PHP2Shell: două vulnerabilități critice RCE în PHP primesc azi un patch de urgență

PHP lansează un update de securitate în afara ciclului obișnuit pe 21 octombrie 2026, la 14:00 UTC, pentru două vulnerabilități critice care pot duce la execuție de cod la distanță (RCE). Proiectul PHP le-a evaluat cu 9.2 pe scala CVSS v4.0, dar, la momentul redactării, nu a publicat detalii tehnice. Cercetătorii au numit perechea „PHP2Shell” — numele nu aparține proiectului PHP.

Ce s-a întâmplat

• Vulnerabilitățile sunt identificate ca CVE-2026-109618 și CVE-2026-109619.
• Primele informații au apărut printr-o scurgere pe 20 octombrie, care vorbea de un scor CVSS 10.0 și de impact asupra tuturor versiunilor PHP începând cu 5, fără dovezi solide. Scorul oficial este 9.2, iar afirmația despre „toate versiunile de la PHP 5” nu a fost confirmată de niciun anunț oficial.
• PHP a devansat lansarea cu o zi și a anunțat că ar putea publica și mai devreme dacă apar detalii de exploatare sau atacuri active.
• Nu fuseseră raportate exploatări active și nici un proof-of-concept public la momentul redactării.

Cine primește patch

Doar ramurile suportate — 8.2, 8.3, 8.4 și 8.5 — primesc corecturi. Se așteaptă versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35, deși PHP nu a confirmat numerele. Versiunile mai vechi — 8.1, 8.0, 7.x, 5.x — sunt end-of-life și nu primesc patch.

Această categorie e mare: o numărătoare bazată pe Shodan a găsit aproximativ 884.000 de servere expuse la internet care raportează PHP 8.1 sau mai vechi în bannerele HTTP. Un banner nu dovedește vulnerabilitatea, dar arată cât PHP vechi este încă expus.

De ce contează

PHP rulează o parte uriașă din web, adesea ascuns în CMS-uri, panouri de hosting (cPanel, Plesk), echipamente ale furnizorilor și software Windows. Bug-urile critice din PHP au fost exploatate rapid în trecut — pentru CVE-2024-4577 au apărut tentative de exploatare în aproximativ 24 de ore. Odată publicat patch-ul, atacatorii îl pot compara cu versiunea veche pentru a găsi problema.

Ce trebuie făcut acum

1. Inventariați toate instalările PHP — inclusiv cele incluse în echipamente, panouri de control și software terț.
2. Aplicați patch-ul imediat după lansare. Prioritizați sistemele expuse la internet și verificați dacă distribuția Linux sau furnizorul de hosting oferă corecturi backportate.
3. Ramuri end-of-life: faceți upgrade sau scoateți sistemul de pe internet / puneți-l în spatele unui VPN sau al unui web application firewall până atunci.
4. Dacă nu puteți aplica patch-ul imediat, izolați aplicațiile PHP de rețelele publice acolo unde este posibil.
5. Monitorizați ce procese pornește PHP. Alertați când php-fpm, php-cgi, httpd sau apache2 lansează shell-uri, interpretoare sau utilitare de descărcare.
6. Căutați semne de compromitere: dacă ceva pare suspect, izolați serverul, păstrați logurile web și PHP și căutați web shell-uri, fișiere noi în web root, cron job-uri, task-uri programate și conturi noi.

Detaliile sunt încă puține — configurațiile, SAPI-urile sau componentele afectate se pot clarifica după publicarea anunțului oficial. Tratați situația ca „patch întâi, analiză după”.

Să știi unde ai PHP învechit expus este exact problema pe care o rezolvă scanarea de vulnerabilități: echipa noastră identifică serverele expuse la internet care rulează versiuni PHP vulnerabile sau end-of-life, ca să știți ce aveți de actualizat primul — înainte ca atacatorii să le caute ei înșiși.

Sursă: The Hacker News, „PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert” (21 octombrie 2026). Rezumat și rescris de echipa 4Tify.