Două vulnerabilități critice identificate în limbajul de programare PHP pun în pericol numeroase infrastructuri web, permițând atacatorilor să execute cod malițios pe servere fără a fi nevoie de autentificare. Agenția europeană CERT-EU a emis un avertisment urgent, recomandând organizațiilor să identifice sistemele afectate și să pregătească instalarea imediată a remediilor. Pentru entitățile care nu pot aplica actualizările la timp, autoritățile sugerează chiar suspendarea temporară a site-urilor pentru a reduce riscul de compromitere.
Problemele de securitate, identificate prin codurile CVE-2026-109618 și CVE-2026-109619, au primit un scor de gravitate de 9,2 din 10 pe scala CVSS v4.0. Această valoare reflectă nivelul extrem de ridicat de pericol reprezentat de riscul de execuție de cod de la distanță (RCE). Într-un astfel de scenariu, un atacator poate rula comenzi sau programe pe un sistem prin intermediul unei conexiuni de la distanță, fără a deține un cont pe serverul vizat.
Impactul acestor vulnerabilități este amplificat de utilizarea masivă a PHP în ecosistemul digital global. Limbajul este componenta de bază pentru numeroase site-uri, magazine online și aplicații web, fiind utilizat de platforme precum WordPress, Drupal, Joomla și Magento. De asemenea, PHP este integrat în servicii de găzduire și instrumente de administrare a serverelor, ceea ce extinde zona de expunere pentru o parte semnificativă din infrastructura web actuală.
Echipa de dezvoltare PHP a programat lansarea remediilor pentru miercuri, la ora 17:00, însă detaliile tehnice ar putea apărea public înainte de acest termen. Cercetătorii de la firma de securitate watchTowr au confirmat existența problemelor, reușind să reproducă cel puțin una dintre ele. În mediul online a circulat deja o demonstrație a unui instrument numit „PHP2Shell”, care ar putea fi folosit pentru exploatarea serverelor care rulează această versiune de limbaj.
Conform recomandărilor furnizate de CERT-EU și de Centrul Australian pentru Securitate Cibernetică, toate versiunile PHP începând cu PHP 5 ar putea fi afectate de aceste breșe. Administratorii de sistem sunt sfătuiți să inventarizeze serverele, să pregătească ferestre de mentenanță și să realizeze copii de siguranță pentru fișiere și baze de date. Organizațiile care folosesc servicii de găzduire administrate de terți trebuie să solicite furnizorilor aplicarea imediată a patch-urilor.
Securitatea cibernetică rămâne o prioritate constantă în gestionarea infrastructurilor digitale, având în vedere că vulnerabilitățile de tip RCE pot duce la furtul de date sau la modificarea neautorizată a paginilor web. Deși Centrul Australian pentru Securitate Cibernetică a precizat că nu are cunoștință de exploatări active la momentul publicării, circulația informațiilor despre aceste probleme înainte de lansarea oficială a remediilor menține nivelul de alertă ridicat.