PHP are corecții de securitate, dar nu toate serverele sunt deja protejate: ce rămâne de făcut

Corecțiile pentru cele două vulnerabilități critice PHP au fost publicate pe 21 octombrie. Asta nu înseamnă că toate site-urile care folosesc limbajul sunt deja protejate: actualizările trebuie instalate pe servere. Decrypt revine asupra acestei diferențe într-o explicație publicată pe 22 octombrie, în timp ce avizul oficial PHP cere aplicarea imediată a remedierilor.

Echipa PHP enumeră versiunile corectate 8.5.12, 8.4.27, 8.3.36 și 8.2.35 pentru CVE-2026-109618 și CVE-2026-109619. Distribuitorii Linux și furnizorii cu suport extins pot oferi propriile pachete reparate. Pentru o instalare concretă contează și informațiile furnizorului, nu doar comparația numărului afișat cu lista versiunilor standard.

PHP 8.1 și ramurile mai vechi nu mai primesc suport obișnuit de la proiect. Avizul menționează totuși remedieri adaptate oferite de unii furnizori și corecții minimale pentru anumite versiuni vechi. De aici nu rezultă că toate sistemele vechi pot fi reparate identic sau că trebuie închise definitiv: administratorii trebuie să stabilească soluția aplicabilă fiecăruia.

NCSC, centrul britanic de securitate cibernetică, recomandă identificarea instalărilor PHP, prioritizarea sistemelor expuse internetului și actualizarea lor. Dacă remedierea imediată nu este posibilă, instituția trimite la măsurile temporare ale furnizorului și recomandă luarea în calcul a scoaterii sistemului offline când nici acestea nu pot fi aplicate suficient de repede. PHP avertizează că măsurile provizorii nu oferă protecție completă.

Decrypt explică și de ce aplicarea unei corecții nu încheie automat verificarea: un server ar fi putut fi atacat înaintea actualizării. NCSC recomandă evaluarea eventualelor dovezi de compromitere și asistență specializată atunci când organizația nu poate face singură această analiză. Relatarea Decrypt nu identifica, la publicare, o scurgere de date confirmată și atribuită PHP2Shell; aceasta este o limită a informațiilor disponibile la acel moment, nu o garanție pentru fiecare serviciu.

Numărul tentativelor este altceva decât numărul atacurilor reușite. Cointelegraph și The Verge redau declarațiile directorului Cloudflare, Matthew Prince, despre mii de tentative observate înaintea divulgării și milioane ulterior. Decrypt reia această declarație și relatările Amazon despre încercări anterioare anunțului public. Sunt observațiile unor furnizori asupra propriilor sisteme, nu un bilanț mondial al site-urilor compromise.

Opririle preventive au fost descrise de HotNews și Gândul prin Reuters, de Digi24 inclusiv prin Focus și Reuters, iar de Antena 3 CNN prin Reuters și AFP/Agerpres. Știrile ProTV și Observator prezintă măsuri de protecție și avertizări pentru administratori, inclusiv comunicări atribuite DNSC. Indisponibilitatea temporară a unui portal nu dovedește, singură, furtul de date; suspendarea portalului Primăriei Tulcea este o evoluție locală relatată separat.

G4Media și Știri pe Surse au publicat și relatări cu origine comună Mediafax despre aceleași retrageri preventive europene. Formulările lor despre închiderea definitivă a unor servicii sunt mai categorice decât recomandarea NCSC de a lua în calcul oprirea până la remediere. The Verge descrie revenirea Internet Archive și, prin Kotaku, situația a două jocuri vechi pentru care operatorii spun că actualizarea nu este posibilă. Aceste cazuri nu stabilesc soarta tuturor serviciilor vechi.

Descoperirea problemelor și coordonarea răspunsului au avut roluri diferite. În comunicarea sa, OpenAI spune că echipa Calif a identificat o problemă folosind GPT-5.6 Sol, iar Wiz a descoperit și raportat independent vulnerabilitățile. PHP a condus realizarea și publicarea corecțiilor. Wiz descrie propria cercetare, iar OpenAI propria contribuție; aceste relatări ale participanților nu sunt un audit independent al întregului episod. TechCrunch menționează PHP 8.5.12, însă avizul PHP acoperă toate cele patru ramuri enumerate.

PHP Foundation explică într-un articol propriu, reluat de Cointelegraph, că existau prime indicii ale problemei încă din 2024. Fundația atribuie întârzierea alegerii unei soluții procesului decizional, resurselor limitate și compromisurilor de compatibilitate; descrie înțelegerea impactului complet în august. Explicația diferă de formularea din Adevărul, prin BBC, că problemele nu fuseseră descoperite până acum: un indiciu vechi, identificarea impactului și publicarea corecției nu sunt același moment.

G4Media prezintă și explicații bazate pe Wall Street Journal și The Guardian, inclusiv evaluări despre posibile atacuri de durată. Acestea sunt estimări de risc, nu confirmări despre identitatea autorilor ori succesul fiecărei tentative. Relatările despre un procent de circa 70% din web și cifra de 69% pentru site-urile al căror limbaj server-side este cunoscut nu au baze de raportare descrise identic și nu măsoară numărul victimelor.

Pentru public, o alertă despre servere nu înseamnă că toate telefoanele și calculatoarele personale au aceeași vulnerabilitate. Decrypt recomandă prudență față de mesaje și cereri de autorizare suspecte, în special în serviciile crypto. Pentru organizații, reperele rămân actualizările oficiale, evaluarea expunerii și verificarea sistemelor: faptul că pagina se încarcă din nou nu ține locul acestor pași.

Pe 26 octombrie, Mitchell Amador, directorul Immunefi, avertizează într-un interviu pentru Cointelegraph că unele site-uri mici pot întârzia săptămâni instalarea corecțiilor. El consideră că instrumentele AI au ieftinit descoperirea breșelor, în timp ce remedierea rămâne costisitoare. Este evaluarea sa asupra riscului, nu dovada compromiterii tuturor site-urilor. Recomandă parole distincte și atenție la conectarea portofelelor crypto.

Separat, pe 26 octombrie, PHP a publicat pachete Windows cu sufixul -1, care includ Brotli 1.2.1 pentru o altă vulnerabilitate. Problema privește decomprimarea răspunsurilor HTTP prin extensia cURL când această opțiune este activată; nu este activată implicit în cURL. Aceste pachete păstrează versiunea codului PHP și actualizează dependența.