Breșa PHP2Shell scoate site-uri guvernamentale europene offline

Site-uri guvernamentale din Franța, Olanda și Finlanda au fost scoase preventiv din funcțiune miercuri, după ce cercetătorii în securitate cibernetică au dezvăluit două vulnerabilități critice de execuție de cod la distanță în PHP — limbajul de programare utilizat de aproximativ 80% din site-urile web mondiale. Patch-urile de urgență au fost lansate la ora 17:00 (ora României), dar riscul persistă pentru instalările fără patch aplicat.

PHP2Shell: execuție de cod neautentificată, scor 9,2 din 10

Cele două vulnerabilități, catalogate CVE-2026-109618 și CVE-2026-109619 și botezate colectiv PHP2Shell, permit unui atacator fără niciun fel de credențiale să execute cod arbitrar pe serverul victimei. Ambele au primit un scor ridicat de criticalitate: 9,2 din 10 pe scara CVSS v4.0.

Conform cercetătorilor de la Huntress și Sansec, care au documentat vulnerabilitățile, prima vulnerabilitate exploatează o eroare de gestionare a memoriei: dacă PHP rămâne fără memorie în timp ce procesează o cerere HTTP cu fișiere atașate, procesul se oprește lăsând date parțial inițializate. La curățarea ulterioară, acele date sunt tratate ca valide, deschizând calea spre execuție de cod. A doua vulnerabilitate, de tip use-after-free, exploatează faptul că PHP păstrează starea unei cereri după ce memoria asociată a fost eliberată.

Sunt afectate toate versiunile PHP de la 5.4 în sus, inclusiv PHP 7 și PHP 8, în toate modurile de rulare — PHP-FPM, Apache mod_php, php-cgi și altele. Palo Alto Networks a identificat peste 22,6 milioane de instalări PHP potențial vulnerabile expuse pe internet.

Franța, Olanda și Finlanda au optat pentru offline preventiv

Fără a aștepta certitudinea unui atac, mai multe guverne europene au ales să ia site-urile offline înainte de disponibilitatea patch-urilor. Ministerul de Interne al Franței a confirmat că a deconectat site-urile administrative ale guvernelor locale. Guvernul Finlandei a luat offline toate serviciile publice cu expunere la internet. Agenția națională de securitate cibernetică a Olandei (NCSC-NL) și-a luat propriul site offline, anunțând că a procedat astfel din precauție.

Echipa PHP a confirmat că a accelerat publicarea patch-urilor după ce detalii despre vulnerabilități au circulat online înainte de data planificată a divulgării coordonate.

DNSC a emis alertă pentru România

Directoratul Național de Securitate Cibernetică a publicat o alertă oficială pentru toți administratorii de site-uri din România care utilizează PHP, cu nivel critic de gravitate. Recomandarea este actualizarea imediată la una dintre versiunile remediate: PHP 8.2.35, 8.3.36, 8.4.27 sau 8.5.12.

Site-urile care rulează PHP 8.1 sau versiuni mai vechi nu vor primi patch — aceste versiuni nu mai beneficiază de suport oficial. Administratorii afectați trebuie să migreze urgent la PHP 8.2 sau mai nou. Până la aplicarea actualizării, alternativa este suspendarea temporară a serviciului.

Contextul intern de securitate cibernetică este deja tensionat: în urmă cu câteva zile, un atac ransomware a vizat RADIOCOM, cu DNSC intervenind la fața locului pentru a limita pagubele.

Cloudflare a activat protecții, fără compromitere confirmată

Cloudflare a implementat reguli WAF de urgență cu nouă ore înaintea dezvăluirii publice, după ce a primit informații prealabile despre vulnerabilități. La ora 07:43 UTC pe 21 octombrie, platforma a detectat primele tentative de exploatare activă și a activat blocarea automată pentru toți utilizatorii, inclusiv pe planul gratuit. Cloudflare precizează că, la momentul publicării patch-urilor, nu fusese confirmată public nicio compromitere reușită.

Agențiile de securitate cibernetică din Europa, Australia, Japonia și Marea Britanie au emis recomandări urgente de actualizare.