PHP2Shell: vulnerabilități critice în PHP (CVE-2026-109618 și CVE-2026-109619). Ghid pentru organizații

La 21 octombrie 2026, echipa PHP a lansat actualizări de securitate urgente pentru două vulnerabilități critice, CVE-2026-109618 și CVE-2026-109619, cunoscute ca PHP2Shell. Ambele au un scor CVSS v4.0 de 9,2 și pot permite executarea de cod la distanță fără autentificare în anumite medii vulnerabile. Aceasta este o problemă a runtime-ului PHP, nu doar a unei teme, a unui plugin sau a unui anumit CMS.

De ce este critică această vulnerabilitate?

Prin remote code execution (RCE), un atacator poate determina un proces vulnerabil să execute instrucțiuni neautorizate. Impactul depinde de permisiunile procesului, de izolarea aplicației și de controalele prezente: de la acces neautorizat la date și secrete până la modificarea fișierelor sau deplasarea spre alte sisteme. Nu orice sistem expus este automat compromis, dar severitatea impune patching imediat.

Cele două vulnerabilități, explicate tehnic

CVE-2026-109618 privește coruperea memoriei în situații de out-of-memory (OOM). CVE-2026-109619 privește reutilizarea unei stări globale învechite (stale global state), cu potențiale efecte asupra integrității memoriei procesului. Ambele defecte țin de PHP core. O actualizare WordPress, Drupal, Joomla ori Composer, luată separat, nu remediază un executabil PHP care încă include vulnerabilitățile.

Avertizarea oficială indică faptul că trebuie evaluate toate instalările PHP care deservesc cereri web, inclusiv PHP-FPM, Apache mod_php, php-cgi, FrankenPHP și LiteSpeed. Cel mai ridicat risc este semnalat pentru mod_php, unde a fost demonstrată o cale de exploatare care poate fi activată înainte ca logica aplicației să înceapă să ruleze. Alte moduri de implementare nu trebuie considerate automat sigure.

Versiunile în care există patchuri oficiale

Corecțiile sunt incluse în PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 și PHP 8.5.12, publicate la 21 octombrie 2026. Administratorii trebuie să verifice pachetul instalat și versiunea efectiv folosită de traficul web, nu doar rezultatul unei comenzi php -v într-o sesiune CLI. Aplicațiile containerizate trebuie reconstruite pe imagini actualizate și redeployate.

Pentru ramurile vechi, fără suport oficial, unele distribuții pot furniza corecții backport. Acestea trebuie validate documentat prin advisories și versiunea pachetului. Nu confundați lipsa unei versiuni upstream recente cu lipsa unui patch distribuitor; în același timp, nu acceptați afirmații nespecifice că o platformă este «actualizată». PHP 8.2 ajunge la finalul suportului oficial de securitate la 31 decembrie 2026.

Checklist operațional: ce trebuie făcut acum

• Inventariați toate serviciile PHP expuse la internet, sistemele legacy, instanțele de test și containerele. Identificați proprietarul tehnic și runtime-ul web efectiv.

• Instalați release-ul PHP corectat sau backportul verificat, apoi reporniți procesele FPM/Apache/LiteSpeed și redeployați containerele afectate. Confirmați versiunea procesului în execuție.

• Retestați traseele critice: login, formulare, fișiere încărcate, API-uri, integrări, plăți, cron, cozi și accesul la baze de date.

• Verificați loguri de aplicație, acces, WAF și monitorizare pentru cereri anormale și posibili indicatori de exploatare. Dacă suspectați compromitere, izolați serviciile, conservați dovezile și activați planul de răspuns la incidente.

• Folosiți WAF, rate limiting și segmentare ca protecție suplimentară, nu ca substitut pentru patch. Dacă remedierea imediată este imposibilă, limitați temporar expunerea aplicațiilor vulnerabile.

• Confirmați existența și restaurabilitatea backupurilor, separarea privilegiilor și politicile de rotație a secretelor; dacă există dovezi de compromitere, tratați și cheile de acces potențial expuse.

De ce un WAF nu rezolvă singur PHP2Shell

Regulile de firewall la nivel de aplicație pot bloca unele încercări cunoscute și pot oferi timp suplimentar echipei tehnice. Ele nu schimbă însă codul runtime-ului PHP și nu garantează blocarea tuturor variațiilor de payload. Recomandarea PHP este explicită: actualizarea runtime-ului este măsura necesară pentru remediere.

