← ÎNAPOI LA HUB

Alertă de securitate · PHP

PHP2Shell: vulnerabilitatea critică din PHP care pune în pericol milioane de site-uri. Ce trebuie să faci azi

CVSS 9,2 · CRITIC New Line Solutions

Pe scurt

2vulnerabilități critice
9,2scor CVSS, critic
0conturi sau parole necesare
21.10patch disponibil
  • Două defecte în motorul PHP permit preluarea serverului, fără cont și fără parolă.
  • PHP rulează aproximativ 70% din site-urile lumii, deci zeci de milioane de site-uri: WordPress, WooCommerce, Laravel, PrestaShop, Magento.
  • Soluția: actualizează PHP la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35.
  • Hosting-ul New Line Solutions e deja actualizat; pentru VPS-uri și alte servere, te ajutăm noi.

Pe 21 octombrie 2026, echipa PHP a publicat de urgență actualizări pentru două vulnerabilități critice, numite generic PHP2Shell. Detaliile au scăpat online înainte de anunțul oficial, iar primele tentative de atac au fost observate chiar înainte de publicarea patch-ului.

Dacă site-ul, magazinul online sau aplicația ta rulează pe PHP (asta include WordPress, WooCommerce, Laravel, PrestaShop, Magento și majoritatea site-urilor din România), subiectul te privește direct.

Ce este PHP2Shell?

Sunt două defecte de memorie în motorul PHP, nu în codul site-ului tău:

CVE-2026-109618Când PHP rămâne fără memorie în mijlocul unei cereri, poate lăsa în urmă date interne pe jumătate inițializate, pe care le tratează apoi ca valide.
CVE-2026-109619Anumite informații interne „supraviețuiesc” după ce memoria lor a fost eliberată, iar cererea următoare care ajunge la același proces le poate folosi.

Defectele existau de peste 10 ani și afectează practic orice versiune din ultimul deceniu, de la PHP 5.4 încoace. Au fost descoperite de Wiz Research, împreună cu echipa PHP, Calif și OpenAI. Un detaliu interesant: cercetătorii spun că modelele AI au redus mult efortul necesar pentru găsirea lor.

Ambele au scor CVSS 9,2 (critic). Un atacator le poate exploata fără cont, fără parolă și fără nicio acțiune din partea ta, cu cereri trimise special către server, înainte să ruleze orice linie din aplicația ta.

Asta înseamnă că nici un site WordPress perfect actualizat nu e protejat dacă versiunea de PHP de pe server e veche.
Schemă: atacatorul trimite o cerere specială către server; atacul lovește motorul PHP înainte ca aplicația (WordPress, magazinul online) să ruleze, iar atacatorul obține acces la server.
Atacul lovește motorul PHP, înainte ca aplicația ta să apuce să ruleze.

Pe cine afectează?

Practic orice server care rulează PHP pentru web:

  • PHP-FPM
  • Apache cu mod_php cel mai expus
  • php-cgi
  • LiteSpeed
  • FrankenPHP

Problema pare să existe încă din seria PHP 5, iar ramurile vechi (5.x, 7.x, 8.0, 8.1) nu mai primesc actualizări oficiale complete.

Atacul a fost demonstrat pe WordPress, Drupal și Joomla.

Ce se poate întâmpla, concret?

Ilustrație: un server compromis prin PHP2Shell poate duce la pierderea datelor clienților, a parolelor și cheilor, a reputației în Google, la e-mailuri blocate ca spam și la site căzut.
Un singur server compromis atinge date, parole, reputație, e-mail și vânzări.

  • Primește un shell

    Atacatorul rulează propriul cod pe serverul tău, adică „primește un shell”, de unde vine și numele.

  • Îți citește parolele

    Poate citi fișiere de configurare, inclusiv parolele bazei de date (wp-config.php, .env).

  • Fură datele clienților

    Comenzi, adrese, e-mailuri, cu tot riscul GDPR care decurge de aici.

  • Instalează cod malițios

    Backdoor-uri, pagini de phishing sau scripturi de minat criptomonede.

