Două vulnerabilități critice ale limbajului de programare PHP ar putea permite atacatorilor să execute cod malițios pe servere vulnerabile fără a se autentifica, iar organizațiile care nu pot aplica la timp actualizările ar trebui să ia în calcul scoaterea temporară offline a site-urilor afectate, avertizează CERT-EU.
Echipa de dezvoltare PHP a programat pentru miercuri, ora 17:00, două remedieri urgente, după apariția online a unor informații despre vulnerabilități înaintea dezvăluirii oficiale.
Cele două probleme au primit fiecare un scor de gravitate de 9,2 din 10 pe scala CVSS v4.0 și sunt identificate prin codurile CVE-2026-109618 și CVE-2026-109619.
Gravitatea situației este amplificată de utilizarea pe scară largă a PHP, care stă la baza multor site-uri, magazine online și aplicații web. Limbajul este folosit inclusiv de platforme precum WordPress, Drupal, Joomla și Magento, precum și de servicii de găzduire și instrumente de administrare a serverelor.
CERT-EU a recomandat organizațiilor să identifice sistemele afectate și să pregătească instalarea imediată a remedierilor. Pentru infrastructurile în care actualizarea nu poate fi aplicată la timp, agenția europeană recomandă luarea în considerare a suspendării temporare a site-urilor vulnerabile, pentru reducerea riscului de compromitere.
Atacatorii ar putea executa cod fără autentificare
Executarea de cod de la distanță (RCE) este o vulnerabilitate care poate permite unui atacator să ruleze comenzi sau programe pe un sistem prin intermediul unei conexiuni la distanță. În scenariul evaluat de autoritățile de securitate cibernetică, exploatarea fără autentificare ar putea permite atacuri fără ca persoana care le inițiază să aibă nevoie de un cont pe sistemul vizat.
Consecințele ar putea include furtul de date, modificarea neautorizată a paginilor web și compromiterea serverelor. Amploarea efectelor ar depinde de condițiile de exploatare și de configurația sistemelor afectate.
Informațiile despre vulnerabilități au apărut online înaintea datei inițiale de dezvăluire. Cercetătorii de la firma de securitate watchTowr au confirmat existența problemelor și au afirmat că au reprodus cel puțin una dintre ele. În mediul online a circulat și o demonstrație a unui instrument denumit „PHP2Shell”, despre care s-a susținut că poate exploata servere ce rulează PHP.
Potrivit CERT-EU și Centrului Australian pentru Securitate Cibernetică, toate versiunile PHP începând cu PHP 5 ar putea fi afectate.
Administratorii sunt îndemnați să pregătească actualizările
Echipa PHP le-a recomandat utilizatorilor să se pregătească din timp, astfel încât să poată instala remedierile imediat după publicare. Dezvoltatorii au precizat că ar putea lansa actualizările înaintea orei stabilite dacă detaliile tehnice devin publice sau apar dovezi de exploatare activă.
Administratorii ar trebui să inventarieze serverele și aplicațiile care folosesc PHP, să stabilească cine răspunde de actualizarea infrastructurii și să pregătească o fereastră de mentenanță. De asemenea, este recomandată realizarea unor copii de siguranță pentru fișiere și baze de date, precum și verificarea jurnalelor și monitorizarea activității suspecte.
Organizațiile care folosesc servicii de găzduire administrate de terți sunt îndemnate să contacteze furnizorii și să solicite aplicarea remedierilor imediat ce acestea devin disponibile. Actualizarea trebuie verificată la nivelul infrastructurii PHP, nu doar prin modificarea codului unui site.
Într-un avertisment separat, Centrul Australian pentru Securitate Cibernetică a precizat că, la momentul publicării recomandării, nu avea cunoștință de exploatări active ale acestor vulnerabilități. Absența unor cazuri confirmate nu elimină însă riscul, mai ales în condițiile în care informații despre probleme au circulat înaintea publicării patchurilor.