ACTUALIZARE 31: PHP2Shell: patru patch-uri PAN-OS suplimentare și noi versiuni PHP pentru Windows

26 octombrie 2026, 15:47 ora României
Actualizări oficiale: 26 octombrie 2026, orele publicării nespecificate.

Au apărut două actualizări oficiale față de notificarea anterioară.

1. Palo Alto Networks confirmă încă patru patch-uri PAN-OS

Palo Alto Networks a confirmat lansarea a patru versiuni suplimentare care remediază CVE-2026-109618 și CVE-2026-109619:

Confirmat: istoricul oficial al comunicatului precizează că datele estimate au fost eliminate deoarece versiunile au fost lansate.

Neconfirmat: existența unor atacuri reușite asupra produselor Palo Alto Networks. Compania declară că nu cunoaște asemenea incidente.

Sursă primară: Palo Alto Networks – Security Advisory, actualizat pe 26 octombrie

2. PHP publică versiuni Windows reconstruite, cu o remediere suplimentară

Echipa PHP a anunțat oficial patru versiuni Windows actualizate:

• PHP 8.5.12-1
• PHP 8.4.27-1
• PHP 8.3.36-1
• PHP 8.2.35-1

Acestea includ Brotli 1.2.1, care remediază CVE-2026-111497, o vulnerabilitate de corupere a memoriei.

Distincție importantă: CVE-2026-111497 nu face parte din PHP2Shell. Noile pachete păstrează remedierile PHP2Shell din 21 octombrie și actualizează suplimentar biblioteca Brotli.

Confirmat: PHP precizează că vulnerabilitatea Brotli poate fi accesibilă prin extensia cURL atunci când decomprimarea automată a răspunsurilor HTTP este activată.

Neclar: nu există în acest comunicat dovezi privind exploatarea acestei vulnerabilități împotriva unor instalări WordPress.

Sursă primară: PHP – Comunicatul oficial din 26 octombrie

Acțiuni recomandate

1. Servere WordPress pe Windows: verificați dacă utilizați distribuțiile PHP oficiale pentru Windows și instalați versiunile reconstruite corespunzătoare, după testarea compatibilității.
2. Infrastructură PAN-OS: dacă administrați una dintre cele patru ramuri remediate astăzi, verificați disponibilitatea patch-ului și programați actualizarea.
3. Site-uri WordPress găzduite pe Linux: nu este necesară o intervenție suplimentară pentru această actualizare Windows. Mențineți remedierile PHP2Shell existente.
4. Site-uri găzduite pe Pressable: nu există o nouă recomandare specifică furnizorului. Protecția anunțată anterior de Automattic rămâne valabilă.

ACTUALIZARE 30: PHP2Shell: primele dovezi documentate de exploatare reușită în atacuri reale asupra serverelor-capcană

26 octombrie 2026, 13:47 ora României
Activitate identificată: 24 octombrie 2026, între 18:35 și 21:57, ora României.
Raport public: disponibil la 26 octombrie; ora exactă a publicării nu este confirmată.

Cercetătorul în securitate Adel Karimi a publicat dovezi tehnice privind 35 de execuții reușite de comenzi prin PHP2Shell, înregistrate pe trei servere-capcană (honeypots).

Aceasta este o evoluție importantă față de notificarea anterioară.

Spre deosebire de demonstrația din competiția Steal My Bitcoin, aici cererile au provenit din infrastructură externă, fără ca cercetătorul să controleze atacurile.

Ce a fost confirmat?

Raportul documentează:

• 35 de procese /bin/sh lansate de Apache, corelate cu cererile HTTP primite.
• Trei servere-capcană afectate, toate utilizând PHP 8.4.26 și Apache mod_php.
• Două adrese IP sursă, asociate unor furnizori comerciali de hosting.
• O tehnică de exploatare în mai multe etape, care include divulgarea adreselor de memorie și ocolirea protecției ASLR.

Cercetătorul a publicat capturi de trafic și jurnale de procese pentru toate cele 35 de execuții, permițând examinarea independentă a dovezilor.

Important: cele 35 de execuții nu reprezintă 35 de servere compromise. Ele au fost înregistrate pe numai trei sisteme-capcană.

Ce rămâne încă neclar?

Documentat de cercetător: executarea comenzilor pe serverele-capcană și corelarea acestora cu traficul de exploatare.

Neconfirmat independent: reproducerea tuturor rezultatelor de către o a doua echipă de cercetare.

Nu există încă dovezi că aceeași campanie a compromis site-uri WordPress de producție.

De asemenea, configurația testată utiliza un singur proces Apache. Rezultatele nu demonstrează aceeași fiabilitate pe infrastructuri NGINX cu PHP-FPM.

Raportul nu identifică o tehnică fundamental nouă, ci documentează utilizarea efectivă a unei metode de exploatare deja cunoscute.

Acțiuni recomandate pentru administratorii WordPress

1. Verificați serverele care rulează Apache cu mod_php, în special instalațiile PHP 8.4.26 și mai vechi. Confirmați instalarea versiunii remediate și repornirea proceselor.
2. Investigați retrospectiv traficul HTTP începând cu 17 octombrie. Căutați cereri multipart neobișnuite, erori de epuizare a memoriei și procese shell lansate de Apache.
3. Verificați indicatorii publicați de cercetător, inclusiv adresele 15.204.59.70 și 162.35.99.94. Prezența lor în loguri indică o posibilă interacțiune cu infrastructura raportată, nu dovedește singură compromiterea.
4. Pentru serverele suspecte, investigați eventualele modificări neautorizate, inclusiv fișiere PHP necunoscute, procese anormale și conexiuni externe. Instalarea unui patch nu elimină automat o eventuală compromitere anterioară.

Surse primare

Raportul tehnic original – PHP2Shell exploitation observed: packet-to-process RCE evidence

Dovezile publicate – capturi de trafic și jurnale pentru cele 35 de execuții

ACTUALIZARE 29: PHP2Shell: un cercetător demonstrează exploatarea cu succes într-un test public și publică un nou PoC

26 octombrie 2026, 08:54 ora României
Incident demonstrat: 25 octombrie, ora 17:47, ora României (15:47 UTC).
Documentație publică: 26 octombrie, ora exactă a publicării nespecificată.

Un cercetător cunoscut sub pseudonimul Killa a demonstrat executarea de cod prin PHP2Shell pe un server configurat intenționat cu PHP vulnerabil, în cadrul competiției publice Steal My Bitcoin.

Noutatea importantă: spre deosebire de exploitul privat anunțat anterior de Trail of Bits, există acum un nou proof-of-concept public, însoțit de instrucțiuni de reproducere și rezultate ale testelor.

Organizatorul competiției a confirmat că jurnalele serverului indică executarea cu succes a programului protejat și extragerea unei chei private. Cercetătorul a primit premiul de aproximativ 2.000 USD.

Ce este confirmat?

Cercetătorul documentează o tehnică ce combină coruperea memoriei PHP, divulgarea unor adrese interne și executarea unei comenzi.

În laborator, exploitul a funcționat în 7 din 10 încercări, folosind PHP 8.4.26 pe Alpine Linux, cu serverul HTTP integrat în PHP și patru procese worker.

Organizatorul competiției confirmă succesul testului real. Totuși, configurația utilizată nu reprezintă o instalare WordPress obișnuită. GitHub

Ce rămâne încă neclar?

• Dacă acest PoC poate fi adaptat rapid pentru configurații WordPress obișnuite, cu PHP-FPM.
• Cât de fiabil este împotriva altor versiuni și distribuții Linux.
• Dacă atacatorii folosesc deja această implementare împotriva unor site-uri reale.

Autorul recunoaște că nu a păstrat captura HTTP completă a exploatării din competiție.

Important: aceasta este o exploatare demonstrată într-un mediu autorizat, nu o compromitere confirmată a unui site WordPress de producție.

Acțiuni recomandate pentru administratorii WordPress

1. Verificați toate instanțele PHP, inclusiv staging și containere. Confirmați instalarea versiunilor remediate și repornirea proceselor.
2. Investigați cererile multipart neobișnuite, erorile repetate de epuizare a memoriei și comportamentul suspect al sesiunilor PHP.
3. Prioritizați serverele neactualizate, chiar dacă folosesc NGINX. Demonstrația arată că existența unui exploit funcțional nu depinde exclusiv de Apache.
4. Nu executați PoC-ul pe site-uri de producție. Testarea activă poate provoca erori sau întreruperi ale serviciului.

