PHP2shell: de ce serverele PHP sunt ținta unui val masiv de atacuri?
Două vulnerabilități critice, cunoscute împreună sub numele de PHP2shell, descoperite în PHP, una dintre cele mai utilizate tehnologii pentru dezvoltarea site-urilor web, au declanșat o cursă contra cronometru pentru protejarea serverelor din întreaga lume. Pe 21 octombrie 2026, echipa PHP a publicat actualizări urgente de securitate, după ce problemele au fost identificate prin codurile CVE-2026-109618 și CVE-2026-109619.
Situația a devenit și mai îngrijorătoare după ce Cloudflare a raportat milioane de tentative de exploatare a vulnerabilităților, în urma publicării informațiilor tehnice. Potrivit unui articol publicat de Reuters, numărul tentativelor a crescut rapid în doar câteva ore, în timp ce numeroase companii și instituții publice încercau să își protejeze sistemele.
Vulnerabilitățile au primit un scor de severitate de 9,2 din 10. În anumite condiții, acestea pot permite unui atacator să execute, de la distanța, comenzi pe un server vulnerabil fără să aibă nevoie de un cont sau de o parolă.
Ce înseamnă acest lucru pentru proprietarii de site-uri? Chiar dacă nu ai cunoștințe avansate de programare, este important să verifici dacă site-ul tău folosește o versiune PHP afectată și dacă au fost instalate actualizările necesare.
Milioane de tentative de atac în doar câteva ore
Una dintre cele mai importante informații apărute după publicarea vulnerabilităților vine de la Cloudflare, companie care protejează site-uri și servicii online împotriva atacurilor cibernetice.
Matthew Prince, directorul general al companiei, a explicat că rețeaua Cloudflare a înregistrat mii de tentative de exploatare în cele zece ore dinaintea anunțului public. După divulgarea informațiilor, numărul a crescut la zeci de mii în primele 45 de minute, apoi la sute de mii în aproximativ două ore și, ulterior, la milioane.
Aceste cifre arată cât de repede pot reacționa atacatorii atunci când află despre o vulnerabilitate importantă.
Totuși, există o diferență esențială: milioane de tentative de atac nu înseamnă milioane de site-uri compromise. Unele solicitări pot fi blocate, altele pot viza servere care nu sunt vulnerabile, iar numărul sistemelor afectate efectiv nu poate fi dedus direct din aceste statistici.
Problema rămâne serioasă deoarece atacatorii pot încerca în mod repetat să găsească servere care nu au fost actualizate.
Potrivit relatării Reuters, mai multe instituții și companii au luat măsuri de precauție, inclusiv suspendarea temporară a unor servicii online. Printre organizațiile afectate de aceste măsuri s-au numărat instituții publice europene și companii din Japonia.
Aceste decizii arată că vulnerabilitățile nu reprezintă doar o problemă pentru administratorii individuali de site-uri, ci și un risc pentru organizațiile care depind de servicii online.
Ce este PHP2shell și de ce este atât de periculos?
PHP este un limbaj de programare folosit pentru construirea și funcționarea site-urilor web. Platforme populare precum WordPress și Magento se bazează pe PHP, la fel ca numeroase magazine online, bloguri și aplicații de business.
În cazul PHP2shell, cercetătorii au identificat două probleme în modul în care PHP gestionează memoria calculatorului. În anumite situații, aceste defecte pot permite unui atacator să determine serverul să execute cod malicious.
Pe înțelesul tuturor, imaginează-ți că serverul este un calculator care primește permanent cereri de la vizitatorii unui site. În mod normal, acesta procesează cererile și răspunde corespunzător. O vulnerabilitate precum PHP2shell poate permite unui atacator să trimită o cerere special concepută pentru a profita de o eroare internă și pentru a obține acces la operațiuni care nu ar trebui să îi fie permise.
În funcție de configurația serverului, consecințele pot include:
- acces neautorizat la informații;
- modificarea sau ștergerea fișierelor site-ului;
- instalarea unor programe malițioase;
- întreruperea funcționării site-ului;
- folosirea serverului compromis pentru alte atacuri.
