP simultan, iar fiecare trebuie verificată.

Dacă nu ai acces la nimic din toate acestea

Întreabă firma care ți-a făcut site-ul sau furnizorul de hosting. Întrebarea este simplă: „Pe ce versiune PHP rulează site-ul nostru și a fost actualizat după 21 octombrie 2026?”

Ce trebuie făcut acum?

1. Actualizează PHP la una dintre versiunile sigure: 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 (ori mai noi). Aceasta este singura soluție completă.
2. Dacă rulezi PHP 8.1 sau mai vechi, planifică imediat trecerea pe o versiune suportată. Înainte de migrare, verifică dacă temele, pluginurile și aplicațiile sunt compatibile, ca să nu „strici” site-ul.
3. Dacă nu poți actualiza imediat, aplică măsura temporară recomandată de CERT-EU: dezactivarea opțiunii session.upload_progress.enabled din configurația PHP și repornirea serviciului PHP. Aceasta reduce riscul, dar nu înlocuiește actualizarea.
4. Verifică serverul cu un instrument de testare. Searchlight Cyber a publicat gratuit php2shell-scanner, care arată dacă un server este expus.
5. Fă un backup curat înainte de orice modificare și păstrează-l separat de server.
6. Verifică semnele de compromitere (vezi secțiunea următoare), pentru că atacurile au început înainte de patch.

Dacă site-ul este găzduit la un furnizor de hosting, cere-i confirmarea scrisă că PHP a fost actualizat. Nu presupune că s-a făcut automat.

Care sunt semnele că site-ul a fost deja compromis?

Actualizarea oprește atacurile viitoare, dar nu șterge un atacator care a intrat deja. De aceea merită verificate câteva semne:

• fișiere PHP noi sau necunoscute în folderele site-ului, mai ales în cele de upload;
• conturi noi de administrator pe care nu le-a creat nimeni din firmă;
• redirecționări către site-uri de spam, jocuri de noroc sau pagini false;
• avertismente de la Google că site-ul este periculos;
• consum neobișnuit de mare de procesor sau memorie pe server;
• procese ciudate pornite de serviciul PHP (de exemplu, comenzi de sistem lansate direct de php-fpm sau Apache);
• e-mailuri trimise masiv de pe server, fără ca firma să facă vreo campanie;
• alertă de la furnizorul de hosting privind activitate suspectă.

Dacă observi oricare dintre aceste semne, nu te limita la actualizarea PHP. Site-ul trebuie analizat și curățat, iar parolele trebuie schimbate.

Ce greșeli trebuie evitate?

Una dintre cele mai frecvente greșeli este gândul:

„Avem un site mic, nimeni nu ne atacă pe noi.”

Nu e adevărat. Atacurile de acest tip sunt automate. Roboții nu aleg ținte după mărimea firmei, ci după versiunea PHP.

Alte greșeli frecvente:

• „Am actualizat WordPress, deci suntem în regulă.” Nu neapărat. Actualizarea WordPress și a pluginurilor nu actualizează PHP-ul de pe server.
• „Se ocupă hostingul.” Unii furnizori actualizează rapid, alții nu. Iar pe un server propriu, nimeni nu o face în locul tău.
• Lăsarea site-ului pe o versiune veche „pentru că merge”.
• Schimbarea versiunii PHP fără test.
• Actualizarea fără verificarea compromiterii. Dacă atacatorul a intrat deja, un patch nu îl scoate afară.

Cum ajută IT&C TECH?

IT&C TECH poate ajuta companiile să verifice rapid dacă sunt afectate de PHP2Shell și să rezolve problema fără să oprească activitatea.

Serviciile pot include:

• verificarea versiunii PHP pe site-uri, servere și panouri de hosting;
• actualizarea PHP la o versiune sigură;
• aplicarea măsurilor temporare de protecție acolo unde actualizarea nu se poate face imediat;
• verificarea semnelor de compromitere și curățarea site-urilor afectate;
• configurarea backup-urilor automate, păstrate separat de server;
• mentenanță lunară și monitorizare, pentru ca următoarea vulnerabilitate să fie rezolvată înainte să devină o problemă.

O verificare făcută azi durează puțin. Curățarea unui site compromis, recuperarea datelor și explicațiile către clienți durează mult mai mult.