- Pe 21 octombrie 2026 au fost publicate remedieri pentru două vulnerabilități critice PHP, cunoscute ca PHP2Shell.
- Verificarea se face la nivelul găzduirii, inclusiv pentru site-uri care par să funcționeze normal.
- Cere confirmarea remedierii pentru versiunea PHP folosită efectiv de fiecare site, nu doar confirmarea că WordPress sau modulele sunt la zi.
Magazinul se deschide, comenzile intră, certificatul SSL este valid. Nimic din aceste lucruri nu confirmă că software-ul de pe server are ultimele actualizări de securitate. Unele probleme nu schimbă aspectul site-ului și nu apar în lista de actualizări din administrare.
Așa trebuie privită și alerta PHP din octombrie 2026. Nu este un motiv să schimbi platforma în grabă, dar este un motiv să verifici acum cine administrează găzduirea și dacă a aplicat remedierea. Mai jos explicăm ce afectează PHP2Shell, cum verifici situația și ce testezi după actualizare.
Ce sunt vulnerabilitățile PHP2Shell
PHP este software-ul care execută codul multor site-uri și magazine online pe server. Înainte să vezi pagina în browser, el poate prelucra cererea, citi informații și construi răspunsul. O problemă aici este diferită de o eroare dintr-o temă sau dintr-un modul.
Cele două vulnerabilități sunt identificate prin CVE-2026-109618 și CVE-2026-109619. Prima ține de gestionarea memoriei când o cerere depășește limita disponibilă. A doua implică informații interne rămase dintr-o cerere anterioară, folosite după eliberarea memoriei. Detaliile sunt publicate în primul aviz PHP și în avizul pentru starea internă persistentă.
În condițiile descrise de dezvoltatori, problemele pot permite executarea de cod de la distanță fără autentificare. Cu alte cuvinte, atacatorul poate ajunge să ruleze instrucțiuni cu drepturile procesului care servește site-ul. Nu înseamnă automat acces de administrator la întregul server, dar impactul potențial este serios.
CERT-EU clasifică ambele vulnerabilități ca fiind critice, cu scor 9,2, și recomandă aplicarea imediată a actualizărilor. Faptul că o instalație este vulnerabilă nu dovedește, singur, că a fost compromisă.
Ce site-uri și magazine online trebuie verificate
Verificarea nu se limitează la o anumită platformă. WordPress și WooCommerce, PrestaShop, Magento, OpenCart, Drupal, Joomla și aplicațiile construite la comandă pot folosi PHP. Contează versiunea și configurația care rulează efectiv aplicația, nu doar numele platformei.
Anunțul oficial PHP include instalațiile care răspund cererilor web: PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Riscul este considerat cel mai ridicat pentru mod_php, unde a fost demonstrat un atac declanșat înainte de executarea codului aplicației. Folosirea PHP-FPM nu reprezintă o confirmare că site-ul este protejat.
Echipa WordPress explică faptul că remedierea trebuie făcută în PHP, nu printr-o actualizare WordPress dedicată acestei probleme. Și PrestaShop recomandă verificarea și actualizarea mediului PHP.
La o platformă găzduită de furnizor, precum Shopify, administrarea software-ului de bază revine furnizorului. Nu presupune însă că toate componentele din jurul magazinului sunt acoperite: o aplicație externă pentru stocuri, un portal separat sau o integrare proprie poate rula PHP pe alt server.
Ce versiuni PHP conțin remedierea
Acestea sunt primele versiuni oficiale corectate în ramurile întreținute, publicate pe 21 octombrie 2026. Alege versiunea corectată potrivită aplicației, împreună cu administratorul găzduirii.
| Ramură | Versiune corectată | Ce verifici |
|---|---|---|
| PHP 8.2 | 8.2.35 | Pachetul activ și planul de actualizare ulterioară. |
| PHP 8.3 | 8.3.36 | Aplicarea remedierii la toate site-urile din această ramură. |
| PHP 8.4 | 8.4.27 | Compatibilitatea extensiilor și repornirea proceselor. |
| PHP 8.5 | 8.5.12 | Pachetul folosit de site, nu doar cel disponibil în panou. |
Pe mobil, poți glisa tabelul orizontal.
Există o nuanță importantă: un furnizor poate integra remedierea într-un pachet mai vechi fără să schimbe numărul principal afișat. De exemplu, Plesk documentează astfel de pachete pentru anumite versiuni vechi. Cere identificarea completă a pachetului și confirmarea pentru cele două CVE-uri; o captură cu „PHP 8.1” nu este suficientă pentru un verdict.
PHP 8.1 și versiunile anterioare nu mai au suport oficial obișnuit. Remedierile excepționale sau suportul unui furnizor nu schimbă această situație. Conform calendarului PHP, și suportul de securitate pentru PHP 8.2 se încheie pe 31 decembrie 2026. Rezolvă urgența, apoi planifică trecerea pe o ramură susținută.