Cele două vulnerabilități au coduri distincte. CVE-2026-109618 este legată de gestionarea incorectă a memoriei atunci când aceasta se epuizează, iar CVE-2026-109619 implică folosirea unei stări interne care nu mai este validă.
Nu este nevoie să cunoști aceste detalii tehnice pentru a înțelege riscul. Important este că vulnerabilitățile afectează PHP însuși, nu doar o anumită extensie sau temă de site.
Sunt afectate site-urile WordPress?
Da, site-urile WordPress pot fi expuse dacă folosesc o versiune PHP vulnerabilă pe serverul lor. Același lucru este valabil pentru alte platforme construite pe PHP, inclusiv magazine online și aplicații web.
Este important să înțelegi că actualizarea WordPress nu înseamnă automat și actualizarea PHP. Sunt două componente diferite.
De exemplu, poți avea WordPress, tema și toate extensiile actualizate, dar site-ul să ruleze în continuare pe o versiune PHP vulnerabilă. Într-o astfel de situație, actualizările platformei nu rezolvă singure problema.
Potrivit informațiilor publicate de Cloudflare, vulnerabilitățile afectează serverele web care rulează PHP 5.4 sau versiuni ulterioare. Configurațiile diferite pot influența riscul, însă administratorii nu ar trebui să presupună că serverul lor este protejat fără să verifice versiunea instalată și recomandările oficiale.
Dacă folosești un serviciu de găzduire și nu administrezi direct serverul, contactează furnizorul și întreabă dacă a instalat actualizările de securitate pentru PHP2shell.
Ce versiuni PHP au primit actualizări de securitate?
Pe 21 octombrie 2026, proiectul PHP a publicat actualizări pentru mai multe ramuri ale limbajului. Versiunile anunțate sunt:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Versiunea potrivită depinde de ramura PHP utilizată de server. Unele distribuții Linux și companii de hosting pot furniza remedierile prin propriile pachete de actualizare.
Dacă administrezi un server, verifică anunțul oficial pentru a identifica versiunea corespunzătoare. Dacă folosești găzduire partajată, cere furnizorului să confirme că a aplicat remedierea.
Nu este recomandat să amâni actualizarea doar pentru că site-ul pare să funcționeze normal. O vulnerabilitate poate exista fără să producă erori vizibile pentru vizitatori. Poți consulta lista oficială a remedierilor în anunțul de securitate PHP.
Atacurile au început înainte de anunțul oficial?
Un detaliu important a apărut în relatările publicate după anunțul inițial: Amazon a identificat activitate suspectă legată de PHP2shell încă din 17 octombrie, cu patru zile înainte de publicarea actualizărilor.
Potrivit informațiilor relatate de The Register, tentativa a fost detectată de rețeaua de sisteme de monitorizare a atacurilor a Amazon, cunoscută drept MadPot. Aceste sisteme sunt concepute pentru a atrage și observa activitatea atacatorilor.
Amazon a precizat că nu este clar cum a obținut atacatorul informațiile necesare înainte ca vulnerabilitățile să fie făcute publice. De asemenea, simpla identificare a unei tentative nu demonstrează că atacul ar fi reușit împotriva unui server real.
Aceste informații ridică însă o problemă importantă: administratorii nu ar trebui să presupună că sistemele lor au fost în siguranță până la publicarea oficială a vulnerabilităților. Dacă ai un server expus la internet, este recomandat să verifici și activitatea din zilele anterioare actualizării, în special dacă există semne neobișnuite în jurnalele serverului.
De ce au existat tensiuni între echipa PHP și Chainguard?
Incidentul a generat și un conflict public între echipa PHP și Chainguard, o companie specializată în securitatea componentelor software.
Potrivit publicației The Register, echipa PHP a criticat compania pentru publicarea unor imagini software care conțineau remedierile înainte de momentul stabilit pentru anunțul oficial. O astfel de publicare poate permite atacatorilor să compare versiunile vechi cu cele corectate și să înțeleagă mai ușor cum poate fi exploatată problema.
Chainguard a oferit o perspectivă diferită, susținând că a acționat în contextul unor informații despre posibile atacuri și al apariției unor dovezi tehnice. Dezacordul evidențiază o problemă dificilă în securitatea informatică: dezvoltatorii au nevoie de timp pentru a pregăti și distribui remedierile, însă utilizatorii au nevoie de protecție cât mai repede.
