În 21 octombrie 2026 au fost dezvăluite două vulnerabilități critice în PHP, cunoscute sub numele de PHP2Shell, care pot permite atacatorilor să execute cod pe servere fără autentificare. Echipa Hosteaza.Com a intervenit încă din prima zi pentru remedierea acestor vulnerabilități pe infrastructura administrată. Explicăm ce riscuri există, ce actualizări sunt disponibile și cum puteți verifica propriile servere VPS sau dedicate.
1. Ce este PHP2Shell și de ce reprezintă un risc major?
PHP2Shell este denumirea atribuită vulnerabilităților CVE-2026-109618 și CVE-2026-109619, descoperite în mecanismele interne de gestionare a memoriei din PHP. Ambele au primit un scor de severitate CVSS 9.2 din 10, fiind clasificate drept critice.
Spre deosebire de vulnerabilitățile unor aplicații precum WordPress sau Joomla, aceste probleme afectează direct interpretorul PHP. Prin urmare, actualizarea aplicației web nu este suficientă dacă versiunea PHP instalată pe server rămâne vulnerabilă.
- CVE-2026-109618: gestionarea incorectă a memoriei în situații de epuizare a acesteia poate permite executarea de cod la distanță.
- CVE-2026-109619: reutilizarea unor referințe către memorie deja eliberată poate permite compromiterea proceselor PHP.
Atacurile pot viza servere care folosesc Apache cu mod_php, PHP-FPM, LiteSpeed, php-cgi sau alte implementări PHP expuse prin intermediul aplicațiilor web.
În anumite condiții, exploatarea este posibilă fără autentificare, iar atacatorul poate obține drepturile procesului PHP afectat. Acest lucru poate conduce la accesarea fișierelor, modificarea aplicațiilor sau compromiterea datelor accesibile utilizatorului respectiv.
Detaliile oficiale sunt disponibile în anunțul de securitate PHP din 21 octombrie 2026.
2. Ce versiuni PHP sunt afectate și care sunt corectate?
Pe 21 octombrie 2026, echipa PHP a publicat actualizări de securitate care remediază cele două vulnerabilități inițiale.
| Versiune PHP | Versiuni vulnerabile | Prima versiune corectată |
|---|---|---|
| PHP 8.5 | 8.5.11 și anterioare | 8.5.12 |
| PHP 8.4 | 8.4.26 și anterioare | 8.4.27 |
| PHP 8.3 | 8.3.35 și anterioare | 8.3.36 |
| PHP 8.2 | 8.2.34 și anterioare | 8.2.35 |
| PHP 8.1 și mai vechi | Versiunile fără corecții de securitate | Actualizare sau corecție de la furnizor |
Atenție: versiunile PHP 8.1, 8.0, 7.4 și cele mai vechi nu mai beneficiază de actualizări oficiale în cadrul proiectului PHP. Totuși, distribuții precum Ubuntu și furnizori precum cPanel, CloudLinux sau TuxCare pot include corecțiile în pachete mai vechi, fără modificarea versiunii principale.
De exemplu, pentru pachetele PHP standard din Ubuntu, versiunile corectate includ:
- Ubuntu 22.04: PHP 8.1.2-1ubuntu2.28 sau o versiune ulterioară care include corecția.
- Ubuntu 24.04: PHP 8.3.6-0ubuntu0.24.04.13 sau o versiune ulterioară care include corecția.
Aceste valori sunt valabile pentru pachetele oficiale Ubuntu, nu automat pentru instalările PHP provenite din depozite externe.
Consultați și informarea oficială Ubuntu despre PHP2Shell.
3. Cum a intervenit Hosteaza.Com pentru protejarea clienților?
La Hosteaza.Com, securitatea infrastructurii reprezintă o prioritate permanentă. Imediat după apariția actualizărilor din 21 octombrie 2026, echipa tehnică a intervenit pentru remedierea vulnerabilităților PHP2Shell.
Pe serverele administrate de Hosteaza.Com, actualizările necesare pentru CVE-2026-109618 și CVE-2026-109619 au fost aplicate încă din prima zi.
Intervenția a vizat eliminarea vulnerabilităților cunoscute prin aplicarea corecțiilor de securitate disponibile pentru mediile PHP utilizate.
Este important să facem diferența între serviciile de găzduire administrate de echipa noastră și serverele VPS sau dedicate administrate independent de clienți.
- Găzduire web administrată: actualizările infrastructurii PHP sunt gestionate de echipa tehnică Hosteaza.
- Servere VPS sau dedicate administrate de client: administratorul trebuie să verifice și să actualizeze instalările PHP proprii, inclusiv cele din panourile de administrare.
Remedierea celor două vulnerabilități inițiale nu înlocuiește verificările necesare pentru problemele de securitate anunțate ulterior.
4. Tutorial: cum verifici PHP2Shell pe un server VPS sau dedicat?
Următoarele verificări sunt destinate administratorilor care au acces SSH și drepturi suficiente pentru a inspecta pachetele PHP. Înainte de orice actualizare, recomandăm efectuarea unei copii de siguranță și planificarea unei eventuale reporniri a serviciilor.
Pasul 1. Identifică sistemul de operare și versiunea PHP
Conectează-te prin SSH și execută:
cat /etc/os-release
php -v
Prima comandă identifică distribuția Linux, iar a doua afișează versiunea PHP disponibilă în linia de comandă.
Important: versiunea afișată de php -v nu este obligatoriu aceeași cu versiunea folosită de site-uri. Un server poate avea simultan mai multe versiuni PHP, administrate prin PHP-FPM, cPanel sau CloudLinux PHP Selector.
