Echipa PHP a publicat pe 21 octombrie 2026 actualizări de urgență pentru două vulnerabilități critice, cunoscute împreună sub numele PHP2Shell. Problemele permit, în condițiile descrise de cercetători, executarea de cod de la distanță fără autentificare și accesarea unor informații din memoria serverului. Anunțul a fost însoțit de restricții preventive asupra unor servicii publice online din Germania și de distribuirea unor protecții suplimentare de către furnizorii de infrastructură.
Vulnerabilitățile sunt înregistrate ca CVE-2026-109618 și CVE-2026-109619, fiecare cu un scor de severitate CVSS 4.0 de 9,2 din 10. Ele se află în motorul care execută PHP pe server. Administrarea actualizărilor revine operatorilor infrastructurii și furnizorilor de găzduire, în funcție de cine gestionează mediul în care rulează website-ul.
Servicii retrase preventiv din accesul public
Primăria orașului Rösrath a anunțat pe 21 octombrie că portalul de servicii și sistemul de programări online au fost scoase temporar din funcțiune de furnizorul extern, ca măsură de precauție. Site-ul principal al municipalității a rămas disponibil. Instituția a precizat că serviciile vizate vor reveni după remedierea problemelor și verificarea sistemelor.
Universitatea Heinrich Heine din Düsseldorf a limitat accesul la website-urile și aplicațiile găzduite în propria rețea. Din exteriorul campusului, serviciile restricționate puteau fi accesate prin conexiunea VPN a universității, cu autentificare multifactor. Anunțul instituției descria o măsură preventivă de protecție a datelor, cu redeschiderea individuală a serviciilor actualizate sau confirmate ca neafectate. Aceste comunicări documentează întreruperi controlate de operatori pentru securizare, fără să anunțe compromiterea respectivelor sisteme.
Două erori în gestionarea memoriei PHP
Prima vulnerabilitate, CVE-2026-109618, privește tratarea situațiilor în care PHP rămâne fără memoria necesară procesării unei cereri. Execuția poate fi întreruptă înainte ca anumite structuri interne să fie inițializate complet. La închiderea cererii, motorul ajunge să folosească acele structuri ca și cum ar conține date valide. Buletinul tehnic confirmă executarea de cod prin HTTP împotriva Apache cu mod_php, cu drepturile contului sub care lucrează procesul web.
A doua problemă, CVE-2026-109619, apare când un proces PHP păstrează referințe către memoria unei cereri deja încheiate. O cerere ulterioară, prelucrată de același proces, poate utiliza informațiile rămase înainte de resetarea normală. Buletinul consemnează exploatarea unor mecanisme de sesiune atât în mod_php, cât și în PHP-FPM. Configurația, extensiile și operațiunile aplicației determină traseul concret de exploatare.
PHP include în aria de risc instalațiile care procesează cereri web prin PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Echipa indică riscul cel mai ridicat pentru mod_php, unde atacul demonstrat poate începe înaintea executării codului aplicației. Afectarea motorului PHP explică de ce problema privește mai multe platforme de administrare a conținutului, nu un singur produs sau plugin.
Versiunile corectate au fost publicate
Versiunile de securitate anunțate sunt PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35, corespunzătoare celor patru ramuri întreținute. Potrivit Google Cloud, vulnerabilitățile ajung până la versiuni din seria PHP 5.4. Numărul versiunii trebuie interpretat împreună cu informațiile distribuitorului: furnizorii Linux și cei de suport pe termen lung au primit corecțiile în avans pentru pregătirea propriilor pachete.
PHP 8.1 și versiunile anterioare au ieșit din suportul obișnuit al proiectului. Echipa PHP a pus totuși la dispoziție corecții minimale la nivel de cod sursă pentru PHP 7.4, 8.0 și 8.1, destinate celor care compilează software-ul sau lucrează cu furnizori specializați. Existența acestor modificări în cod nu echivalează cu o nouă versiune oficială completă pentru fiecare ramură veche.
Plesk a anunțat, la rândul său, pachete corectate pentru ramurile PHP întreținute și pentru versiunile Linux 7.4.33, 8.0.30 și 8.1.34. Pentru aceste trei versiuni vechi, furnizorul păstrează numărul versiunii și diferențiază pachetul remediat prin data compilării, 21 octombrie 2026. Verificarea pachetului instalat include, în acest caz, și informația despre compilare.
Teste pe platforme cunoscute și tentative observate în rețea
Wiz Research a anunțat demonstrații de executare de cod fără autentificare pe instalații WordPress, Drupal și Joomla, folosind imaginile de containere disponibile la momentul testelor. Cercetătorii au demonstrat separat citirea unor date din memoria procesului PHP, inclusiv parole, tokenuri și chei API. Acestea sunt rezultate ale testelor descrise de echipă, distincte de o statistică privind numărul website-urilor compromise.
Amazon Threat Intelligence a raportat o tentativă de exploatare înregistrată pe 17 octombrie de rețeaua sa de senzori MadPot, cu patru zile înaintea divulgării publice. Compania a observat și alte tentative în dimineața de 21 octombrie, precum și utilizarea rapidă a unor demonstrații de exploatare după publicare. Amazon recomandă investigarea jurnalelor începând cel puțin cu 17 octombrie, inclusiv verificarea proceselor neașteptate și a modificărilor de fișiere de pe serverele web.
Protecții suplimentare în infrastructura de găzduire
Cloudflare afirmă că a activat automat protecții pentru clienții care folosesc firewall-ul său pentru aplicații web, inclusiv planul gratuit, pe 21 octombrie, de la 03:02 UTC. Compania a raportat trafic de atac și modificări ale cererilor folosite pentru încercarea de ocolire a filtrelor. Noile detecții corelează informații din cerere cu răspunsul serverului, putând bloca un răspuns identificat ca periculos înainte să ajungă la solicitant.
Google Cloud a precizat că infrastructura platformei sale nu este vulnerabilă, în timp ce aplicațiile PHP găzduite de clienți pot necesita intervenție. Actualizarea automată depinde de serviciu și de configurare: aplicațiile eligibile din App Engine Standard primesc actualizări, iar imaginile proprii de containere trebuie reconstruite și redistribuite cu PHP corectat. Pentru Cloud Run, compania diferențiază serviciile cu actualizarea automată a imaginilor de bază activată de cele care necesită reconstruire și redistribuire.
Publicarea corecțiilor a fost devansată cu o zi
PHP Foundation a explicat că identificatorii vulnerabilităților au început să circule public pe 20 octombrie, înaintea calendarului coordonat. Proiectul a mutat lansarea de la 22 octombrie, ora 14:00 UTC, la 21 octombrie, aceeași oră, adică 17:00 în România. Fundația descrie și publicarea accidentală a unei demonstrații video, care a adăugat presiune asupra procesului de distribuire a corecțiilor.
Corecția completă rămâne actualizarea motorului PHP utilizat efectiv de aplicație. Cloudflare precizează că simpla actualizare a codului website-ului sau a pluginurilor nu repară aceste vulnerabilități. În serviciile de mentenanță a website-urilor, intervenția privește astfel și mediul serverului, separat de actualizările platformei de conținut. Filtrele de trafic și restricțiile temporare descrise de furnizori completează instalarea versiunilor corectate.
