PHP: două vulnerabilități critice, corecturi pe 21 octombrie

Pe 20 octombrie 2026, proiectul PHP a anunțat o versiune de securitate pentru două vulnerabilități critice, CVE-2026-109618 și CVE-2026-109619. Informația vine din avizul 2026-018 al CERT-EU, serviciul de securitate cibernetică al instituțiilor, organelor și agențiilor Uniunii Europene. Potrivit CERT-EU, care citează anunțul de pe site-ul PHP și câteva semnalări neoficiale, cele două vulnerabilități ar putea duce la execuție de cod de la distanță (RCE).

Versiunea este programată pentru 21 octombrie 2026, ora 14:00 UTC (17:00, ora României). Până atunci nu există detalii tehnice publice: acest articol prezintă ce se știe azi și cum să te pregătești și trebuie citit împreună cu notele de lansare PHP, când vor fi publicate.

Ce se știe

• CVE: CVE-2026-109618 și CVE-2026-109619.
• Gravitate: scor CVSS 9.2 pentru ambele. Potrivit CERT-EU, aceste scoruri indică posibilitatea execuției de cod de la distanță fără autentificare.
• Versiuni afectate: potrivit CERT-EU, care citează o sursă neoficială, vulnerabilitățile ar putea afecta toate versiunile PHP începând cu PHP 5. Informația nu a fost confirmată de proiectul PHP.
• Detalii tehnice: niciunul. Nu se cunosc componenta afectată, vectorul exact de atac și nici condițiile necesare (extensii, configurații, moduri de execuție).
• Exploatare: avizul nu vorbește despre exploatare activă sau exploit-uri publice și nu conține indicatori de compromitere.

Avizul CERT-EU este singura sursă a acestui articol: toate informațiile îi sunt atribuite lui și surselor pe care le citează.

De ce contează pentru companiile europene și italiene

PHP este limbajul de pe partea de server al unui număr foarte mare de site-uri și aplicații web: CMS-uri, magazine online, portaluri pentru clienți și furnizori, aplicații de gestiune cu interfață web. Rulează pe servere dedicate, în hosting partajat și în imagini de containere, adesea administrat de furnizori diferiți.

De aceea CERT-EU cere ca organizațiile să se pregătească înainte de publicarea corecturilor, ca să poată actualiza imediat ce acestea sunt disponibile. Până atunci nimeni nu poate spune cu certitudine care instalări sunt cu adevărat vulnerabile: inventarul servește tocmai ca să nu se piardă timp după aceea.

Pentru entitățile care intră sub incidența NIS2, cazul face parte din gestionarea vulnerabilităților: merită documentate inventarul sistemelor cu PHP, prioritatea stabilită și termenele de actualizare. Orice incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). În sănătate, PHP poate sta la baza portalurilor pentru pacienți și a serviciilor de programări online: include-le în inventar.

Ce să faci acum

CERT-EU recomandă identificarea aplicațiilor bazate pe PHP și pregătirea actualizării lor imediat ce versiunile corectate sunt disponibile. Acolo unde actualizarea imediată nu este posibilă, recomandă să se ia în considerare izolarea de rețelele publice a aplicațiilor expuse pe Internet până la aplicarea corecturii.

Concret:

1. Fă inventarul locurilor în care rulează PHP: servere web, containere, hosting, aplicații ale terților. php -v arată versiunea interpretorului din linia de comandă; cea folosită de serverul web (PHP-FPM sau modul al serverului) poate fi diferită și trebuie verificată separat.
2. Dă prioritate sistemelor expuse pe Internet, începând cu aplicațiile accesibile fără autentificare.
3. Pregătește fereastra de mentenanță pentru 21 octombrie, după ora 14:00 UTC, cu teste și un plan de revenire.
4. Află de unde vine actualizarea: dacă folosești pachetele distribuției Linux, un panou de hosting sau imagini de containere, versiunile corectate vin de la ei, posibil cu termene diferite. Urmărește-le avizele, pe lângă cel al PHP.
5. Verifică ce ramuri mai au suport pe pagina versiunilor suportate de pe php.net și, pentru cele fără suport, întreabă proiectul sau furnizorul tău dacă este prevăzută o corectură.
6. Dacă nu poți actualiza imediat, ia în considerare, așa cum sugerează CERT-EU, scoaterea aplicațiilor din expunerea publică, de exemplu limitând accesul la VPN sau la adrese autorizate.
7. După lansare, citește notele de securitate PHP ca să afli ce componente și configurații sunt afectate, actualizează și verifică jurnalele serverelor web pentru cereri anormale.

Cum ajută ARXDOME

Inventarul ARX Sentry listează software-ul, procesele și porturile fiecărui server cu agent: te ajută să găsești unde sunt instalate PHP și PHP-FPM. ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, iar ARX Expose serviciile publice ale companiei tale și produsele recunoscute pe ele: împreună te ajută să decizi cu ce servere să începi.

Ultima actualizare: 20 octombrie 2026