ACTUALIZARE 28: PHP2Shell: noi patch-uri disponibile pentru servere WordPress cu PHP și sisteme de operare ieșite din suport

26 octombrie 2026, 05:53 ora României
Actualizare verificată: 26 octombrie, 04:24, ora României.

National Cyber Security Centre Netherlands (NCSC-NL) a actualizat registrul de remedieri PHP2Shell, incluzând pachetele de securitate furnizate de GetPageSpeed pentru infrastructuri care nu mai primesc actualizări PHP obișnuite.

Noutatea importantă: GetPageSpeed a extins pe 25 octombrie disponibilitatea patch-urilor pentru distribuții Linux vechi, inclusiv Ubuntu 20.04, Ubuntu 18.04 și Debian 10. Pachetele pentru CentOS 7 fuseseră completate pe 24 octombrie.

Ce versiuni sunt acoperite?

Pachetele conțin remedieri pentru CVE-2026-109618 și CVE-2026-109619, potrivit furnizorului.

Surse primare:

GetPageSpeed – Patch-uri PHP2Shell pentru Ubuntu și Debian

NCSC-NL – Registrul oficial de remedieri PHP2Shell

Ce este confirmat și ce rămâne încă neclar?

Confirmat: furnizorul declară că pachetele sunt disponibile și că a testat remedierea celor două vulnerabilități. NCSC-NL le include în registrul său de produse remediate.

Limitări: acestea sunt pachete furnizate de un terț, nu versiuni noi lansate de echipa PHP. Utilizarea comercială în producție necesită o licență GetPageSpeed Ultra sau superioară.

Nu există dovezi noi privind compromiteri WordPress, vectori de atac suplimentari sau o creștere majoră a tentativelor de exploatare.

Acțiuni recomandate pentru administratorii WordPress

1. Identificați serverele care folosesc distribuții Linux ieșite din suport, în special Ubuntu 20.04 și CentOS 7.
2. Verificați versiunile exacte ale pachetelor PHP. Un număr de versiune vechi nu înseamnă automat că un pachet cu remedieri retroportate este vulnerabil.
3. Pentru infrastructura afectată, evaluați pachetele furnizorului, testați compatibilitatea și reporniți procesele PHP după actualizare.
4. Planificați migrarea către versiuni PHP și sisteme de operare suportate. Aceste remedieri nu rezolvă celelalte riscuri asociate utilizării software-ului ieșit din suport.

ACTUALIZARE 27: PHP2Shell: Oracle publică 9 patch-uri de securitate pentru produsele afectate

26 octombrie 2026, 02:04 ora României
Publicare oficială: 25 octombrie 2026, ora nespecificată.

Oracle a publicat un nou buletin de securitate pentru CVE-2026-109618 și CVE-2026-109619, confirmând disponibilitatea a 9 patch-uri pentru produse care includ componente PHP vulnerabile.

Aceasta este o evoluție nouă față de notificarea anterioară.

Sursa primară: Oracle Security Alert – CVE-2026-109618 și CVE-2026-109619

Ce produse sunt afectate?

Buletinul oficial identifică:

• Oracle Solaris 11: un patch de securitate.
• Oracle Communications: opt patch-uri pentru produse precum Diameter Signaling Router, EAGLE, Unified Assurance și User Data Repository.

Oracle clasifică vulnerabilitățile drept exploatabile de la distanță, fără autentificare, și le atribuie un scor CVSS 3.1 de 9,8/10.

Compania precizează că remedierea pentru CVE-2026-109618 acoperă și CVE-2026-109619.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Oracle a publicat oficial patch-uri pentru nouă produse afectate și recomandă instalarea lor imediată.

Neconfirmat: existența unor atacuri reușite împotriva produselor Oracle folosind PHP2Shell.

Buletinul nu raportează compromiteri WordPress și nu oferă statistici noi privind tentativele de exploatare.

Acțiuni recomandate

1. Verificați infrastructura Oracle existentă, în special serverele Solaris 11 care rulează aplicații PHP.
2. Instalați patch-urile corespunzătoare folosind documentația disponibilă în Oracle Support.
3. Verificați repornirea serviciilor PHP după aplicarea actualizărilor și confirmați că procesele active folosesc versiunile remediate.

ACTUALIZARE 26: PHP2Shell: Unit 42 retrage informațiile despre presupusa exploatare într-o instituție guvernamentală europeană

26 octombrie 2026, 00:35 ora României
Actualizare oficială: 25 octombrie 2026, ora 23:15, ora României (14:15 PT).

Palo Alto Networks, prin echipa sa de cercetare Unit 42, a retras actualizarea din 23 octombrie referitoare la un incident de securitate investigat într-o instituție guvernamentală europeană.

Noutatea importantă: cercetătorii declară explicit că nu pot confirma că accesul inițial în sistemele instituției a fost obținut prin CVE-2026-109618 sau CVE-2026-109619.

Această corecție privește direct incidentul comunicat în alerta din 24 octombrie.

Sursa primară: Unit 42 – Threat Brief: Critical Vulnerabilities in PHP, actualizat pe 25 octombrie

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Unit 42 a investigat un atac împotriva unei instituții guvernamentale europene, într-un mediu care includea o aplicație PHP vulnerabilă.

Neconfirmat: faptul că PHP2Shell a reprezentat vectorul de acces inițial.

Prin urmare, incidentul nu mai poate fi utilizat drept exemplu de compromitere atribuită PHP2Shell.

Retragerea nu invalidează existența vulnerabilităților sau demonstrațiile tehnice de exploatare publicate de alți cercetători.

Acțiuni recomandate pentru administratorii WordPress

1. Corectați rapoartele de securitate care prezintă incidentul guvernamental european drept o compromitere confirmată prin PHP2Shell.
2. Mențineți actualizările PHP existente. Retragerea nu modifică severitatea vulnerabilităților CVE-2026-109618 și CVE-2026-109619.
3. Păstrați distincte tentativele de exploatare, demonstrațiile tehnice și compromiterile confirmate în rapoartele transmise clienților.

ACTUALIZARE 25: PHP2Shell: CYFIRMA identifică o campanie de scanare direcționată asupra a 216 servere PHP

25 octombrie 2026, 21:30 ora României
Informație nou identificată: 24 octombrie 2026, aproximativ 01:47-02:22, ora afișată în sursa investigată (fus orar nespecificat).

CYFIRMA raportează că o grupare de atacatori vorbitori de coreeană a trecut de la pregătirea unei campanii PHP2Shell la scanarea activă a unor servere selectate.

Această activitate nu fusese inclusă în notificările anterioare.

Ce au descoperit cercetătorii?

Potrivit raportului CYFIRMA, actualizat pe 24 octombrie:

• Atacatorii au selectat 216 servere PHP considerate neactualizate sau insuficient protejate.
• Aproximativ o treime dintre acestea fuseseră deja scanate la momentul observației.
• Scanările provin de la 21 de noduri despre care cercetătorii afirmă că sunt compromise.
• Atacatorii folosesc o strategie „low-and-slow”: cereri puține, distribuite în timp, pentru evitarea mecanismelor de detecție.
• Printre țintele prioritare se află instituții guvernamentale, bănci, companii de logistică și platforme de tranzacționare.

CYFIRMA consideră posibilă o legătură cu ecosistemul nord-coreean Lazarus, dar atribuie acestei ipoteze doar un nivel moderat de încredere.

Sursa primară: CYFIRMA – Suspected DPRK Campaign Staging PHP2Shell Targeting

Ce este confirmat și ce rămâne încă neclar?

Documentat de CYFIRMA: existența unei liste de ținte raportate de atacatori, utilizarea unor noduri de scanare și activități suspecte asociate infrastructurii identificate.

Neconfirmat independent: identitatea atacatorilor, afilierea la Lazarus și compromiterea celor 216 servere.

Este importantă distincția: 216 reprezintă numărul serverelor selectate ca ținte, nu numărul serverelor compromise prin PHP2Shell.

CYFIRMA nu confirmă compromiterea în masă a acestor ținte. Datele provin parțial din informații colectate dintr-un canal închis, care nu pot fi verificate independent în întregime.

