Germania: autoritatea de securitate informatică cere actualizarea serverelor PHP, după două erori critice

PHP stă la baza unei mari părți din internet, de la bloguri la magazine online¹ . Experții estimează că numai cu WordPress funcționează între 400 și 500 de milioane de site-uri¹ . Cele două vulnerabilități, numite împreună php2shell, au codurile CVE-2026-109618 și CVE-2026-109619 și au primit fiecare nota 9,2 pe scala CVSS, în categoria „critic”^1,4 . Un atacator poate rula cod propriu pe server fără să se autentifice, adică poate prelua site-ul sau poate sustrage datele clienților^1,4 .

Utilizatorii obișnuiți nu trebuie să facă nimic, pentru că greșeala se află pe servere, nu pe telefoane sau calculatoare^1,3 . Ei pot simți totuși efectele, prin căderea unor servicii sau prin scurgeri de date de pe site-uri neprotejate la timp^1,3 .

Sunt afectate toate versiunile PHP cunoscute, inclusiv PHP 5, a anunțat BSI⁵ . Versiunile corectate au numerele „8.5.12”Originalul · de · sursa 4, heise online„8.5.12” · www.heise.de ↗, „8.4.27”Originalul · de · sursa 4, heise online„8.4.27” · www.heise.de ↗, „8.3.36”Originalul · de · sursa 4, heise online„8.3.36” · www.heise.de ↗ și „8.2.35”Originalul · de · sursa 4, heise online„8.2.35” · www.heise.de ↗, iar pentru 7.4, 8.0 și 8.1 vor apărea corecții separate⁴ . Echipa PHP a publicat și câteva setări care limitează abuzul, dar avertizează: „Acestea trebuie privite doar ca o soluție provizorie”Originalul · de · sursa 4, heise online„Sie sollten als nichts Anderes als eine temporäre Krücke betrachtet werden” · www.heise.de ↗⁴ .

Atacul poate cere mii de solicitări, dar se poate automatiza

Atacul nu reușește de la prima solicitare trimisă serverului: uneori sunt necesare câteva mii, însă metoda este fiabilă și se pretează la atacuri automate⁴ . Cercetătorii firmei de securitate Calif au arătat într-un videoclip cum, după 38 de secunde, rulează comenzi pe un server cu Laravel⁴ .

Că vulnerabilitățile ar fi fost deja folosite de infractori nu se știe, scrie portalul de specialitate heise, dar situația ar putea să se schimbe curând⁴ . Vicepreședintele BSI, Thomas Caspers, spune: „Considerăm probabilă exploatarea pe scară largă în câteva ore de la apariția actualizărilor de securitate”Originalul · de · sursa 5, BSI„Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich” · www.bsi.bund.de ↗⁵ . Potrivit lui, atacatorii pot analiza corecțiile cu instrumente bazate pe inteligență artificială și pot genera rapid coduri de atac⁵ .

O scurgere de informații a grăbit anunțarea vulnerabilităților

Publicarea informațiilor despre vulnerabilități era planificată pentru 22 octombrie, dar a fost mutată cu o zi mai devreme din cauza unei scurgeri de informații⁴ . Detaliile despre vulnerabilități au ajuns accidental la public înainte de lansare, iar specialiștii din industrie se tem că infractorii vor folosi în curând programe automate care caută servere neprotejate¹ .

Erorile au fost găsite într-un audit al codului făcut de Calif împreună cu echipa de securitate a PHP și plătit de OpenAI⁴ . Firma Wiz și OpenAI au reprodus apoi erorile cu ajutorul unor programe de inteligență artificială și au ajutat la verificarea corecției⁴ .

Primării, universități și clinici și-au scos site-urile de pe internet

Mai multe primării, autorități, universități și spitale și-au scos site-urile de pe internet, ca măsură de precauție³ . Orașul Mainz a oprit mai multe servicii online și portalul mainz.de; birourile rămân accesibile prin telefon și e-mail, iar programările existente se țin, a anunțat administrația orașului¹ . BSI a recomandat, dacă actualizarea nu se poate face repede, deconectarea temporară a serverului de la internet¹ .

Clinicile universitare din Freiburg, Mannheim și Heidelberg și-au scos și ele site-urile din funcțiune; la Freiburg, oprirea a vizat și site-ul aplicației pentru paciente „Meine Uniklinik”² . Furnizorul de găzduire Uberspace a anunțat că oprește temporar serviciile PHP, iar compania Cloudflare, care protejează site-uri, a introdus reguli de filtrare pe care directorul ei tehnic le numește doar o soluție provizorie⁴ .

Heise recomandă trecerea la cel puțin PHP 8.3, al cărui suport durează până la sfârșitul lui 2027, pentru că suportul pentru PHP 8.2 se încheie la sfârșitul lui 2026⁴ .