Pasul 2. Verifică și actualizează PHP pe Ubuntu sau Debian
Pentru instalările PHP gestionate prin pachetele standard ale distribuției:
apt list --installed 'php[0-9]*' 2>/dev/null
sudo apt update
sudo apt upgrade
Prima comandă identifică pachetele PHP instalate, iar următoarele actualizează informațiile despre pachete și instalează actualizările disponibile, inclusiv pentru alte componente ale sistemului.
Pe Ubuntu 22.04 și 24.04, comparați versiunile instalate cu cele publicate în anunțurile oficiale de securitate. Pentru PHP provenit din depozite externe, verificați documentația furnizorului respectiv.
După actualizare, reporniți serviciile PHP-FPM sau Apache afectate, în funcție de configurația serverului. Procesele existente trebuie să încarce efectiv componentele actualizate.
Pasul 3. Verifică toate versiunile EA-PHP pe cPanel/WHM
Pe serverele cPanel bazate pe AlmaLinux, Rocky Linux sau CloudLinux, verificați toate pachetele EA-PHP instalate folosind următoarea comandă:
for p in $(rpm -qa --qf '%{NAME}\n' | grep -E '^ea-php[0-9]+-php-cli$'); do
if rpm -q --changelog "$p" | grep -q 'CVE-2026-109618' && rpm -q --changelog "$p" | grep -q 'CVE-2026-109619'; then
echo "$p: PATCH CONFIRMAT pentru ambele CVE"
else
echo "$p: VERIFICA MANUAL versiunea si furnizorul"
fi
done
Comanda caută menționarea ambelor vulnerabilități în istoricul pachetelor instalate. Un rezultat pozitiv confirmă prezența corecțiilor documentate; un rezultat negativ necesită verificarea versiunii și a anunțului furnizorului, nu dovedește automat că pachetul este vulnerabil.
Pentru actualizarea pachetelor cPanel, puteți utiliza:
/scripts/update-packages
Pe sistemele CloudLinux, actualizările pentru alt-php și ea-php pot fi instalate din depozitele CloudLinux corespunzătoare:
sudo yum update 'alt-php*' 'ea-php*'
CloudLinux a publicat corecții inclusiv pentru versiuni PHP mai vechi, prin adaptarea remedierilor la pachetele proprii. Din acest motiv, comparația exclusivă cu numerele versiunilor oficiale PHP poate produce concluzii greșite.
Pentru cPanel instalat pe Ubuntu, verificarea istoricului unui pachet EA-PHP se poate face, de exemplu, cu:
zgrep -E 'CVE-2026-109618|CVE-2026-109619' /usr/share/doc/ea-php81-php-cli/changelog.Debian.gz
Înlocuiți ea-php81 cu versiunea instalată. Dacă fișierul nu există, verificați denumirea reală a pachetului și documentația furnizorului.
Documentație: cPanel – actualizările PHP2Shell și CloudLinux – verificarea pachetelor corectate.
5. CVE-2026-115560: o vulnerabilitate suplimentară și măsuri recomandate
Pe 23 octombrie 2026, echipa PHP a publicat o informare referitoare la CVE-2026-115560, o problemă suplimentară legată de funcționalitatea de monitorizare a progresului încărcării fișierelor în sesiuni.
Aceasta presupune o combinație neobișnuită de configurație și cod PHP: utilizarea anumitor mecanisme de serializare a sesiunilor, schimbarea lor dinamică înainte de inițializarea sesiunii și menținerea activă a funcționalității de monitorizare a încărcărilor.
La 26 octombrie 2026, actualizările din 21 octombrie remediază primele două CVE-uri, dar nu reprezintă o corecție definitivă pentru această problemă suplimentară. PHP a anunțat că o corecție și informarea tehnică completă vor fi publicate în următorul ciclu obișnuit de actualizare.
Ca măsură preventivă, echipa PHP recomandă dezactivarea temporară a funcționalității respective prin configurarea:
session.upload_progress.enabled = 0
Setarea trebuie aplicată în configurația PHP utilizată efectiv de serverul web, înainte de procesarea cererilor, urmată de repornirea proceselor PHP afectate. Dezactivarea poate influența aplicațiile care utilizează această funcționalitate pentru afișarea progresului încărcărilor.
Mai multe informații sunt disponibile în informarea oficială PHP din 23 octombrie 2026.
Recomandări suplimentare pentru administratori
- Verificați toate versiunile PHP active, inclusiv instalările secundare și cele utilizate de panourile de administrare.
- Activați actualizările de securitate și verificați periodic disponibilitatea unor versiuni noi.
- Mențineți active mecanismele de protecție a aplicațiilor web și analizați jurnalele pentru cereri suspecte.
- Verificați fișierele modificate neobișnuit, conturile necunoscute și procesele suspecte dacă serverul a rămas expus.
- În cazul unor indicii de compromitere, izolați sistemul și efectuați o analiză de securitate înainte de revenirea în producție.
O versiune PHP aparent veche nu înseamnă automat că serverul este vulnerabil: verificați întotdeauna corecțiile incluse în pachet și confirmarea furnizorului.
6. Securitatea începe cu actualizări efectuate la timp
PHP2Shell demonstrează cât de importantă este întreținerea constantă a infrastructurii web. Cele două vulnerabilități critice au primit actualizări pe 21 octombrie 2026, iar Hosteaza.Com le-a remediat pe serverele administrate încă din prima zi.
Dacă utilizați un server VPS sau unul dintre serviciile noastre de servere dedicate, verificați periodic sistemul de operare, versiunile PHP și actualizările disponibile.
Pentru întrebări privind securitatea și administrarea infrastructurii, echipa Hosteaza.Com vă stă la dispoziție prin canalele oficiale de suport.