PHP2Shell — răspunsul ZebraByte, cronologie și stadiul remedierii

ZebraByte este furnizorul responsabil de serviciile contractate de clienții săi și gestionează operațiunile de hosting administrat în colaborare cu parteneri tehnologici contractuali. În cazul PHP2Shell, echipele implicate au gestionat intervenția la nivelul platformei, iar ZebraByte a urmărit avertizările, stadiul corecțiilor și confirmarea finalizării. Clienții se adresează ZebraByte pentru informații, verificări și suport; nu trebuie să contacteze separat un operator de infrastructură.

Cronologia confirmată

• 20 octombrie 2026 — PHP a anunțat lansarea urgentă a actualizărilor pentru două vulnerabilități critice de executare neautorizată de cod (CVE-2026-109618 și CVE-2026-109619). ZebraByte a urmărit alerta și a tratat-o drept prioritate de securitate.

• 21 octombrie 2026, 13:30 UTC — proiectul PHP a publicat versiunile remediate: 8.5.12, 8.4.27, 8.3.36 și 8.2.35.

• 21 octombrie 2026, 20:01 UTC — a fost confirmată finalizarea implementării actualizărilor de securitate pe platformele de găzduire administrată și Cloud Servers administrate relevante pentru aceste servicii, inclusiv patch-uri compatibile (backport) pentru versiuni PHP mai vechi acoperite de politica platformei.

• 22 octombrie 2026 — ZebraByte comunică stadiul remedierii și menține monitorizarea informațiilor de securitate și a serviciilor.

Ce a făcut concret ZebraByte

• A urmărit avertizările PHP2Shell și identificatorii CVE, precum și actualizările oficiale ale proiectului PHP.

• A urmărit intervenția operațională realizată în cadrul parteneriatelor sale tehnice pentru platformele de hosting administrat și a verificat confirmarea de finalizare.

• A corelat informațiile despre versiunile PHP corectate și backport-urile disponibile cu categoriile de servicii administrate, pentru a comunica precis domeniul remedierii.

• Asigură comunicarea către clienții ZebraByte, gestionarea solicitărilor de suport și escaladarea problemelor tehnice prin canalele contractuale, împreună cu echipele responsabile de infrastructură.

Servicii acoperite și ce trebuie să facă un client

Stadiu: REMEDIAT la nivelul platformelor de hosting administrat incluse în operațiunea de actualizare. Acoperirea comunicată privește hostingul web administrat și serviciile cloud administrate, nu orice server sau aplicație administrată independent de client. Actualizările PHP sunt aplicate la nivelul infrastructurii administrate; nu este necesară instalarea manuală a acestor patch-uri de către clienții acestor servicii.

Backport-urile sunt corecții de securitate aplicate unor versiuni PHP mai vechi fără schimbarea obligatorie a numărului major al versiunii. Ele nu înlocuiesc recomandarea de migrare către o ramură PHP suportată. Pentru aplicații, CMS-uri, teme, pluginuri, biblioteci și servere autoadministrate, obligațiile de actualizare pot fi diferite și trebuie evaluate separat.

Dacă observați erori după actualizare, comportament neobișnuit al unui site sau indicii de compromitere, contactați direct echipa de suport ZebraByte prin canalele obișnuite. ZebraByte este punctul unic de contact pentru serviciile pe care le administrați împreună cu noi și coordonează investigarea și escaladarea tehnică atunci când este necesar.

Remedierea confirmată la nivel de platformă nu echivalează automat cu o verificare individuală a fiecărui website sau a fiecărei aplicații. Pentru un mediu particular, verificările suplimentare pot include confirmarea pachetului PHP efectiv încărcat, a restartării proceselor și analiza logurilor. Această informare privește o remediere preventivă și nu reprezintă notificarea unui incident de securitate confirmat la ZebraByte.

Pentru evoluția stării serviciilor și actualizările operaționale oficiale ZebraByte, consultați https://www.zbtstatus.com/.

Surse verificate

PHP — Security advisory și versiunile remediate (21.10.2026): https://www.php.net/archive/2026.php

ENISA — Joint statement on critical PHP vulnerabilities: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities

CERT-EU — Security Advisory 2026-018: https://cert.europa.eu/publications/security-advisories/2026-018/

Fotografiile sunt imagini documentare reale, cu licență CC0, preluate din Wikimedia Commons. Ele nu reprezintă infrastructura ZebraByte.

Actualizare editorială: 22 octombrie 2026. Acest articol este o analiză generală, nu o certificare a securității unui serviciu individual.