Două vulnerabilități critice ascunse de peste un deceniu în PHP, limbajul pe care rulează 69,3% dintre site-urile cu tehnologie server-side cunoscută, potrivit W3Techs, au forțat în această săptămână companiile din toată lumea să își actualizeze de urgență sistemele.
Breșele, botezate PHP2Shell și înregistrate ca CVE-2026-109618 și CVE-2026-109619, au fost făcute publice pe 20 octombrie. Echipa PHP a lansat update-urile a doua zi, cu 24 de ore mai devreme decât plănuise. CERT-EU le-a evaluat pe amândouă cu scorul CVSS de 9,2: în anumite condiții, un atacator poate rula cod pe server de la distanță, fără autentificare, și poate citi din memorie parole, chei API sau certificate.
Calif, firmă californiană de AI red-teaming, spune că comportamentul defect a fost semnalat într-un bug report încă din 2020. În 2024, la primul audit extern de securitate al PHP, un dezvoltator din echipa de bază a observat primele semne, confirmă PHP Foundation, dar nu s-a găsit o cale concretă de exploatare și patch-ul a fost amânat. Calea a găsit-o, în august, inteligența artificială: Wiz, Google, OpenAI și Calif au identificat vulnerabilitățile cu ajutorul modelelor AI și le-au ținut confidențiale până la pregătirea update-urilor.
Riscul nu ține de calitatea codului scris de fiecare companie, ci de platforma pe care rulează aplicațiile. Amazon Threat Intelligence a înregistrat o primă tentativă de exploatare pe 17 octombrie, cu patru zile înainte de dezvăluirea publică. Evaluările s-au nuanțat apoi: Sansec, specializată în securitatea platformelor de e-commerce, consideră o exploatare în masă mai puțin probabilă, pentru că atacul cere cunoștințe specifice despre serverul vizat, în timp ce watchTowr a raportat tentative active. Wikimedia Foundation a scos temporar din funcțiune o parte din sisteme, iar în România, DNSC a emis o alertă.
Expunerea cea mai mare rămâne în versiunile vechi. Update-urile oficiale acoperă PHP 8.2 până la 8.5, în timp ce pentru 7.4, 8.0 și 8.1, ajunse la end-of-life, există doar backport-uri minimale de cod sursă, pe care fiecare echipă trebuie să le integreze și să le testeze. Potrivit W3Techs, versiunea 7 rulează încă pe 26,9% dintre site-urile PHP, iar versiunea 5 pe 7,7%.
„Versiunile vechi sunt locul în care riscul rămâne după ce trece urgența. Fiecare sistem care rulează PHP 8.1 sau mai vechi are nevoie de un plan clar, fie de migrare pe o versiune suportată, fie de măsuri extra preventive până la o soluție definitivă”, spune Marius Bălteanu, CIO Zitec.
Compania de software spune că a aplicat reguli de WAF pe proiectele clienților înainte de publicarea update-urilor oficiale, iar după lansarea lor, pipeline-urile automate au generat în 15 minute imaginile actualizate pentru fiecare proiect. Zitec raportează zero atacuri confirmate până la data comunicatului.
Săptămâna a mai adus un incident: cheile private a opt certificate eMudhra au fost compromise, iar browserele majore le-au blocat. Pentru aplicațiile care nu se actualizează singure, listele de certificate de încredere trebuie actualizate explicit, indiferent dacă rulează sau nu pe PHP.
„Într-o situație ca aceasta, diferența o face munca făcută cu mult înainte. Când update-ul oficial a apărut, automatizarea l-a dus pe toate proiectele, iar echipa s-a putut concentra pe verificare și pe comunicarea cu clienții”, adaugă Marius Bălteanu.
Fii la curent cu tot ce contează în business-ul din România și abonează-te la canalul nostru de Whatsapp Forbes Romania.
De asemenea, intră în comunitatea Forbes România de pe Facebook și urmărește cele mai importante știri, analize și noutăți din business-ul local și nu numai.
