Vulnerabilitățile PHP2Shell permit preluarea controlului asupra serverelor web fără autentificare; CISA, NSA și FBI din SUA avertizează să se aplice imediat patch-uri, iar dacă nu este posibil, să se oprească serverele

WASHINGTON

Două vulnerabilități critice care permit executarea de comenzi în interiorul serverelor fără autentificare au fost descoperite în PHP, un limbaj de programare utilizat pe scară largă pe site-uri web și servere de aplicații web, determinând Agenția pentru Securitate Cibernetică și a Infrastructurii (CISA), Agenția Națională de Securitate (NSA) și Biroul Federal de Investigații (FBI) din SUA să îndemne succesiv la aplicarea imediată a corecțiilor. În perioada 21–23 octombrie (ora SUA), cele trei agenții au semnalat identificatorii de vulnerabilitate CVE-2026-109618 și CVE-2026-109619 prin alerte, comunicate de presă și un anunț de utilitate publică (PSA). Toate trei au împărtășit aceeași recomandare: organizațiile care nu pot efectua actualizarea imediat ar trebui să deconecteze sistemele afectate de la rețea.

CISA afirmă că vulnerabilitățile „php2shell” permit executarea de cod la distanță fără autentificare

Într-o alertă emisă pe 21 octombrie, CISA a declarat că cele două vulnerabilități, denumite „php2shell”, permit executarea de cod la distanță fără autentificare în PHP. Toate instalările PHP care procesează cereri web sunt afectate. CISA a oferit ca exemple combinația dintre Apache și mod_php, PHP-FPM, php-cgi, FrankenPHP și LiteSpeed. Dintre acestea, combinația mod_php a fost clasificată de dezvoltatorii PHP ca prezentând cel mai ridicat risc, a adăugat CISA.

Versiunile corectate sunt PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. CISA a precizat că organizațiile trebuie să actualizeze imediat la aceste versiuni. Totuși, CISA a menționat că, până la momentul publicării alertei, nu a observat atacuri reușite în exploatarea efectivă a acestor vulnerabilități. Contul CISA Cyber a publicat în aceeași zi pe X identificatorii celor două vulnerabilități, avertizând organizațiile că trebuie să aplice corecțiile imediat.

CISA a actualizat această alertă pe 23 octombrie. Agenția a adăugat reguli de detecție SIGMA pentru identificarea activităților suspecte și a integrat materiale de la agențiile partenere. Documentele partenere includ îndrumări de la Centrul Național de Securitate Cibernetică din Regatul Unit, Centrul Australian de Securitate Cibernetică din cadrul Direcției de Semnale din Australia, Centrul Național de Securitate Cibernetică din Noua Zeelandă, Centrul Canadian pentru Securitate Cibernetică și Centrul Național de Securitate Cibernetică din Țările de Jos.

În aceeași zi, NSA a emis de asemenea o alertă printr-un comunicat de presă separat.

NSA avertizează că este foarte probabil ca actorii cibernetici să transforme vulnerabilitățile în arme

Într-un comunicat de presă din 21 octombrie, NSA a declarat că dezvoltatorii PHP au lansat corecții open-source în acea zi (miercuri). NSA a menționat că PHP (prescurtare de la „PHP: Hypertext Preprocessor”) rulează pe majoritatea sistemelor de operare majore, este executat direct pe serverele web și este integrat în HTML pentru a crea pagini web dinamice. NSA a precizat că, fiind atât de răspândit, acest defect poate crea un mediu propice exploatării. NSA a atribuit acestui set de vulnerabilități denumirea „PHP2Shell” și a afirmat că prioritizează identificarea actorilor cibernetici rău-intenționați care încearcă să le exploateze.

NSA a subliniat că un atacator ar putea prelua controlul asupra serverelor web afectate fără acces prealabil sau autentificare. Prin această cale, un atacator poate sustrage date sensibile, poate perturba servicii sau se poate deplasa mai adânc în rețea, a adăugat NSA. Agenția a precizat că aceste vulnerabilități reprezintă defecte ale PHP în sine, nu ale aplicațiilor găzduite sau ale configurațiilor, lăsând serverele care utilizează versiunile PHP afectate expuse atacurilor.

NSA, responsabilă pentru securitatea națională a SUA, a declarat că „este foarte probabil ca actorii cibernetici să transforme vulnerabilitățile PHP2Shell într-o armă”. Din cauza riscului grav, s-a menționat că este necesară aplicarea imediată a corecțiilor în toate departamentele și agențiile guvernului federal al SUA. NSA a recomandat menținerea vigilenței în următoarele săptămâni asupra dispozitivelor și serviciilor expuse la internet care depind de PHP, consolidarea jurnalizării și înlocuirea serviciilor PHP ajunse la sfârșitul ciclului de viață (EOL) care nu sunt compatibile cu corecțiile. Contul de securitate cibernetică al NSA a publicat de asemenea această alertă pe X în aceeași zi.