  • Îți strică reputația

    Redirecționează vizitatorii spre site-uri malițioase, iar Google te poate marca drept periculos.

  • Trimite spam de pe serverul tău

    IP-ul ajunge pe liste negre, iar e-mailurile tale nu mai ajung la clienți.

  • În cel mai rău caz

    Site-ul e jos, datele sunt criptate sau șterse și pierzi zile de vânzări.

Cum te protejezi

Ilustrație: scut cu bifă și patru pași de protecție: actualizează PHP la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35; reguli WAF temporare; verifică dacă ai fost atacat; schimbă parolele și cheile.
Actualizarea PHP e singura soluție completă. Restul pașilor te ajută până atunci și după.

  1. Actualizează PHP imediat

    Treci la una dintre versiunile corectate:

    8.5.128.4.278.3.368.2.35

    Pe hosting partajat, cere confirmarea scrisă de la furnizor.

  2. Ești pe PHP 8.1 sau mai vechi? Planifică migrarea

    Pentru aceste versiuni există doar corecții minimale, pentru cei care compilează PHP din sursă.

  3. Măsuri temporare, doar până la update

    După testare: dezactivarea session.upload_progress și a OPcache în php.ini, plus reguli WAF. Mai mulți furnizori (Cloudflare, Fastly, Vercel) au activat protecții temporare; la Cloudflare, inclusiv pe planul gratuit.

    Atenție: WAF-ul nu înlocuiește actualizarea. Singura remediere completă este actualizarea PHP.

  4. Verifică dacă ai fost deja atacat

    Semne de urmărit:

    • procese necunoscute pe server
    • fișiere PHP modificate recent
    • conexiuni ieșite neobișnuite
    • erori repetate de server (HTTP 500)
    • cereri neobișnuite de upload de fișiere, urmate de erori de memorie
    • cookie-uri de sesiune neobișnuit de mari
    • procese PHP care se repornesc singure

    Logurile aplicației pot să nu arate mare lucru, așa că monitorizarea la nivel de server contează.

  5. Schimbă parolele și cheile

    Bază de date, API, SMTP, dacă găsești semne de compromitere.

  6. Nu poți actualiza rapid? Scoate serverul temporar offline

    Aceasta este și recomandarea centrului național de securitate cibernetică al Marii Britanii (NCSC).

Ce versiune îți trebuie

Ai acumTreci laCe faci
PHP 8.28.2.35Actualizezi
PHP 8.38.3.36Actualizezi
PHP 8.48.4.27Actualizezi
PHP 8.58.5.12Actualizezi
PHP 8.1 sau mai vechi8.2 +Migrezi

PHP 5 și 7 nu primesc patch oficial. Pentru 8.1 și mai vechi există doar corecții minimale, pentru cei care compilează PHP din sursă.

Cum te ajută New Line Solutions

Ne ocupăm zilnic de hosting, mentenanță și dezvoltare pe PHP și WordPress. Pentru PHP2Shell îți oferim:

  • verificare rapidă a versiunii de PHP și a configurației serverului tău;
  • actualizare sau migrare pe o versiune sigură, cu test de compatibilitate pentru teme și pluginuri;
  • măsuri temporare de protecție (configurare, WAF) acolo unde actualizarea durează;
  • audit post-incident: căutare de backdoor-uri, curățare, schimbare credențiale;
  • mentenanță continuă, ca la următoarea vulnerabilitate să fii deja protejat.
Am actualizat deja infrastructura de hosting administrată de noi. Ai un VPS, un server propriu sau un site găzduit în altă parte? Te ajutăm să-l verifici și să-l actualizezi.

Surse

Informațiile din articol vin din analizele publicate de:

  1. Wiz Researchwiz.io (se deschide într-o filă nouă)
  2. Help Net Securityhelpnetsecurity.com (se deschide într-o filă nouă)
  3. watchTowrwatchtowr.com (se deschide într-o filă nouă)
  4. SecurityWeeksecurityweek.com (se deschide într-o filă nouă)
  5. Cloudflareblog.cloudflare.com (se deschide într-o filă nouă)
  6. BleepingComputerbleepingcomputer.com (se deschide într-o filă nouă)