Acțiuni recomandate pentru administratorii WordPress

1. Verificați indicatorii de compromitere publicați de CYFIRMA. Raportul conține adresele IP asociate infrastructurii de scanare. Căutați conexiuni anterioare în logurile WAF și ale serverului web.
2. Nu vă bazați exclusiv pe rate limiting. Scanările cu frecvență redusă pot evita regulile care detectează doar volume mari de cereri.
3. Prioritizați serverele PHP expuse public care nu au primit patch-urile. Verificați inclusiv mediile de staging și repornirea proceselor PHP după actualizare.
4. Pentru hosting administrat, solicitați furnizorului confirmarea că monitorizează indicatorii campaniei. Nu este necesară blocarea manuală a adreselor IP dacă infrastructura este deja protejată corespunzător.

ACTUALIZARE 24: PHP2Shell: Palo Alto Networks confirmă lansarea a trei patch-uri PAN-OS

25 octombrie 2026, 18:18 ora României
Actualizare oficială: 25 octombrie 2026, ora publicării nespecificată.

Palo Alto Networks a confirmat disponibilitatea a trei versiuni PAN-OS care remediază vulnerabilitățile CVE-2026-109618 și CVE-2026-109619.

Noutatea importantă: în notificarea anterioară am semnalat eliminarea datelor estimate de lansare, dar motivul nu era clar. Istoricul oficial al comunicatului confirmă acum că datele au fost eliminate deoarece patch-urile au fost deja lansate.

Versiunile remediate

Celelalte versiuni remediate sunt programate, în continuare, pentru perioada 27-30 octombrie.

Sursa primară: Palo Alto Networks – Security Advisory CVE-2026-109618

Ce este confirmat și ce rămâne încă neclar?

Confirmat: cele trei patch-uri au fost lansate oficial. Acestea remediază vulnerabilitățile PHP2Shell în versiunile PAN-OS corespunzătoare.

Neconfirmat: existența unor exploatări malițioase împotriva produselor Palo Alto Networks. Compania declară că nu are cunoștință despre asemenea incidente.

Nu există informații noi despre compromiterea unor site-uri WordPress prin aceste vulnerabilități.

Acțiuni recomandate

1. Administratorii PAN-OS: verificați disponibilitatea versiunilor remediate și programați instalarea dacă utilizați una dintre ramurile afectate.
2. Verificați interfețele de administrare: accesul HTTPS și XML API trebuie restricționat la rețele de încredere.
3. Mențineți protecțiile Threat Prevention active, inclusiv după instalarea patch-urilor.

ACTUALIZARE 23: PHP2Shell: Palo Alto Networks retrage datele estimate pentru primele trei patch-uri PAN-OS

25 octombrie 2026, 12:44 ora României
Actualizare oficială: 25 octombrie 2026, ora exactă nespecificată.

Palo Alto Networks a modificat calendarul remedierilor pentru CVE-2026-109618 și CVE-2026-109619.

Noutatea importantă: compania a eliminat datele estimate de lansare pentru trei patch-uri PAN-OS care erau programate inițial pentru 26 octombrie.

Sunt afectate următoarele versiuni:

• PAN-OS 10.2.18-h13: data estimată de 26 octombrie a fost eliminată.
• PAN-OS 11.1.16-h4: data estimată de 26 octombrie a fost eliminată.
• PAN-OS 11.2.10-h16: data estimată de 26 octombrie a fost eliminată.

Celelalte remedieri păstrează, deocamdată, datele estimate între 27 și 30 octombrie.

Sursa primară: Palo Alto Networks – Security Advisory, actualizat pe 25 octombrie.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Palo Alto Networks a eliminat explicit cele trei date estimate. Modificarea apare în istoricul oficial al comunicatului.

Compania confirmă și că vulnerabilitatea suplimentară CVE-2026-115560 nu afectează PAN-OS, deoarece configurația necesară exploatării nu este utilizată de acest produs. Evaluarea celorlalte produse continuă.

Neconfirmat: motivul eliminării datelor. Nu este clar dacă patch-urile au fost amânate sau dacă disponibilitatea lor urmează să fie confirmată separat.

Nu există o confirmare explicită că cele trei versiuni remediate pot fi deja instalate.

Acțiuni recomandate

1. Nu presupuneți că patch-urile vor fi disponibile pe 26 octombrie. Verificați disponibilitatea efectivă în portalul Palo Alto Networks înainte de programarea intervenției.
2. Mențineți restricționat accesul la interfețele de administrare PAN-OS și Panorama, exclusiv din rețele interne sau prin sisteme de administrare autorizate.
3. Păstrați active protecțiile Threat Prevention și verificați că traficul relevant este inspectat corespunzător.

ACTUALIZARE 22: PHP2Shell: noi exploituri publicate pentru versiuni PHP deja actualizate, dar fără confirmare oficială

25 octombrie 2026, ora României
Publicarea informațiilor: 24 octombrie 2026, ora exactă nespecificată.

O nouă cercetare publicată de Andrew Dorman și analizată de RedEye Security susține existența mai multor vulnerabilități care ar permite executarea de cod inclusiv pe versiunile PHP actualizate pe 21 octombrie.

Noutatea importantă: cercetătorul a publicat cod demonstrativ și rezultate ale unor teste care pretind executarea de comenzi pe PHP 8.5.12 și 8.3.36, inclusiv în medii WordPress.

Aceste afirmații nu sunt încă validate independent de echipa PHP.

Ce este confirmat și ce rămâne încă neclar?

Confirmat:

• Codul demonstrativ și rezultatele raportate de cercetător sunt publice.
• Există cel puțin o regresie reală introdusă de actualizările PHP din 21 octombrie: o eroare de tip double-free asociată SimpleXML, verificată în proiectul oficial PHP.
• Echipa PHP nu a publicat încă un nou comunicat care să confirme toate vulnerabilitățile suplimentare raportate.

Neconfirmat:

• Fiabilitatea exploit-urilor suplimentare în configurații obișnuite de producție.
• Afirmația că acestea permit compromiterea oricărei instalări WordPress actualizate.
• Existența unor atacuri reale care utilizează noile tehnici.
• Compromiterea unor site-uri WordPress prin aceste vulnerabilități suplimentare.

Nu există nici o nouă creștere cuantificată a tentativelor de exploatare în sursele verificate.

Acțiuni recomandate pentru administratorii WordPress

1. Nu reveniți la versiunile PHP vulnerabile. Actualizările din 21 octombrie rămân necesare pentru CVE-2026-109618 și CVE-2026-109619.
2. Păstrați dezactivat session.upload_progress.enabled, dacă funcționalitatea nu este necesară. Aceasta reduce expunerea la anumite tehnici, dar nu reprezintă o protecție completă.
3. Monitorizați erorile PHP-FPM și Apache, în special zend_mm_heap corrupted, erorile de memorie și repornirile neobișnuite ale proceselor.
4. Pentru infrastructura administrată direct, urmăriți confirmările echipei PHP înainte de implementarea unor soluții neoficiale. Verificați separat eventualele remedieri distribuite de furnizorul sistemului de operare.

ACTUALIZARE 21: PHP2Shell: Trail of Bits raportează un exploit funcțional pe WordPress și PHP-FPM, în configurații de producție

24 octombrie 2026, 13:47 ora României
Informație publicată: 24 octombrie, ora 05:52, ora României (02:52 UTC).

Trail of Bits raportează că a dezvoltat un exploit PHP2Shell suficient de fiabil pentru utilizarea în condiții reale de producție.

Noutatea importantă: spre deosebire de demonstrația VulnCheck comunicată anterior, care viza Apache cu mod_php, noul exploit ar funcționa și pe NGINX cu PHP-FPM, inclusiv împotriva instalărilor WordPress.

Ce a demonstrat Trail of Bits?

Potrivit declarației publicate de Dan Guido, CEO-ul companiei, exploitul funcționează în următoarele condiții:

• Apache cu mod_php, dar și NGINX cu PHP-FPM.
• Sisteme x86-64 și ARM64.
• ASLR activat și display_errors=off.
• Configurația standard php.ini-production, cu limite normale de memorie.
• Servere cu mai multe procese PHP, inclusiv sub încărcare.
• Aplicații precum WordPress, MediaWiki, phpBB și Laravel.

Compania descrie exploitul drept „production-grade”, dar nu a publicat codul acestuia. Informațiile au fost centralizate și verificate documentar de Mallory în actualizarea din 24 octombrie, ora 07:15, ora României.

