Două vulnerabilități critice identificate în limbajul de programare PHP, înregistrate sub codurile CVE-2026-109618 și CVE-2026-109619, au declanșat o alertă globală de securitate în această săptămână. Informațiile despre aceste erori au fost făcute publice pe 20 octombrie, determinând echipa PHP să lanseze actualizări de urgență pe 21 octombrie, cu o zi înainte de termenul planificat inițial. Impactul este major, având în vedere că PHP este utilizat de 69,3% dintre site-urile cu limbaj server-side cunoscut, conform datelor W3Techs.
Problemele de securitate sunt prezente în codul PHP de peste zece ani, semnalele fiind observate încă din 2020 prin rapoarte de bug-uri, însă fără o soluție concretă. În timpul primului audit extern de securitate al PHP desfășurat în 2024, un dezvoltator din echipa de bază a identificat primele semne ale acestor vulnerabilități, însă patch-ul a fost amânat deoarece nu exista o cale clară de exploatare. Astăzi, situația s-a schimbat radical prin intervenția tehnologiei moderne, care a accelerat procesul de identificare a riscurilor.
Modelele de inteligență artificială de ultimă generație au transformat aceste erori vechi într-un pericol imediat, fiind utilizate de companii precum Wiz, Google, OpenAI și Calif pentru a descoperi vulnerabilitățile în luna august. CERT-EU a evaluat ambele incidente cu un scor de severitate CVSS de 9,2, subliniind capacitatea atacatorilor de a rula cod de la distanță, fără autentificare. Această metodă permite accesarea informațiilor sensibile din memoria serverului, inclusiv a parolelor, cheilor API sau a certificatelor de securitate.
Riscul pentru companii include expunerea datelor clienților și posibilitatea de a opri servicii critice, chiar dacă propriul cod este scris corect. Deși Sansec a estimat că o exploatare în masă este mai puțin probabilă din cauza necesității unor configurații specifice, Amazon Threat Intelligence a raportat o tentativă de atac pe 17 octombrie. Organizații precum Wikimedia Foundation au scos temporar sisteme din funcțiune, iar în România, DNSC a emis o alertă oficială pentru a preveni compromiterile.
Actualizările oficiale sunt disponibile pentru versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35, în timp ce versiunile mai vechi necesită măsuri de precauție suplimentare. Pentru PHP 8.1 și versiunile anterioare, au fost publicate doar backport-uri minimale de cod sursă, care trebuie integrate manual de către echipele tehnice. Situația este complicată de faptul că o parte semnificativă din internet rulează încă pe versiuni PHP 7 și 5, pentru care nu mai există suport oficial de actualizări de securitate complete.
Evoluția acestor incidente subliniază faptul că securitatea cibernetică într-o economie digitalizată depinde de viteza de reacție și de automatizarea proceselor de update. În contextul în care vulnerabilitățile critice devin o constantă, organizațiile care își mențin stack-ul tehnologic la zi reduc semnificativ fereastra de oportunitate pentru atacatori. Capacitatea de a implementa patch-uri rapid, folosind instrumente de monitorizare și automatizare, reprezintă acum un factor esențial de supraviețuire pentru infrastructurile digitale moderne.