Cum verifici situația la furnizorul de hosting
Începe cu o listă a domeniilor și aplicațiilor: magazinul principal, blogul separat, subdomeniile și mediile de test accesibile public. Un cont de găzduire poate folosi versiuni PHP diferite pentru fiecare dintre ele.
Poți vedea informațiile despre server în zona de diagnostic a platformei sau în panoul găzduirii. Totuși, confirmarea trebuie să privească procesul care răspunde vizitatorilor. O versiune afișată în linia de comandă poate fi diferită de versiunea folosită de site.
Mesaj pe care îl poți trimite găzduirii: „Vă rog să confirmați dacă instalația PHP folosită de domeniul meu are remedierile pentru CVE-2026-109618 și CVE-2026-109619. Ce versiune și pachet rulează efectiv site-ul? Au fost repornite procesele după actualizare? Verificarea include toate subdomeniile și versiunile PHP active din cont?”
Un răspuns precum „serverul are actualizări automate” descrie o setare, nu rezultatul acestei intervenții. Păstrează confirmarea concretă și data ei. Dacă ai server administrat separat, stabilește cine aplică actualizarea și cine verifică magazinul după aceea.
Cum actualizezi fără să ignori funcționarea magazinului
Scopul este să elimini vulnerabilitatea și să păstrezi funcțiile comerciale în regulă. Recomandăm o intervenție coordonată între găzduire și persoana care întreține aplicația, cu verificări scurte și clare:
- Pregătește o copie de siguranță. Include fișierele, baza de date și configurația necesară restaurării. Verifică unde se află copia și cine o poate folosi.
- Confirmă compatibilitatea. Pentru remedierea urgentă, verifică mai întâi actualizarea disponibilă în ramura folosită. Trecerea între ramuri poate necesita teste suplimentare pentru module și extensii.
- Aplică remedierea peste tot unde este necesar. Administratorul trebuie să includă toate procesele și mediile active, nu doar o versiune instalată care nu deservește magazinul.
- Confirmă repornirea sau recrearea mediilor. Fișierele actualizate pe disc nu sunt singura verificare; procesele active trebuie să folosească software-ul corectat.
- Testează parcursul clientului. Verifică produsele, coșul, finalizarea comenzii, autentificarea, formularele și legăturile cu plata, curierul și facturarea, folosind modurile de test disponibile.
Verifică și erorile apărute după intervenție. Dacă o extensie nu mai funcționează, investighează compatibilitatea; revenirea pe o versiune vulnerabilă nu este o rezolvare de durată. Pentru organizarea acestor intervenții, vezi serviciul de mentenanță website.
Există atacuri și ce faci dacă observi ceva suspect
Amazon Threat Intelligence a raportat tentative observate din 17 octombrie 2026, înaintea publicării remedierilor, și extinderea tentativelor ulterior. Observarea unei tentative nu dovedește succesul ei pe un anumit site, dar arată de ce verificarea nu trebuie amânată.
Dacă există suspiciuni, cere analiza jurnalelor serverului și a modificărilor de fișiere, inclusiv pentru perioada anterioară actualizării. Procesele neobișnuite, conturile necunoscute sau fișierele apărute fără o intervenție explicată merită investigate. Nu șterge în grabă dovezile înainte ca administratorul să le păstreze.
Instalarea remedierii închide problema cunoscută, dar nu elimină automat un acces obținut anterior. La un incident confirmat, recuperarea și schimbarea credențialelor expuse se stabilesc separat. Dacă remedierea nu poate fi aplicată, CERT-EU recomandă luarea în calcul a izolării aplicațiilor expuse public până la aplicarea și verificarea ei.
Întrebări frecvente despre actualizarea PHP
Am actualizat WordPress și toate modulele. Este suficient?
Nu pentru aceste vulnerabilități. PHP se actualizează la nivelul găzduirii. Actualizările platformei rămân importante, dar trebuie verificate separat.
Certificatul SSL sau un modul de securitate mă protejează?
SSL protejează conexiunea, nu repară PHP. Un modul nu înlocuiește remedierea, mai ales când problema poate fi declanșată înainte să ruleze aplicația. Filtrarea traficului poate fi o măsură suplimentară, nu dovada că serverul este corectat.
Dacă nu am erori și comenzile funcționează, pot aștepta?
Funcționarea normală nu confirmă absența vulnerabilității. Cere confirmarea găzduirii și stabilește intervenția cât mai repede.
Trebuie să schimb platforma magazinului?
Nu rezultă această necesitate din alertă. Primul pas este verificarea și remedierea mediului existent. O migrare este o decizie separată, bazată pe nevoile afacerii și pe posibilitatea de a întreține aplicația.
Nu știi ce versiune folosește site-ul tău?
Trimite-ne adresa site-ului și informațiile disponibile despre găzduire. Putem verifica situația tehnică și stabili ce actualizări și teste sunt necesare, indiferent de platforma folosită.
Cere o verificare tehnicăSurse și data verificării
Informații verificate la 23 octombrie 2026. Articolul explică alerta și pașii de verificare; nu reprezintă un diagnostic al unui anumit server. Anunțurile furnizorilor pot fi actualizate după această dată.