Surse:

Dan Guido – Declarația originală despre exploit, 24 octombrie

Mallory – Analiza tehnică actualizată pe 24 octombrie

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Trail of Bits declară că deține un exploit funcțional în configurații PHP de producție, inclusiv pe PHP-FPM. VulnCheck confirmă separat că propriul exploit funcționează pe instalări WordPress Docker standard, cu anumite versiuni PHP vulnerabile.

Neconfirmat: rezultatele Trail of Bits nu au putut fi reproduse independent din cod public. Nu există dovezi noi că atacatorii folosesc acest exploit în campanii reale.

De asemenea, nu a fost confirmată o nouă compromitere WordPress atribuită fără echivoc PHP2Shell.

Acțiuni recomandate pentru administratorii WordPress

1. Prioritizați inclusiv serverele NGINX cu PHP-FPM. Nu considerați această arhitectură suficient de sigură doar pentru că demonstrațiile inițiale vizau în principal Apache.
2. Confirmați instalarea versiunilor PHP remediate: 8.2.35, 8.3.36, 8.4.27 sau 8.5.12, respectiv pachetele echivalente corectate de furnizor. Verificați și repornirea proceselor PHP.
3. Pentru site-urile administrate prin Pressable sau alți furnizori de hosting, solicitați confirmarea că toate instanțele PHP, inclusiv mediile de staging, rulează codul remediat.
4. Păstrați dezactivată funcționalitatea Session Upload Progress, dacă nu este necesară, conform recomandării oficiale PHP pentru vulnerabilitatea suplimentară CVE-2026-115560.

ACTUALIZARE 20: PHP2Shell: CISA publică o regulă oficială pentru detectarea tentativelor de exploatare

24 octombrie 2026, 11:53 ora României
Actualizare oficială: 23 octombrie 2026, ora publicării nespecificată.

Cybersecurity and Infrastructure Security Agency (CISA) a actualizat alerta privind CVE-2026-109618 și CVE-2026-109619 și a pus la dispoziție o regulă SIGMA dedicată identificării activităților suspecte asociate PHP2Shell.

Spre deosebire de recomandările generale de monitorizare comunicate anterior, administratorii care utilizează soluții SIEM pot integra acum o regulă oficială, cu indicatori concreți.

Surse primare:

CISA – Critical Vulnerabilities in PHP Require Immediate Patching

CISA – Regula SIGMA PHP2Shell, disponibilă pe GitHub

Ce aduce nou regula?

Regula CISA_SIGMA_261429, modificată pe 23 octombrie, urmărește mai multe categorii de indicatori:

• Solicitări HTTP suspecte care conțin PHP_SESSION_UPLOAD_PROGRESS și anumite marcaje asociate exploit-urilor publice.
• Procese precum bash, curl, wget sau python asociate activității serverelor PHP.
• Erori PHP de epuizare a memoriei, care pot apărea în timpul unor tentative de exploatare.
• Adrese IP, domenii și indicatori de compromitere colectați din rapoartele cercetătorilor de securitate.

Regula are nivelul de alertare Critical, dar CISA avertizează că anumite condiții pot produce numeroase rezultate fals pozitive. Este necesară adaptarea la infrastructura monitorizată.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: CISA a publicat regula oficială și a actualizat recomandările de detectare.

Neconfirmat: apariția unor noi compromiteri sau a unor vectori de exploatare necunoscuți anterior. Regula reunește indicatori existenți și nu reprezintă dovada unei noi campanii de atac.

În comunicatul actualizat, CISA precizează că nu observase exploatări reușite în telemetria proprie la momentul publicării. Această afirmație nu exclude incidentele investigate de alți furnizori.

Acțiuni recomandate pentru administratorii WordPress

1. Dacă utilizați un SIEM, descărcați regula oficială CISA și adaptați-o la sursele de loguri disponibile.
2. Testați regula înainte de activarea alertelor automate. CISA avertizează asupra riscului de rezultate fals pozitive, în special pentru indicatorii generici.
3. Analizați retrospectiv logurile începând cu 17 octombrie, folosind indicatorii publicați. Aceasta este cea mai timpurie dată pentru care Amazon a raportat tentative de exploatare.
4. Păstrați verificarea patch-urilor PHP ca prioritate. O regulă de detecție nu împiedică exploatarea și nu înlocuiește actualizarea serverului.

ACTUALIZARE 19: PHP2Shell: Palo Alto Networks confirmă oficial extinderea protecțiilor împotriva exploatării

24 octombrie 2026, 07:19 ora României
Actualizare oficială: 24 octombrie 2026, ora publicării nespecificată.

Palo Alto Networks a actualizat avertismentul pentru CVE-2026-109618 și CVE-2026-109619, confirmând disponibilitatea unor semnături suplimentare de protecție.

Noutatea: compania documentează acum 25 de semnături Threat Prevention și pachetele de conținut 9162, 9163 și 9164 sau ulterioare. Anterior, comunicatul menționa doar cinci semnături, iar disponibilitatea pachetului 9163 fusese raportată separat, fără confirmare explicită în documentația oficială.

Sursa primară: Palo Alto Networks – Security Advisory CVE-2026-109618, actualizat pe 24 octombrie.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Palo Alto Networks a extins lista semnăturilor recomandate pentru detectarea și blocarea tentativelor de exploatare PHP2Shell.

Pentru ca protecțiile să funcționeze asupra interfeței de administrare PAN-OS, compania precizează că traficul trebuie direcționat și configurat astfel încât firewall-ul să îl poată inspecta, inclusiv prin decriptarea conexiunilor HTTPS relevante.

Neconfirmat: dacă noile semnături corespund unor vectori de exploatare descoperiți recent sau reprezintă îmbunătățiri ale detecției tehnicilor deja cunoscute.

Compania declară în continuare că nu are cunoștință despre exploatări malițioase ale acestor vulnerabilități împotriva propriilor produse.

Acțiuni recomandate

1. Actualizați pachetele Applications and Threats la cea mai recentă versiune disponibilă, dacă administrați echipamente Palo Alto Networks.
2. Verificați activarea semnăturilor Threat Prevention și configurația necesară inspectării traficului către interfețele de administrare.
3. Mențineți accesul la interfețele PAN-OS și Panorama restricționat la adrese IP interne sau de încredere, până la instalarea patch-urilor programate pentru 26-30 octombrie.

ACTUALIZARE 18: PHP2Shell: Google și Mandiant publică noi măsuri de protecție și indicatori pentru detectarea atacurilor

24 octombrie 2026, 04:06, ora României
Actualizare oficială: 24 octombrie, ora 01:20, ora României (23 octombrie, 15:20 PDT).

Google Cloud a actualizat comunicatul PHP2Shell cu recomandări tehnice suplimentare din partea Mandiant Consulting.

Noutatea importantă: documentul include acum indicatori concreți pentru identificarea tentativelor de exploatare, tehnici de evitare a protecțiilor WAF și măsuri temporare pentru serverele care nu pot fi actualizate imediat.

Sursa primară: Google Cloud – Responding to core PHP vulnerabilities, actualizare 23 octombrie

Ce este nou?

1. Noi indicatori pentru identificarea exploatării PHP2Shell

Mandiant recomandă investigarea următoarelor comportamente:

• Cookie-uri PHPSESSID neobișnuit de lungi, peste 256 de caractere, care pot indica tentative de extragere a informațiilor din memorie.
• Serii de 50–150 de conexiuni persistente OPTIONS * HTTP/1.1, utilizate pentru manipularea disponibilității proceselor Apache.
• Solicitări repetate către adrese care conțin segmente .php/, precum și alternanțe rapide între răspunsuri HTTP 500 și 200.
• Procese precum bash, curl, wget sau python lansate de procesele PHP ori de serverul web.

Acești indicatori nu demonstrează individual o compromitere, dar pot justifica o investigație.

2. Recomandări suplimentare pentru evitarea exploatării

Google documentează măsuri temporare pentru serverele neactualizate, inclusiv restricționarea solicitărilor multipart, limitarea complexității formularelor și configurarea proceselor PHP-FPM astfel încât să fie repornite după fiecare solicitare.

Unele măsuri pot afecta performanța sau funcționalitățile aplicațiilor. Nu trebuie aplicate automat tuturor site-urilor WordPress.

