Vulnerabilități critice PHP, octombrie 2026: ce faci acum

Actualizare: 21.10.2026, 13:00 (ora României). Patch-ul PHP este programat pentru astăzi, ora 17:00. Articolul va fi completat cu identificatorii CVE, versiunile afectate și versiunile corectate imediat după publicarea lor.

PHP Foundation a anunțat pe 20 octombrie 2026 o actualizare de securitate pentru două vulnerabilități critice în PHP, ambele cu scor CVSS v4.0 de 9,2. Actualizarea apare miercuri, 21 octombrie 2026, la 14:00 UTC (17:00 ora României). Orice organizație care rulează PHP, direct sau prin aplicații, găzduire ori echipamente care îl conțin, trebuie să fie pregătită să actualizeze în aceeași zi.

Pe scurt

Două vulnerabilități critice în PHP, fiecare cu scor CVSS v4.0 de 9,2. Detaliile tehnice, versiunile afectate și cele corectate se publică odată cu actualizarea.
Lansarea e programată pe 21.10.2026 la 14:00 UTC, dar PHP își rezervă dreptul de a o devansa dacă detaliile devin publice sau dacă apar dovezi de exploatare activă.
Centrul Național de Securitate Cibernetică al Marii Britanii (NCSC) a emis o alertă pentru organizațiile britanice. Riscul este însă global: PHP rulează pe 69,3% dintre site-urile al căror limbaj de server este cunoscut (W3Techs, 21.10.2026).
Sistemele care nu pot fi actualizate imediat ar trebui, potrivit NCSC, scoase temporar din funcțiune până la remediere.
Versiunile PHP ieșite din suport (8.1 și mai vechi) nu primesc corecturi oficiale. Aproximativ o treime din site-urile PHP rulează încă versiunea 7 sau mai veche.

Ce s-a anunțat și de ce contează pentru toată lumea

Anunțul PHP Foundation este scurt și deliberat lipsit de detalii: două vulnerabilități critice, un scor de 9,2 pe scala CVSS v4.0 pentru fiecare și o oră exactă de lansare. Formula este tipică pentru o divulgare coordonată. Echipa de dezvoltare anunță din timp ca administratorii să se poată pregăti, dar nu publică informații care i-ar ajuta pe atacatori înainte să existe corectura.

NCSC a transformat anunțul într-o alertă oficială pentru organizațiile din Regatul Unit. Recomandarea este neobișnuit de fermă: dacă sistemul nu poate fi remediat imediat, trebuie luată în calcul scoaterea lui din funcțiune până la remediere. Alerta este adresată organizațiilor britanice, dar nimic din natura problemei nu este local. PHP este limbajul pe care rulează WordPress, Drupal, Joomla, Magento, Laravel, Moodle, Nextcloud, majoritatea platformelor de comerț electronic și o mare parte din găzduirea partajată din lume. Un atacator care scanează internetul nu ține cont de granițe.

De ce trebuie tratat ca urgență

Un scor CVSS de 9,2 indică, de regulă, o vulnerabilitate exploatabilă de la distanță, fără autentificare sau cu condiții minime, cu impact major asupra confidențialității, integrității și disponibilității. Pentru un limbaj care rulează direct pe servere expuse la internet, asta înseamnă de obicei risc de executare de cod sau de compromitere a serverului.

Precedentul recent arată cât de scurt este intervalul. Vulnerabilitatea CVE-2024-4577 din PHP-CGI pe Windows, publicată în iunie 2024, a fost exploatată în doar câteva zile, inclusiv de grupări ransomware. După lansarea unei corecturi, atacatorii compară codul vechi cu cel nou și reconstruiesc vulnerabilitatea. Fereastra dintre lansarea patch-ului și primele atacuri automate se măsoară acum în ore sau zile, nu în săptămâni.

Unde se ascunde PHP în infrastructura dumneavoastră

Primul pas recomandat de NCSC este identificarea tuturor sistemelor care rulează orice versiune de PHP. În practică, PHP apare în mai multe locuri decât cred majoritatea organizațiilor:

site-uri și aplicații web: site-ul de prezentare, magazinul online, portalul de clienți, intranetul, platforma de e-learning;
găzduire partajată și cPanel/Plesk: furnizorul actualizează PHP, dar adesea fiecare site își alege versiunea, iar versiunile vechi rămân disponibile;
containere: imaginile Docker pe bază de php nu se actualizează singure; trebuie reconstruite și redistribuite;
pachete din distribuțiile Linux: Debian, Ubuntu, Red Hat și derivatele lor portează corecturile în versiuni proprii, deci numărul versiunii nu va coincide cu cel anunțat de php.net;
echipamente și produse terțe: interfețe de administrare ale firewall-urilor, NAS-urilor, routerelor, sistemelor de monitorizare sau telefoniei IP, care includ PHP fără ca acest lucru să fie vizibil;
servicii administrate de furnizori: agenția web, integratorul sau furnizorul SaaS care operează aplicația în numele dumneavoastră.

