Fundația PHP a publicat pe 21 octombrie un patch pentru două vulnerabilități critice din motorul limbajului, iar agențiile de securitate din SUA, Marea Britanie, UE, Singapore și Australia cer operatorilor de site-uri să actualizeze imediat sau să scoată sistemele offline.
Ce este PHP
PHP este un limbaj de scripting server-side, dezvoltat la începutul anilor '90, care generează pagini dinamice, interacționează cu baze de date și rulează logica de backend înainte ca HTML-ul să ajungă în browserul tău. Potrivit Wiz, PHP stă la baza a 70% din site-urile din lume, inclusiv WordPress, Drupal, Joomla și MediaWiki, software-ul din spatele Wikipedia.
PHP nu rulează doar pe site-uri. NCSC avertizează că limbajul este inclus și în echipamente și servicii terțe, iar Daniel Stewart, șeful diviziei de threat intelligence de la LRQA, a declarat pentru BBC că apare frecvent în interfețele de administrare ale echipamentelor de rețea, load balancerelor și dispozitivelor integrate.
Ce este vulnerabilitatea
Breșele, denumite php2shell, sunt grupate sub CVE-2026-109618 și CVE-2026-109619, cu scor CVSS de 9,2 din 10. Ambele pornesc din modul în care PHP gestionează erorile de memorie (out-of-memory) în timpul procesării unei cereri.
- CVE-2026-109618: o eroare OOM întrerupe PHP când datele interne ale cererii sunt doar parțial inițializate, iar curățarea tratează datele invalide ca valide
- CVE-2026-109619: starea internă a unei cereri supraviețuiește după eliberarea memoriei și poate fi reutilizată de următoarea cerere procesată de același worker
- Rezultat: execuție de cod de la distanță fără autentificare sau citirea memoriei procesului, inclusiv parole, tokenuri, chei API și certificate
Wiz a demonstrat RCE fără autentificare pe WordPress, Drupal și Joomla, dar vulnerabilitatea este în PHP, nu în aplicații: chiar și un script "Hello World" pe o versiune neactualizată este expus. Toate versiunile din ultimul deceniu, începând cu PHP 5.4, sunt afectate de cel puțin una dintre breșe.
Rolul AI
Codul vulnerabil exista de peste zece ani, dar transformarea lui într-un exploit funcțional cerea un lanț de pași extrem de complex. Wiz spune că a folosit Wiz Atlas, Gemini 4 Argon și GPT-5.6 Sol, iar un singur cercetător a finalizat într-o săptămână munca care anterior ar fi luat luni unei echipe întregi.
Ryan Austin, cercetător la Calif, a declarat pentru BBC că este "cea mai gravă vulnerabilitate pe care am găsit-o vreodată". Detaliile descoperirii au apărut online înainte de termen, forțând echipa PHP să grăbească anunțul.
Ce s-a întâmplat după dezvăluire
- Wikimedia a oprit preventiv mai multe sisteme
- Guvernul Finlandei, consiliul Edinburgh, agenția olandeză de securitate cibernetică și unele pagini BBC au fost scoase offline
- Universitatea din Geneva a închis preventiv 32 de site-uri
- Orange a suspendat accesul la anumite servicii la nivel global cât timp aplica remedierile
- SoftBank a suspendat temporar alertele de urgență pentru cutremure și tsunami în Japonia, potrivit presei locale
Matthew Prince, CEO Cloudflare, a scris pe X că rețeaua companiei a văzut "mii" de tentative de exploatare în cele 10 ore dinaintea anunțului, zeci de mii în primele 45 de minute după, sute de mii în două ore și milioane în prezent. Amazon a spus că a fost vizat de multiple tentative cu câteva zile înainte de dezvăluirea publică. Până vineri dimineață nu fusese raportat niciun atac reușit.
Ce trebuie să faci
NCSC recomandă patru pași, în ordinea priorității:
- Identifică toate sistemele care rulează PHP, cu prioritate cele expuse la internet, indiferent de versiune
- Actualizează la ultima versiune PHP; dacă nu poți, aplică mitigările temporare publicate de Fundația PHP
- Dacă nici mitigările nu sunt posibile, scoate sistemul offline până la remediere
- Dacă nu poți nici actualiza, nici opri sistemul imediat, verifică-l pentru semne de compromitere și backdoor-uri înainte de upgrade
NSA a cerut tuturor organizațiilor care folosesc PHP să scoată sistemele offline dacă nu pot aplica patch-ul imediat și a avertizat că breșa oferă o "cale directă" către baza de date a sistemului. Dacă site-ul tău este administrat de o firmă de hosting, întreabă dacă patch-ul PHP a fost aplicat: actualizarea WordPress sau a pluginurilor nu rezolvă problema.