3. Atenție la actualizările PHP care nu repornesc procesele existente

Google avertizează că instalarea unui pachet PHP actualizat nu garantează eliminarea imediată a vulnerabilității.

Procesele PHP-FPM, Apache, FrankenPHP sau LiteSpeed care rulează deja pot continua să utilizeze codul vulnerabil până la repornire.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Google a publicat recomandări tehnice suplimentare, inclusiv indicatori de detecție și măsuri de reducere a expunerii.

Neconfirmat: că toate tehnicile documentate au fost utilizate în atacuri reale sau că au produs noi compromiteri WordPress.

Actualizarea nu oferă un nou bilanț al site-urilor compromise și nici statistici care să demonstreze o creștere suplimentară a tentativelor de exploatare.

ACTUALIZARE 17: PHP2Shell: Unit 42 raportează o compromitere a unei instituții guvernamentale europene și activități de atac asistate de AI

24 octombrie 2026, 00:26 ora României
Actualizare oficială: 23 octombrie 2026, ora 22:30, ora României (12:30 PDT).

Palo Alto Networks a actualizat raportul PHP2Shell cu informații despre o intruziune reală investigată de echipa sa de cercetare, Unit 42.

Noutatea importantă: cercetătorii descriu o compromitere în care atacatorii au obținut acces la informații sensibile și au încercat să-și extindă privilegiile în rețeaua victimei. Raportul include incidentul în analiza PHP2Shell, dar nu identifică explicit vulnerabilitatea folosită pentru accesul inițial.

Sursa primară: Unit 42 – Threat Brief: Critical Vulnerabilities in PHP, actualizat pe 23 octombrie

Ce au descoperit cercetătorii?

Într-un incident care a vizat o instituție guvernamentală europeană, atacatorii au reușit, în aproximativ două ore de la exploatarea inițială, să:

• Acceseze hash-uri de parole și secrete utilizate pentru autentificarea multifactor.
• Configureze un tunel NTLM relay către infrastructura Active Directory.
• Încerce escaladarea privilegiilor până la nivelul Domain Admin.

Unit 42 a identificat și indicii ale utilizării unor platforme de atac bazate pe AI. Comenzile erau organizate în secvențe scurte, cu rezultate structurate pentru prelucrare automată. Atacatorii își adaptau rapid acțiunile după operațiunile nereușite.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Unit 42 a observat activități post-compromitere, inclusiv accesarea unor informații de autentificare sensibile și încercări de escaladare a privilegiilor.

Încă neclar: raportul nu precizează explicit dacă accesul inițial a fost obținut prin CVE-2026-109618 sau CVE-2026-109619. Prin urmare, incidentul nu trebuie prezentat încă drept o compromitere atribuită fără echivoc PHP2Shell.

De asemenea, nu este confirmat că sistemul afectat utiliza WordPress.

Acțiuni recomandate pentru administratorii WordPress

1. Extindeți investigațiile dincolo de 21 octombrie. Amazon Threat Intelligence a identificat tentative de exploatare PHP2Shell încă din 17 octombrie. Verificați jurnalele disponibile începând cel puțin de la această dată.
2. Verificați procesele lansate de PHP și serverul web. Urmăriți execuții neobișnuite de comenzi, conexiuni externe suspecte și fișiere PHP necunoscute.
3. Investigați posibila expunere a credențialelor. Dacă există indicii de compromitere, verificați secretele din wp-config.php, parolele bazei de date și cheile API. Rotiți credențialele potențial expuse.
4. Confirmați aplicarea patch-urilor PHP și verificați separat toate mediile de staging, containerele și serverele administrate direct.

ACTUALIZARE 16: PHP2Shell: exploit funcțional împotriva configurațiilor PHP de producție și o limitare importantă a protecției Cloudflare

23 octombrie 2026, 22:17 ora României

Două informații tehnice importante, neincluse în notificările anterioare, schimbă evaluarea riscului PHP2Shell.

1. VulnCheck confirmă un exploit care ocolește ASLR chiar și cu display_errors=off

Actualizare tehnică: 23 octombrie, ora 05:00, ora României (22 octombrie, 19:00 ET).

VulnCheck confirmă că a dezvoltat un exploit funcțional pentru CVE-2026-109618, capabil să execute cod pe sisteme x86-64 cu ASLR activat și configurația PHP recomandată pentru producție.

Exploitul combină o scurgere de informații din memorie cu executarea de cod și funcționează, potrivit testelor companiei, pe PHP 8.4.10-8.4.26 fără modificări suplimentare.

Aceasta este o evoluție importantă față de exploitul analizat anterior de SOCRadar, care necesita anumite configurații nesigure.

Sursa primară: VulnCheck – PHP2Shell Vulnerabilities: Research Observations

Confirmat: VulnCheck a demonstrat executarea de cod în laborator, inclusiv pe sisteme cu protecțiile ASLR și display_errors=off.

Neconfirmat: utilizarea acestui exploit în atacuri reale sau compromiterea unor servere WordPress. Exploitul dezvoltat de VulnCheck este disponibil clienților săi specializați în securitate, nu ca instrument public general.

Acțiuni recomandate:

1. Prioritizați actualizarea serverelor care rulează PHP 8.4.10-8.4.26 la versiunea remediată 8.4.27 sau una ulterioară.
2. Nu considerați ASLR și display_errors=off protecții suficiente împotriva PHP2Shell.
3. Verificați inclusiv mediile de staging și serverele de dezvoltare expuse public.

2. Cloudflare confirmă o limitare a protecției WAF pentru noua vulnerabilitate PHP

Actualizare oficială: 23 octombrie 2026, ora exactă nespecificată.

Cloudflare a actualizat comunicatul PHP2Shell cu informații despre CVE-2026-115560, vulnerabilitatea suplimentară anunțată anterior de echipa PHP.

Noutatea importantă: regula WAF existentă protejează împotriva tentativelor cunoscute de exploatare a noului CVE numai dacă aplicația utilizează numele implicit al câmpului PHP pentru monitorizarea încărcărilor.

Dacă administratorul a modificat session.upload_progress.name, protecția respectivă nu se aplică.

Cloudflare identifică explicit regula „PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #6” ca protecție pentru noua vulnerabilitate.

Sursa primară: Cloudflare – PHP2Shell WAF Protection, actualizare 23 octombrie

Confirmat: există o limitare documentată a protecției WAF pentru CVE-2026-115560.

Neconfirmat: exploatarea acestei limitări în atacuri reale. Cloudflare nu raportează o nouă compromitere WordPress în actualizare.

Acțiuni recomandate:

1. Verificați dacă aplicațiile PHP utilizează o valoare personalizată pentru session.upload_progress.name.
2. Dacă nu aveți nevoie de Session Upload Progress, dezactivați funcționalitatea prin session.upload_progress.enabled=0 în configurația PHP și reporniți workerii.
3. Mențineți regulile WAF active, dar nu le considerați un substitut pentru actualizările PHP.

3. Hostinger confirmă protecția împotriva celui de-al treilea CVE

Actualizare oficială: 23 octombrie, ora 16:25, ora României (13:25 UTC).

Hostinger confirmă că toate planurile sale de hosting administrat, cu excepția VPS-urilor, sunt deja protejate împotriva CVE-2026-115560 prin măsurile implementate pe 21 octombrie.

Pentru VPS-uri, administrarea PHP și aplicarea măsurilor de protecție rămân responsabilitatea clientului.

Sursa primară: Hostinger – Protecții PHP2Shell și actualizări de securitate

Confirmat: furnizorul declară că protecțiile sunt implementate pe hostingul administrat și că versiunile PHP remediate au fost distribuite.

Neconfirmat: existența unor noi compromiteri. Hostinger declară că nu a observat o creștere a infectărilor malware pe infrastructura sa administrată.

Acțiuni recomandate:

1. Pentru site-urile WordPress găzduite pe Hostinger administrat, verificați starea protecțiilor în panoul furnizorului.
2. Pentru VPS-uri, actualizați PHP, dezactivați temporar Session Upload Progress și reporniți procesele PHP.

ACTUALIZARE 15: PHP2Shell: Palo Alto Networks distribuie o actualizare suplimentară de protecție

23 octombrie 2026, 19:26 ora României
Data informației: 23 octombrie 2026, ora publicării nespecificată.

