PHP2Shell: actualizează PHP înainte să devină incident
Două vulnerabilități critice PHP permit atacuri înainte ca aplicația să ruleze. Vezi versiunile corectate, pașii de actualizare și ce trebuie verificat pe serverele din Chișinău și Moldova.
O actualizare de securitate a runtime-ului PHP nu poate aștepta următorul redesign sau următorul sprint. Pe 21 octombrie 2026, echipa PHP a publicat patch-uri pentru două vulnerabilități critice, CVE-2026-109618 și CVE-2026-109619, asociate cu PHP2Shell. În anumite configurații, o cerere HTTP construită special poate duce la executarea de cod fără autentificare. Problema este în runtime-ul PHP, nu într-un plugin WordPress sau într-o versiune Laravel.
În stack-ul nostru de servicii am verificat runtime-ul efectiv și am găsit PHP 8.4.24. Am fixat versiunea imaginii Docker la 8.4.27, am reconstruit containerele și am verificat după restart PHP-FPM, queue, Reverb și scheduler. Toate rulează acum cu versiunea corectată. Actualizarea a fost aplicată la nivel de runtime, nu doar în codul aplicației.
Pentru companiile care operează site-uri, magazine online și portaluri în Chișinău și în toată Moldova, întrebarea practică este simplă: ce versiune PHP rulează efectiv fiecare server și container?
Ce versiuni PHP trebuie actualizate
Instalează cel puțin versiunea corectată pentru ramura pe care o folosești. Versiunile mai vechi din fiecare ramură listată sunt afectate:
- PHP 8.5.0–8.5.11 → actualizează la 8.5.12 sau mai nou;
- PHP 8.4.0–8.4.26 → actualizează la 8.4.27 sau mai nou;
- PHP 8.3.0–8.3.35 → actualizează la 8.3.36 sau mai nou;
- PHP 8.2.0–8.2.34 → actualizează la 8.2.35 sau mai nou.
PHP 8.2 primește actualizări de securitate până la 31 decembrie 2026. Dacă planifici acum o migrare, alege o ramură suportată pe termen mai lung, precum PHP 8.3, 8.4 sau 8.5, și verifică întâi compatibilitatea aplicației. PHP 8.1 și versiunile mai vechi nu mai primesc release-uri obișnuite de la proiectul PHP. Unele distribuții și furnizori pot livra backport-uri; verifică avizul furnizorului și pachetul instalat, nu doar numărul versiunii.
Pragurile și recomandarea de actualizare sunt publicate în avizul oficial PHP din 21 octombrie. Durata de suport a ramurilor este listată pe pagina PHP Supported Versions.
De ce este important să actualizezi runtime-ul
Prima vulnerabilitate ține de gestionarea unei erori de memorie insuficiente și de starea internă a cererii în timpul curățării. A doua privește o stare globală rămasă după eliberarea memoriei, care poate fi folosită ulterior de același proces PHP. Cu alte cuvinte, un filtru în aplicație sau un update de plugin nu repară motorul PHP.
Riscul se aplică instanțelor PHP care procesează cereri web: PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Un server poate rula mai multe versiuni simultan, iar comanda php -v arată CLI-ul, nu neapărat versiunea folosită de site.
Pași pentru o remediere completă
- Inventariază runtime-urile. Verifică versiunile din PHP-FPM și Apache, containerele active, imaginile folosite la build, worker-ele, scheduler-ele și mediile de staging.
- Aplică patch-ul la nivelul sursei potrivite. Actualizează pachetul distribuției ori imaginea de bază la versiunea corectată. Pentru PHP 8.1 și mai vechi, confirmă în scris backport-ul furnizorului sau planifică migrarea la o ramură suportată.
- Repornește toate procesele PHP. Un pachet nou nu înlocuiește binarul deja încărcat de procesele FPM și de worker-ele persistente.
- Verifică fiecare SAPI și fiecare host. Confirmă versiunea după deploy din mediul care deservește efectiv traficul, nu doar din terminalul de dezvoltare.
- Revizuiește logurile. Dacă un sistem a rămas expus, verifică logurile web și PHP pentru erori neobișnuite și evaluează separat dacă sunt necesare măsuri de răspuns la incident.
Limitarea dimensiunii cererilor sau dezactivarea unei funcții poate reduce unele căi de atac, dar nu înlocuiește actualizarea. PHP precizează că instalarea unui release corectat este singura remediere completă.
Actualizare PHP și securitate web în Chișinău
La TAG.md oferim audit tehnic și suport pentru actualizarea infrastructurii site-urilor, magazinelor online și portalurilor: inventariem runtime-urile, verificăm compatibilitatea aplicației, pregătim deploy-ul și confirmăm versiunile active după repornirea serviciilor. Dacă administrezi un proiect în Chișinău sau în Moldova și vrei să verifici ce PHP rulează în producție, discută cu noi despre o evaluare tehnică.