Două vulnerabilități critice din PHP, publicate miercuri, 21 octombrie 2026, în jurul orei 14:00 UTC, au dus la scoaterea offline a unor site-uri guvernamentale de pe patru continente, inclusiv a celui al Poliției Române, înlocuit cu o pagină de mentenanță. Canada și-a retras o parte din paginile federale, Olanda a închis DigiD și MijnOverheid, iar Franța a dat jos site-urile prefecturilor. Deocamdată, nicio instituție nu a confirmat că ar fi fost efectiv compromisă.
Pe cele două breșe, reunite sub numele PHP2Shell, le-a publicat echipa de securitate PHP, iar exploit-ul care circulă le combină într-un singur atac. Ambele au scorul CVSS v4.0 de 9.2: se exploatează prin rețea, fără parolă și fără ca cineva să dea click, iar un atac reușit poate afecta complet confidențialitatea, integritatea și disponibilitatea serverului. Problema nu ține de un plugin sau de o temă prost scrisă, ci de PHP însuși, limbajul pe care rulează aproximativ 70% din web, iar codul vulnerabil există din 2012.
Versiunile corectate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Google Cloud a confirmat că intervalul vulnerabil începe de la PHP 5.4 și ajunge până la 8.5.11 inclusiv. Ramurile 8.1 și mai vechi nu primesc corecție oficială; echipa a publicat doar backporturi minimale de sursă pentru 7.4, 8.0 și 8.1. Pentru multe instituții cu aplicații vechi, asta înseamnă că actualizarea nu e o simplă comandă, ci o migrare.
Evaluările diferă de la un actor la altul. NVD a dat scorul de 9.8, iar Red Hat 8.1, cu argumentul că instalările sale standard folosesc PHP-FPM, unde execuția de cod e greu de obținut în practică, nu mod_php. Echipa PHP consideră, dimpotrivă, că mod_php este scenariul cel mai periculos și singurul pentru care există un exploit funcțional demonstrat.
Reacția autorităților a fost rapidă. NSA, CISA, ENISA, ANSSI, BSI și centrele naționale de securitate cibernetică din Canada, Olanda și Marea Britanie au emis alerte în aceeași zi, premierul Japoniei a avertizat public, iar Coreea de Sud a ridicat nivelul de alertă. Atacatorii au fost totuși mai rapizi: Amazon, prin directorul său de securitate CJ Moses, a documentat o tentativă de exploatare din 17 octombrie, cu patru zile înainte de anunț, venită dintr-o rețea comercială de anonimizare. Orice verificare de compromitere ar trebui deci să pornească de la această dată, nu de la momentul aplicării corecției.
Volumul atacurilor crește rapid, potrivit lui Matthew Prince, directorul general Cloudflare: mii de tentative în cele 10 ore de dinaintea anunțului, zeci de mii în primele 45 de minute după, sute de mii în două ore și milioane ulterior. Nu există însă un număr absolut publicat, iar faptul că nicio breșă nu a fost confirmată nu înseamnă că ele nu există, ci doar că nu au fost încă făcute publice.
Sursă text și foto: Critic Arad — articolul original