O nouă alertă publicată de departamentul IT al Chinese University of Hong Kong semnalează disponibilitatea unei actualizări de urgență pentru produsele Palo Alto Networks.

Noutatea: pachetul de semnături 9163-10313 ar extinde protecția împotriva unor variante suplimentare de exploatare PHP2Shell.

Actualizarea poate fi instalată manual, fără repornirea firewall-ului.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Palo Alto Networks documentează oficial protecțiile Threat Prevention pentru CVE-2026-109618 și CVE-2026-109619, inclusiv semnăturile 543004 și 97622-97625.

Raportat, dar neverificat independent: universitatea indică versiunea exactă 9163-10313 și afirmă că aceasta extinde protecția împotriva unor variante noi de exploit.

Comunicatul oficial Palo Alto, actualizat pe 23 octombrie, nu menționează explicit acest număr de versiune.

Nu există în aceste surse dovezi noi privind compromiterea unor site-uri WordPress sau exploatarea reușită a produselor Palo Alto.

ACTUALIZARE 14: PHP2Shell: Barracuda publică protecții noi, dar unele necesită configurare manuală

23 octombrie 2026, 17:12 ora României
Publicare oficială: 23 octombrie 2026, ora exactă nespecificată.

Barracuda Networks a publicat instrucțiuni oficiale pentru protejarea aplicațiilor PHP împotriva CVE-2026-109618 și CVE-2026-109619.

Noutatea importantă: protecția împotriva CVE-2026-109619 este aplicată automat în Barracuda WAF-as-a-Service, dar utilizatorii echipamentelor Barracuda Web Application Firewall trebuie să configureze manual o politică suplimentară.

Ce este nou?

Barracuda confirmă următoarele:

• CVE-2026-109618: politica implicită WAF poate bloca exploatarea prin solicitări supradimensionate, dacă funcționează în modul de blocare.
• CVE-2026-109619: Barracuda WAF-as-a-Service beneficiază automat de protecții pentru tiparele de exploatare cunoscute.
• Barracuda Web Application Firewall: administratorii trebuie să configureze manual o regulă pentru parametrul PHP_SESSION_UPLOAD_PROGRESS.
• Furnizorul pregătește îmbunătățiri suplimentare pentru detectarea tehnicilor de evitare a filtrelor, inclusiv solicitări HTTP fragmentate și antete excesive în formularele multipart.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Barracuda a validat protecția implicită pentru vectorul bazat pe solicitări supradimensionate și a publicat măsuri suplimentare pentru CVE-2026-109619.

Încă neclar: cât de eficiente sunt aceste protecții împotriva tuturor variantelor posibile de exploatare. Furnizorul precizează că testele de acoperire continuă.

Nu au fost raportate noi compromiteri WordPress confirmate în acest comunicat.

ACTUALIZARE 13: PHP2Shell: Palo Alto Networks anunță calendarul patch-urilor pentru PAN-OS

23 octombrie 2026, 15:43 ora României
Actualizare oficială: 23 octombrie, ora publicării nespecificată.

Palo Alto Networks a actualizat comunicatul privind CVE-2026-109618 și CVE-2026-109619, publicând primele date estimate pentru lansarea patch-urilor PAN-OS.

În alerta anterioară despre acest furnizor, disponibilitatea corecțiilor era încă necunoscută. Acum, compania estimează că acestea vor începe să fie distribuite pe 26 octombrie.

Sursa primară: Palo Alto Networks – CVE-2026-109618 Security Advisory

Ce este nou?

• PAN-OS 10.2, 11.1, 11.2, 12.1 și 12.2: patch-urile sunt programate între 26 și 30 octombrie, în funcție de versiune.
• Panorama: toate versiunile rămân afectate, fără o dată estimată pentru remediere.
• WildFire Cloud: compania confirmă că remedierea a fost aplicată pe 22 octombrie.
• Cortex XCORE SaaS: remedierea a fost aplicată pe 21 octombrie.

Palo Alto Networks precizează că vulnerabilitățile afectează interfața web de administrare și serviciul XML API, nu funcționalitatea obișnuită de procesare a traficului firewall.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: există un calendar oficial estimativ pentru remedierea PAN-OS și confirmări privind două servicii deja actualizate.

Neconfirmat: existența unor compromiteri reușite ale produselor Palo Alto Networks. Compania declară în continuare că nu are cunoștință despre exploatări malițioase reușite împotriva acestora.

Datele de lansare sunt estimative și pot suferi modificări.

ACTUALIZARE 12: PHP2Shell: PHP confirmă o nouă vulnerabilitate RCE, încă neremediată

23 octombrie 2026, 14:43 ora României
Publicare oficială: 23 octombrie 2026, ora exactă nespecificată.

Echipa PHP a publicat un nou avertisment de securitate privind CVE-2026-115560, o vulnerabilitate care poate permite executarea de cod de la distanță (RCE).

Noutatea importantă: vulnerabilitatea nu este remediată de actualizările de urgență lansate pe 21 octombrie pentru PHP2Shell. PHP recomandă o măsură temporară de protecție până la următoarea actualizare obișnuită.

Sursa primară: PHP – Informational advisory: Session upload progress, 23 octombrie.

Ce este nou?

Noua vulnerabilitate apare numai într-o combinație neobișnuită de configurare și cod PHP.

Pentru ca problema să poată fi exploatată, trebuie îndeplinite simultan următoarele condiții:

1. Aplicația configurează session.serialize_handler cu valoarea php_binary sau php_serialize.
2. Ulterior, aplicația modifică această valoare în php, folosind ini_set(), înainte de apelarea session_start().
3. Funcționalitatea session.upload_progress rămâne activată.

PHP consideră această combinație puțin probabilă în aplicațiile obișnuite.

Spre deosebire de PHP2Shell, noua vulnerabilitate nu justifică momentan o actualizare de urgență, potrivit echipei PHP. Remedierea va fi inclusă în ciclul normal de lansări.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: PHP recunoaște existența unui nou vector RCE, identificat prin CVE-2026-115560, și recomandă dezactivarea temporară a funcționalității Session Upload Progress.

Neconfirmat: existența unor atacuri reale care exploatează noua vulnerabilitate. Nu există un bilanț public al serverelor compromise prin acest vector.

De asemenea, PHP nu a publicat încă lista completă a versiunilor afectate sau versiunea exactă care va conține remedierea.

ACTUALIZARE 11: PHP2Shell: 22% dintre organizațiile monitorizate în România au fost vizate de tentative de exploatare

23 octombrie 2026, 13:24 ora României
Raport publicat: 22 octombrie 2026, ora exactă nespecificată.

Un nou raport al Check Point Software Technologies prezintă primele statistici detaliate despre amploarea atacurilor PHP2Shell la nivel internațional.

Noutatea importantă: România se află printre cele mai afectate cinci țări din lume, potrivit telemetriei Check Point Research.

Ce arată noile date?

Din organizațiile monitorizate de Check Point, următoarele proporții au fost vizate de tentative de exploatare a CVE-2026-109618 și CVE-2026-109619:

Telecomunicațiile (20%) și educația (18%) sunt sectoarele cu cele mai mari proporții de organizații vizate.

Cercetătorii au observat și că activitatea atacatorilor atinge un vârf în jurul miezului nopții.

Sursa primară: Check Point Research – PHP2Shell: One in ten organizations impacted

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Check Point a înregistrat tentative de exploatare care au vizat aproximativ 22% dintre organizațiile din România incluse în telemetria sa.

Neconfirmat: că 22% dintre organizațiile din România au fost compromise.

Compania precizează explicit că termenul „impacted” se referă la organizații împotriva cărora au fost observate tentative de exploatare. Nu există suficiente informații pentru a stabili dacă atacurile au reușit.

De asemenea, procentul nu reprezintă toate companiile din România, ci organizațiile monitorizate de Check Point.

Raportul nu oferă nici o comparație cu un interval anterior care să permită calcularea unei creșteri procentuale a atacurilor.

ACTUALIZARE 10: PHP2Shell: Sophos retrage confirmarea unei compromiteri reușite

23 octombrie 2026, 11:38 ora României
Actualizare oficială: 23 octombrie, ora 00:21, ora României (22 octombrie, 21:21 UTC).

Sophos a publicat o corecție importantă care schimbă concluziile alertei din 22 octombrie, ora 22:33.