În această postare, NSA a precizat că aceste vulnerabilități oferă frecvent o cale directă către sistemul de fișiere sau baza de date a serverului. Agenția a recomandat trecerea sistemelor în regim offline dacă actualizarea imediată este dificilă și a anunțat că va publica în curând instrucțiuni detaliate.

NSA a recomandat monitorizarea atentă a actualizărilor, menționând că și alți producători de software ar putea lansa corecții pe măsură ce acestea devin disponibile, precizând totodată că cele mai recente instrucțiuni de remediere pot fi consultate pe pagina de avize de securitate a dezvoltatorilor PHP. NSA a declarat că va colabora cu experți din comunitatea de informații și din cadrul CISA pentru a identifica și remedia vulnerabilitățile din sistemele guvernamentale și de securitate națională.

CISA cere identificarea exhaustivă a tuturor sistemelor care utilizează PHP

CISA a cerut mai întâi organizațiilor să identifice toate sistemele pe care rulează PHP în cadrul infrastructurii lor. CISA a subliniat că PHP este adesea integrat în alte programe software, motiv pentru care prezența sa ar putea să nu fie vizibilă la suprafață. CISA a cerut apoi aplicarea imediată a corecțiilor, începând cu sistemele expuse la internet. Organizațiile care nu pot efectua actualizarea imediat sau care continuă să folosească versiuni nesuportate de PHP 8.1 sau anterioare trebuie să treacă sistemele bazate pe PHP în regim offline până la finalizarea aplicării corecțiilor sau a actualizării.

CISA a îndemnat la consultarea avizelor oficiale de securitate emise de dezvoltatorii PHP pentru a verifica instrucțiunile de aplicare a corecțiilor. Firewall-urile pentru aplicații web pot oferi o oarecare protecție până la actualizarea sistemelor, a precizat CISA. CISA a recomandat monitorizarea activităților suspecte, cum ar fi procesele de lucru PHP care execută shell-uri de comandă sau descarcă instrumente.

FBI a emis pe 23 octombrie anunțul de utilitate publică I-102326-PSA. Acesta reprezintă o continuare a mesajului publicat de FBI pe rețelele de socializare pe 21 octombrie. FBI a precizat că PHP este un limbaj de programare utilizat pe scară largă care pune în mișcare site-uri web și aplicații web, iar cele două vulnerabilități ar putea permite actorilor cibernetici rău-intenționați să execute cod de la distanță în nucleul PHP, periclitând date sensibile și rețele întregi. Divizia Cibernetică a FBI a publicat această informație pe X pe 21 octombrie.

FBI a afirmat că actualizările de securitate sunt deja disponibile și trebuie aplicate imediat. La identificarea locurilor în care este prezent PHP, FBI a cerut acordarea de prioritate sistemelor expuse la internet și produselor furnizorilor care includ PHP la pachet, precum și monitorizarea serverelor web pentru a detecta dacă procesele PHP lansează în mod neașteptat shell-uri de comandă sau descarcă fișiere. FBI a precizat că cele mai recente informații pot fi găsite în avizele dezvoltatorilor PHP, în avizul de securitate 2026-018 al CERT-EU din Uniunea Europeană și în catalogul CISA privind vulnerabilitățile exploatate cunoscute (KEV). FBI a cerut companiilor și administratorilor de site-uri web să verifice dacă sistemele lor sunt afectate. În cazul descoperirii unor indicii de compromitere, organizațiile sunt îndemnate să izoleze sistemele afectate, să păstreze jurnalele serverelor web și ale PHP și să raporteze situația celui mai apropiat birou teritorial al FBI sau prin intermediul ic3.gov. FBI a explicat că aceste sesizări sunt utilizate de agențiile de aplicare a legii pentru a identifica actorii responsabili și pentru a avertiza alte organizații înainte de a cădea victime.

Surse (KST)

• CISA SUA, „Critical Vulnerabilities in PHP Require Immediate Patching” (publicat pe 21 octombrie 2026, actualizat pe 23 octombrie): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• Agenția Națională de Securitate a SUA (NSA), „NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities” (21 octombrie 2026): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Biroul Federal de Investigații al SUA (FBI), „Critical Vulnerability Alert: PHP Core” (anunț de utilitate publică I-102326-PSA, 23 octombrie 2026): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Postare pe X a contului CISA Cyber: https://x.com/CISACyber/status/2112947079458717969
• Postare pe X a contului NSA Cyber: https://x.com/NSACyber/status/2112903220209098897
• Postare pe X a Diviziei Cibernetice a FBI: https://x.com/FBICyberDiv/status/2112921648252719420