Alertă de securitate privind vulnerabilitățile critice în PHP și riscurile pentru site-ul tău

Actualizat la 23 octombrie 2026

Un site poate arăta impecabil și poate funcționa normal, în timp ce tehnologia din spatele lui are nevoie de o actualizare urgentă. Alerta privind două vulnerabilități critice în PHP aduce în atenție tocmai această parte mai puțin vizibilă a prezenței online: mentenanța tehnică.

Potrivit informării DNSC, vulnerabilitățile pot permite executarea de cod de la distanță, fără autentificare. Echipa PHP și CERT-EU confirmă public riscul și disponibilitatea corecțiilor. Pentru firme, magazine online și cabinete medicale care folosesc aplicații PHP, recomandarea este verificarea imediată a infrastructurii și aplicarea actualizărilor necesare.

Ce s-a întâmplat și de ce contează pentru afacerea ta

Pe 21 octombrie 2026 au fost publicate actualizări pentru două vulnerabilități identificate drept CVE-2026-109618 și CVE-2026-109619, fiecare evaluată cu scorul CVSS v4.0 de 9,2 din 10. Acestea afectează PHP, un limbaj utilizat pentru dezvoltarea multor site-uri și aplicații web.

O vulnerabilitate de tip RCE permite unui atacator să execute cod pe sistemul afectat. În acest caz, atacul poate avea loc fără acces la un cont și fără cunoașterea unei parole. Impactul concret depinde de configurația serverului și de drepturile procesului PHP.

Pentru o afacere, consecințele posibile pot include modificarea site-ului, întreruperea serviciilor sau accesul neautorizat la informațiile disponibile aplicației. Acestea sunt scenarii de risc, nu o constatare că toate site-urile vulnerabile au fost compromise.

Faptul că pagina se încarcă normal nu confirmă că serverul este protejat. Nici o parolă puternică de administrator nu remediază o vulnerabilitate care poate fi exploatată înainte de autentificare.

Ce site-uri și aplicații trebuie verificate

Verificarea privește toate instalările PHP care procesează cereri web. CERT-EU menționează și produse care includ PHP în infrastructura proprie, chiar dacă utilizatorul nu vede direct această componentă.

Prin urmare, inventarul trebuie să cuprindă site-ul principal, subdomeniile, magazinele online, formularele, aplicațiile interne accesibile din Internet și mediile de test. Un proiect mai vechi, rămas online după o schimbare de site, poate fi omis cu ușurință.

În cazul unui cabinet medical, întrebarea utilă este dacă site-ul sau platforma de programări folosește PHP și cine răspunde de actualizarea sa. Dacă programările sunt gestionate de un serviciu extern, verificarea trebuie solicitată furnizorului respectiv.

Prezența unui formular medical nu înseamnă automat că întregul sistem al cabinetului este expus. Trebuie stabilit ce date sunt stocate, unde se află acestea și ce acces are aplicația.

Ce trebuie să ceri firmei care îți administrează site-ul

Primul pas este o solicitare clară către administratorul tehnic sau furnizorul de găzduire: identificarea instalărilor afectate, aplicarea corecțiilor și confirmarea rezultatului.

Versiunile publicate pe 21 octombrie pentru remedierea celor două vulnerabilități sunt:

Aceste numere sunt repere pentru corecțiile din 21 octombrie. La momentul intervenției trebuie consultate anunțurile furnizorului pentru eventuale versiuni ulterioare. În unele distribuții Linux, corecția este inclusă în pachet fără schimbarea numărului PHP afișat; confirmarea trebuie să țină cont și de buletinul distribuției.

Conform recomandărilor DNSC furnizate, intervenția trebuie să includă repornirea proceselor relevante și verificarea versiunii efectiv utilizate de aplicație. După actualizare, trebuie testate funcțiile importante: formulare, programări, autentificare și comenzi.

Cere o confirmare scrisă care să precizeze sistemele verificate, corecția aplicată și rezultatul testelor. O formulare precum „am actualizat site-ul” nu explică dacă a fost actualizată și componenta PHP a serverului.

O recomandare suplimentară publicată pe 23 octombrie

Echipa PHP a anunțat un risc suplimentar, asociat unei combinații neobișnuite de configurare și cod, și recomandă dezactivarea temporară a funcției de urmărire a progresului încărcărilor, prin session.upload_progress.enabled=0, până la următoarea versiune regulată de corecții. Administratorul trebuie să verifice aplicabilitatea recomandării și anunțul asociat CVE-2026-115560. Această informare completează actualizările din 21 octombrie.

Ce faci dacă site-ul folosește o versiune veche sau există suspiciuni de atac

PHP 8.1 și versiunile mai vechi au ieșit din suportul oficial obișnuit. Echipa PHP indică existența unor corecții prin distribuții sau furnizori LTS și a unor backport-uri minimale pentru anumite versiuni vechi. Aceste opțiuni trebuie evaluate de administrator, împreună cu migrarea la o ramură suportată.

Pentru PHP 8.2, suportul de securitate se încheie la 31 decembrie 2026. Actualizarea urgentă trebuie însoțită de planificarea migrării.

Dacă actualizarea imediată nu este posibilă, administratorul trebuie să evalueze restrângerea accesului sau izolarea temporară. Măsurile provizorii nu înlocuiesc corecțiile.

DNSC recomandă și verificarea posibilelor compromiteri: fișiere modificate, conturi administrative necunoscute sau activități neobișnuite. Dacă apar indicii, simpla actualizare nu este suficientă. Sunt necesare izolarea sistemului, păstrarea dovezilor și investigarea incidentului de către specialiști.

Fortinet: o verificare separată pentru echipamentele de securitate

Pe 21 octombrie, Fortinet a anunțat actualizări coordonate pentru FortiOS, FortiManager și FortiAnalyzer, programate pentru 22 octombrie, alături de actualizări pentru FortiMail și FortiAuthenticator. Producătorul cere prioritizarea echipamentelor expuse la Internet.

Această informare privește alte produse și alte vulnerabilități decât alerta PHP. Dacă firma folosește soluții Fortinet, echipa IT trebuie să verifice produsul, versiunea și traseul de actualizare recomandat. Fortinet recomandă salvarea configurațiilor și monitorizarea accesului administrativ și a modificărilor neautorizate.

Pentru proprietarul afacerii, acțiunea practică este simplă: cere verificarea atât a site-ului, cât și a echipamentelor administrate de furnizorul IT, cu responsabilități stabilite pentru fiecare.

Un site are nevoie de întreținere pe toată durata utilizării sale. Actualizările, verificările și comunicarea cu furnizorii trebuie să facă parte din administrarea prezenței online.

Nu știi cine se ocupă de mentenanța site-ului tău sau când a fost verificat ultima dată? Contactează echipa Pion Media pentru a discuta despre administrarea și mentenanța acestuia.