După o analiză suplimentară, cercetătorii Sophos au stabilit că:

Compania retrage afirmația potrivit căreia ar fi observat exploatarea reușită a vulnerabilităților PHP2Shell într-un mediu de producție.

Ce s-a schimbat?

• Activitatea identificată reprezenta scanări și un număr redus de tentative de exploatare eșuate.
• Malware-ul Potassium, o posibilă variantă Mirai, nu a fost instalat pe sistemul vizat, deoarece tentativa a fost blocată.
• Nu există, în telemetria analizată, dovezi ale unei compromiteri reușite prin CVE-2026-109618 sau CVE-2026-109619.
• Sophos continuă să considere vulnerabilitățile critice și recomandă actualizarea urgentă a PHP.

Sursa primară: Sophos – PHP2Shell: Correction and new insights, 22 October 21:21 UTC

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Sophos a identificat tentative reale de exploatare și a analizat malware-ul asociat. Tentativa investigată nu a reușit.

Neconfirmat: existența unor compromiteri reușite în alte infrastructuri. Corecția Sophos nu demonstrează că niciun server din lume nu a fost compromis.

Această distincție este importantă, deoarece alerta anterioară prezenta incidentul Sophos drept o compromitere confirmată. Acea informație trebuie considerată retrasă.

ACTUALIZARE 9: PHP2Shell: descoperite instrumente de atac folosite pentru identificarea site-urilor WordPress vulnerabile

23 octombrie 2026, 10:31 ora României
Raport publicat: 22 octombrie 2026, ora publicării nespecificată.

SOCRadar a publicat o investigație care documentează infrastructura unui atacator ce pregătea exploatarea PHP2Shell împotriva unor site-uri reale, inclusiv WordPress.

Spre deosebire de demonstrațiile tehnice prezentate anterior, cercetătorii au descoperit instrumentele pe un server controlat de un atacator, alături de rezultatele verificărilor efectuate asupra unor ținte publice.

Ce este nou?

Cercetătorii au identificat un server cu directoare accesibile public, care conținea un exploit PHP2Shell testat în laborator și mai multe scripturi pentru identificarea țintelor vulnerabile.

Investigația a evidențiat trei lucruri importante:

• Aproximativ 20 de site-uri au fost verificate, iar 11 au fost analizate mai detaliat pentru identificarea configurațiilor PHP vulnerabile.
• Cinci site-uri WordPress au fost investigate suplimentar, folosind un script dedicat care verifica utilizatorii, pluginurile instalate, funcționalitățile XML-RPC și eventualele jurnale de depanare expuse.
• Atacatorul utiliza un sistem de proxy-uri rotative, pentru distribuirea solicitărilor și îngreunarea identificării infrastructurii sale.

Exploitul descoperit viza PHP 8.4.26 pe Apache mod_php și includea o metodă de ocolire a protecției ASLR, însă necesita anumite configurații nesigure pentru a funcționa.

Sursa primară: SOCRadar – PHP2Shell Exploit Tooling Found on Exposed Attacker Server

Ce este confirmat și ce rămâne încă neclar?

Confirmat: atacatorul dezvoltase un exploit funcțional în laborator și utiliza instrumente automate pentru identificarea site-urilor care îndeplineau condițiile necesare exploatării.

Dintre cele 11 site-uri analizate în detaliu, șase utilizau versiuni PHP 8.4 anterioare actualizării de securitate.

Neconfirmat: compromiterea vreunuia dintre aceste site-uri. Cercetătorii precizează explicit că niciuna dintre țintele investigate nu îndeplinea toate condițiile necesare exploitului descoperit.

Nu există dovezi că atacatorul a obținut acces la serverele WordPress respective.

ACTUALIZARE 8: PHP2Shell: Google Cloud actualizează protecțiile și introduce 23 de reguli noi de detecție

23 octombrie 2026, 07:58 ora României

Google Cloud a actualizat recomandările oficiale pentru CVE-2026-109618 și CVE-2026-109619. Cea mai recentă revizuire a fost publicată pe 22 octombrie, la 16:07 PDT (23 octombrie, 02:07 în România).

Noutatea importantă pentru administratorii infrastructurilor Google Cloud este disponibilitatea unor mecanisme suplimentare de identificare a serverelor expuse și a activităților suspecte.

Ce este nou?

Google confirmă că:

• Google Security Operations include 23 de reguli noi de detecție, adăugate în pachetul Mandiant Frontline Threats.
• Security Command Center poate identifica instanțele PHP vulnerabile expuse public prin modulul EXTERNALLY_EXPOSED_RCE_VULNERABILITY.
• Rezultatele verifică inclusiv traseul traficului prin load balancere, politicile Cloud Armor și regulile firewall, ajutând administratorii să identifice eventualele căi de acces neprotejate.
• Protecțiile Cloud Armor pentru PHP2Shell sunt disponibile prin regulile administrate. Clienții care le au deja activate beneficiază automat de acestea.

Google precizează că actualizarea PHP rămâne obligatorie. Protecțiile suplimentare nu elimină vulnerabilitățile din server.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Google a actualizat recomandările pentru identificarea sistemelor expuse și a documentat disponibilitatea celor 23 de reguli de detecție.

Neconfirmat: existența unor noi compromiteri WordPress sau a unei creșteri a atacurilor asociate acestei actualizări.

Nu există în comunicatul Google un nou bilanț al serverelor compromise.

ACTUALIZARE 7: PHP2Shell: Fortinet publică noi protecții, dar două necesită activare manuală

23 octombrie 2026, 04:16, ora României
Sursa: comunicat oficial Fortinet – FortiWeb and FortiAppSec Cloud PHP2Shell protection, publicat pe 22 octombrie.

A apărut o actualizare importantă pentru administratorii care protejează aplicații PHP și site-uri WordPress prin FortiWeb.

Fortinet confirmă disponibilitatea a trei semnături de securitate dedicate vulnerabilităților CVE-2026-109618 și CVE-2026-109619.

Problema este că două dintre cele trei semnături nu sunt activate automat în FortiWeb. Acestea necesită aprobarea administratorului pentru aplicarea acțiunilor de protecție configurate.

Ce este nou?

Actualizarea FDS 0.00438 introduce următoarele semnături:

Pentru FortiAppSec Cloud, toate cele trei protecții au fost aplicate automat.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: noile semnături sunt disponibile și pot bloca tentative de exploatare PHP2Shell, în funcție de politicile configurate.

Neconfirmat: existența unor compromiteri noi ale site-urilor WordPress asociate acestei actualizări. Fortinet nu publică un nou bilanț al atacurilor reușite.

ACTUALIZARE 6: PHP2Shell: Sophos confirmă o exploatare reușită și executarea de malware

22 octombrie 2026, 22:33 ora României

A apărut o informație importantă față de alertele anterioare: Sophos confirmă că a identificat o exploatare reușită a vulnerabilităților PHP2Shell, nu doar tentative de atac.

Ce este nou?

Într-o actualizare publicată pe 22 octombrie, la 16:18 UTC (19:18 în România), echipa Sophos Counter Threat Unit a raportat:

• Mai multe tentative de exploatare asociate PHP2Shell.
• O exploatare reușită, identificată prin analiza activității malițioase.
• Descărcarea și executarea unui program malware, aparent o variantă a botnetului Mirai, denumită potassium.
• Identificarea unor indicatori tehnici care permit administratorilor să caute urmele atacului în propriile sisteme.

În incidentul analizat, atacatorul a reușit să scrie un fișier malițios în directorul temporar al sistemului și să îl execute.

Aceasta este o diferență importantă față de raportul ELLIO prezentat anterior, care documenta solicitări ce transportau malware, fără să confirme executarea acestuia pe serverele vizate.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: Sophos a observat cel puțin o exploatare reușită și executarea unui program malițios asociat atacului.

Neconfirmat: serverul compromis utiliza WordPress. Raportul nu identifică platforma aplicației afectate și nu oferă un bilanț al site-urilor compromise.

De asemenea, Sophos precizează că nu a identificat, în activitatea analizată, dovezi privind instalarea de ransomware, furtul de date sau compromiterea lanțului de aprovizionare software.

ACTUALIZARE 5: PHP2Shell: cercetătorii confirmă un exploit care ocolește ASLR

22 octombrie 2026, 21:12, ora României

VulnCheck a confirmat o evoluție tehnică importantă, care nu a fost inclusă în alertele anterioare: cercetătorii au dezvoltat un exploit funcțional pentru CVE-2026-109618, inclusiv pe sisteme x86-64 care folosesc protecția ASLR.