Pentru proprietarii de site-uri, această dispută are o consecință practică simplă: este important să urmărească sursele oficiale și să instaleze actualizările imediat ce acestea sunt disponibile pentru sistemele lor.
Cum îți protejezi site-ul împotriva PHP2shell?
Nu trebuie să fii specialist în securitate pentru a începe să îți protejezi site-ul. Iată cele mai importante măsuri:
1. Verifică versiunea PHP. Dacă folosești WordPress sau altă platformă web, caută informația în panoul de administrare al serviciului de hosting sau solicită ajutorul furnizorului.
2. Instalează actualizarea de securitate. Dacă serverul folosește o versiune afectată, actualizează la versiunea corectată corespunzătoare. Dacă nu ai acces la server, contactează firma de găzduire.
3. Actualizează WordPress și extensiile. Menținerea platformei la zi este importantă, chiar dacă nu înlocuiește actualizarea PHP.
4. Păstrează copii de siguranță. Realizează backup-uri regulate și păstrează cel puțin o copie separată de serverul principal. Verifică dacă poți restaura site-ul din aceste copii.
5. Verifică activitatea neobișnuită. Dacă observi fișiere modificate fără explicație, redirecționări suspecte sau utilizatori necunoscuți, solicită o verificare tehnică. Actualizarea PHP nu elimină automat eventualele programe malițioase instalate anterior.
6. Nu te baza exclusiv pe protecția oferită de un serviciu de securitate. Unele servicii, inclusiv Cloudflare, pot bloca anumite tentative de exploatare. Aceste măsuri sunt utile, dar nu înlocuiesc actualizarea serverului.
Cloudflare a anunțat că a implementat reguli de protecție pentru clienții care utilizează serviciul său de tip Web Application Firewall (WAF), inclusiv pe planurile gratuite și plătite eligibile. Disponibilitatea protecției depinde însă de utilizarea serviciului și de configurația acestuia.
Dacă există indicii că serverul a fost compromis, simpla instalare a actualizării nu este suficientă. În acest caz, este necesară verificarea sistemului și eliminarea eventualelor componente malițioase.
Ce ar trebui să faci dacă ai un site găzduit la o firmă de hosting?
Dacă nu administrezi direct serverul, nu trebuie să încerci să modifici manual setările tehnice fără să știi ce faci. Contactează furnizorul de găzduire și cere confirmarea următoarelor lucruri:
- ce versiune PHP rulează site-ul;
- dacă actualizarea de securitate PHP2shell a fost instalată;
- dacă au fost verificate eventualele semne de exploatare;
- dacă sunt necesare măsuri suplimentare pentru site-ul tău.
Dacă furnizorul nu poate aplica imediat actualizarea, întreabă ce măsuri temporare recomandă. Pentru sistemele vulnerabile expuse la internet, CERT-EU recomandă izolarea de rețelele publice atunci când remedierea imediată nu este posibilă.
Pentru un site de business, un magazin online sau o platformă care gestionează date importante, este mai bine să clarifici situația din timp decât să aștepți apariția unor probleme.
PHP2shell arată cât de rapid cun site poate deveni vulnerabil
Vulnerabilitățile PHP2shell demonstrează că o problemă tehnică dintr-o componentă folosită pe scară largă poate avea consecințe asupra multor site-uri și servicii online. Raportarea a milioane de tentative de exploatare de către Cloudflare și identificarea unei activități suspecte înainte de anunțul oficial arată că atacatorii pot reacționa foarte repede. Totuși, aceste date nu demonstrează că toate sistemele vulnerabile au fost compromise.
Pentru proprietarii de site-uri, mesajul este clar: verifică versiunea PHP, aplică actualizările disponibile și cere ajutor dacă nu administrezi direct serverul.
Nu uita că securitatea unui site nu depinde doar de platforma pe care o folosești, ci și de tehnologiile care funcționează în spatele acesteia. O verificare făcută la timp poate reduce semnificativ riscul și poate preveni probleme costisitoare.
Surse: Reuters, CERT-EU, PHP.net, Cloudflare, The Register