Ce faceți astăzi, pas cu pas

Înainte de lansare (până la 17:00, ora României)

Inventariați. Listați toate sistemele cu PHP, cu versiunea exactă (php -v sau pagina de informații a aplicației) și cu responsabilul fiecăruia. Sistemele expuse la internet au prioritate.
Pregătiți fereastra de actualizare. Rezervați oameni pentru seara de 21 octombrie și pentru 22 octombrie. Verificați că aveți copii de siguranță recente și testate.
Stabiliți decizia de rezervă. Pentru fiecare sistem critic expus, decideți dinainte ce faceți dacă nu poate fi actualizat repede: restricționare de acces, mod de mentenanță sau oprire temporară.
Contactați furnizorii. Întrebați găzduirea, agenția web și producătorii de echipamente când livrează corectura și ce trebuie să faceți dumneavoastră.

După lansare

Citiți anunțul oficial de pe php.net: identificatorii CVE, ramurile afectate și versiunile corectate.
Actualizați sistemele expuse la internet primele, apoi pe cele interne. După actualizare, reporniți PHP-FPM, Apache sau serviciul web, altfel procesele vechi continuă să ruleze codul vulnerabil.
Reconstruiți imaginile de container și redistribuiți-le; nu este suficientă actualizarea pe gazdă.
Verificați efectiv versiunea care rulează după actualizare, nu doar pachetul instalat.
Monitorizați jurnalele serverelor web pentru cereri neobișnuite, procese noi lansate de utilizatorul serverului web și fișiere PHP apărute recent în directoarele de încărcare.

Dacă rulați o versiune de PHP ieșită din suport

La 21 octombrie 2026, ramurile PHP susținute oficial sunt 8.2 și 8.3 (doar corecturi de securitate) și 8.4 și 8.5 (suport activ). Ramura 8.2 iese complet din suport la 31 decembrie 2026. Versiunile 8.1, 8.0, 7.x și mai vechi nu mai primesc corecturi de la PHP.

Potrivit W3Techs, 27% dintre site-urile PHP rulează încă versiunea 7, iar aproape 8% versiunea 5. Nu se știe încă dacă aceste versiuni sunt afectate. Dacă sunt, nu va exista o corectură oficială pentru ele. Opțiunile realiste sunt migrarea pe o ramură susținută, un furnizor de suport extins sau distribuția Linux care încă întreține versiunea respectivă, ori izolarea strictă a aplicației. Momentul este bun și pentru a planifica migrarea aplicațiilor de pe 8.2, înainte de sfârșitul anului.

Ce înseamnă pentru entitățile NIS2

În Uniunea Europeană, entitățile esențiale și importante din Directiva NIS2 au obligația de a gestiona vulnerabilitățile și de a aplica măsuri tehnice proporționale cu riscul. În România, cadrul este OUG nr. 155/2024, iar răspunderea pentru aceste măsuri revine organelor de conducere. O vulnerabilitate critică anunțată public, cu termen cunoscut, este exact situația în care un auditor va verifica ulterior cât de repede ați reacționat și cum ați documentat decizia. Păstrați evidența: când ați aflat, ce sisteme ați identificat, când le-ați actualizat și ce ați făcut cu cele care nu puteau fi actualizate.

Dacă, după actualizare, găsiți semne de compromitere, situația devine un incident. Pentru entitățile NIS2, incidentele semnificative se notifică autorității competente (în România, DNSC), iar dacă sunt afectate date personale se evaluează și notificarea către autoritatea de protecție a datelor, conform art. 33 GDPR.

Întrebări frecvente

Când apare actualizarea de securitate PHP?

PHP Foundation a programat lansarea pentru miercuri, 21 octombrie 2026, la 14:00 UTC, adică 17:00 ora României. Lansarea poate fi devansată dacă detaliile vulnerabilităților devin publice sau dacă apar dovezi de exploatare activă.

Ce versiuni de PHP sunt afectate?

Versiunile afectate și cele corectate se publică odată cu actualizarea. Ramurile susținute oficial la această dată sunt 8.2, 8.3, 8.4 și 8.5. Versiunile 8.1 și mai vechi nu primesc corecturi oficiale.

Alerta NCSC este valabilă doar pentru Marea Britanie?

Alerta este adresată organizațiilor britanice, dar vulnerabilitățile sunt în PHP însuși, care rulează pe aproximativ 69% dintre site-urile al căror limbaj de server este cunoscut. Riscul este același pentru orice organizație din lume care folosește PHP.

Ce fac dacă nu pot actualiza imediat?

NCSC recomandă luarea în calcul a scoaterii sistemului din funcțiune până la remediere. Alternativele intermediare sunt restricționarea accesului din internet, punerea aplicației în mod de mentenanță și monitorizarea atentă a jurnalelor. Pentru echipamentele terțe, urmăriți comunicările producătorului.

Am un site WordPress pe găzduire partajată. Trebuie să fac ceva?

Verificați în panoul de găzduire ce versiune de PHP folosește site-ul și dacă este o ramură susținută. Întrebați furnizorul când aplică actualizarea. Dacă site-ul rulează pe PHP 7 sau pe o versiune 8 ieșită din suport, cereți trecerea pe o versiune actuală.

Cum verific dacă serverul a fost deja compromis?

Căutați în jurnalele serverului web cereri neobișnuite, verificați procesele pornite de utilizatorul serverului web și fișierele PHP apărute recent în directoarele de încărcare sau temporare. Dacă găsiți indicii, nu ștergeți nimic înainte de a păstra probele și cereți o analiză tehnică.

Surse

Alexandru Angheluș, ProDefence. Specialist în securitate cibernetică, lucrează în investigarea incidentelor informatice, analiza malware și conformarea NIS2.