Ce este nou?

În actualizarea din 22 octombrie, ora 08:30 în România, VulnCheck confirmă că exploitul său poate executa cod de la distanță pe PHP 8.4.26, chiar și atunci când:

• ASLR, mecanismul de randomizare a adreselor din memorie, este activ.
• display_errors este dezactivat, conform recomandărilor pentru mediile de producție.

Exploitul combină o scurgere de informații din memorie cu executarea de cod.

Această descoperire este importantă deoarece ASLR era considerat un obstacol semnificativ pentru exploatarea vulnerabilităților PHP2Shell pe sistemele x86-64.

Ce este confirmat și ce rămâne neclar?

Confirmat: VulnCheck a demonstrat executarea de cod pe o configurație care utilizează ASLR. Exploitul este disponibil clienților serviciului său de informații despre vulnerabilități.

Neconfirmat: utilizarea acestui exploit în atacuri reușite asupra unor site-uri WordPress reale.

Cercetătorii precizează că majoritatea instrumentelor publice care pretind că exploatează PHP2Shell nu reușesc să ocolească independent ASLR pe x86-64.

Nu a fost publicat un nou bilanț verificat al serverelor compromise.

O a doua informație importantă: Palo Alto Networks

Palo Alto Networks confirmă că versiunile actuale PAN-OS și Panorama sunt afectate de PHP2Shell, iar actualizările care remediază problema nu sunt încă disponibile.

Riscul privește interfața web de administrare și serviciul XML API, nu traficul obișnuit procesat de firewall.

Compania nu cunoaște, în prezent, atacuri reușite împotriva produselor sale. Recomandă restricționarea accesului la interfețele de administrare până la publicarea corecțiilor.

ACTUALIZARE 4: PHP2Shell: atacatorii distribuie deja malware prin tentativele de exploatare

22 octombrie 2026, 19:50 ora României

O analiză tehnică publicată și actualizată de ELLIO Threat Research Lab documentează o evoluție importantă, diferită de actualizările anterioare privind patch-urile PHP.

Noutatea: cercetătorii au identificat tentative de exploatare PHP2Shell care transportă programe malițioase funcționale, inclusiv instrumente DDoS și software pentru accesarea de la distanță a serverelor.

Ce au descoperit cercetătorii?

În actualizarea din 22 octombrie, ora 05:00 UTC (08:00 în România), ELLIO a documentat activitatea a două adrese IP care au trimis încărcări de fișiere suspecte între 03:46 și 04:22 UTC.

Au fost identificate trei categorii de malware:

• Un instrument DDoS pentru Linux, capabil să participe la atacuri împotriva altor servere.
• Un web shell pentru IIS, destinat administrării neautorizate a unui server.
• Un agent de acces la distanță dezvoltat în Go, cu funcții pentru executarea comenzilor, transferul fișierelor și controlul interactiv al sistemului.

Separat, ELLIO a identificat noi metode de suprasolicitare a procesării formularelor PHP, inclusiv solicitări care conțin un număr foarte mare de antete HTTP în interiorul încărcărilor multipart.

Ce este confirmat și ce rămâne neclar?

Confirmat: cercetătorii au analizat programe malițioase reale transportate în solicitări asociate PHP2Shell. Au identificat inclusiv infrastructură de comandă și control.

Neconfirmat: aceste tentative au reușit să compromită servere WordPress reale. Prezența unui program malițios într-o solicitare nu demonstrează că serverul destinatar l-a executat.

Nu există în această analiză un bilanț verificat al site-urilor compromise.

ACTUALIZARE 3: PHP2Shell: CloudLinux avertizează asupra unor actualizări care pot eșua

22 octombrie 2026, 16:17 ora României

CloudLinux a publicat o nouă avertizare privind instalarea corecțiilor pentru CVE-2026-109618 și CVE-2026-109619.

Noutatea importantă: pe anumite servere, actualizările PHP pot eșua sau pot indica faptul că nu există pachete noi, deoarece pachetul cloudlinux-release este învechit.

Astfel, un administrator poate crede că serverul este actualizat, deși corecțiile PHP2Shell nu au fost instalate.

Ce este confirmat?

CloudLinux a publicat versiunile actuale ale pachetului cloudlinux-release:

Compania a clarificat și că anumite pachete PHP native sunt încă distribuite gradual. Prin urmare, disponibilitatea corecțiilor diferă în funcție de versiunea CloudLinux și de tipul instalării PHP.

Pachetele alt-php și ea-php au deja corecții disponibile în depozitele stabile.

Ce rămâne neclar?

Nu există informații despre numărul serverelor care au întâmpinat această problemă.

De asemenea, avertizarea nu indică o vulnerabilitate nouă sau un nou val confirmat de compromiteri WordPress. Este o problemă operațională care poate împiedica instalarea corecțiilor existente.

ACTUALIZARE 2: PHP2Shell: actualizări noi pentru cPanel și Plesk

22 octombrie 2026, 14:27 ora României

Au apărut informații importante pentru administratorii de site-uri WordPress care folosesc cPanel sau Plesk.

Noutatea principală: ambii furnizori confirmă disponibilitatea unor actualizări care remediază PHP2Shell inclusiv pentru PHP 7.4, 8.0 și 8.1, versiuni care nu mai beneficiază de suport standard din partea proiectului PHP. Anunțurile oficiale au fost actualizate astăzi, 22 octombrie.

1. cPanel confirmă versiunile remediate

Pentru EasyApache 4, sunt disponibile următoarele pachete:

Atenție: aceste versiuni sunt specifice pachetelor furnizate de cPanel. Nu înseamnă că orice instalare PHP 7.4 sau 8.1 este automat protejată.

2. Plesk confirmă actualizări suplimentare

Plesk a publicat corecții pentru PHP 8.2-8.5, atât pe Linux, cât și pe Windows.

Pentru PHP 7.4, 8.0 și 8.1 pe Linux, actualizările păstrează numărul versiunii. Diferența este data compilării: pachetele construite pe 21 octombrie 2026 includ corecțiile.

Au fost remediate și componentele PHP folosite de panoul Plesk, în versiunile Obsidian 18.0.80 Update 11 și 18.0.81 Update 4.

Ce este confirmat și ce rămâne încă neclar?

Confirmat: cPanel și Plesk au publicat pachete care includ corecțiile pentru CVE-2026-109618 și CVE-2026-109619.

Neclar: câte servere au instalat efectiv actualizările. Disponibilitatea unui patch nu garantează că acesta rulează deja pe fiecare server.

ACTUALIZARE 1: PHP2Shell: au apărut numeroase instrumente de exploatare

22 octombrie 2026, 11:13 ora României

O nouă analiză publicată astăzi de AhnLab arată că, imediat după dezvăluirea vulnerabilităților PHP2Shell, au apărut numeroase proiecte publice care pretind că exploatează sau detectează problemele.

Ce este nou?

Cercetătorii au analizat 100 de repository-uri GitHub asociate PHP2Shell. Dintre acestea, 36 erau prezentate drept instrumente ofensive, iar 46 drept soluții de detectare sau protecție.

83% dintre aprecierile (stars) acumulate de aceste proiecte erau concentrate asupra instrumentelor ofensive. Analiza arată un interes ridicat pentru reproducerea vulnerabilităților, dar nu demonstrează că toate instrumentele funcționează.

AhnLab avertizează și asupra unui risc suplimentar: atacatorii pot distribui cod malițios deghizat în instrumente de testare sau scripturi de protecție.

Ce este confirmat și ce rămâne neclar?

Confirmat: au apărut rapid numeroase proiecte publice asociate PHP2Shell. Unele pretind că reproduc vulnerabilitățile, iar altele oferă măsuri de protecție.

Neconfirmat: câte dintre aceste instrumente permit efectiv executarea de cod de la distanță. AhnLab precizează că analiza a clasificat repository-urile după descrieri și metadate, fără verificarea individuală a codului.

Nu există în această analiză un nou bilanț confirmat al serverelor compromise.

Un val de atacuri WordPress a pus în alertă administratorii de site-uri din întreaga lume. Pe 22 octombrie 2026, companiile de securitate continuă să raporteze tentative de exploatare a două vulnerabilități critice din PHP. Problemele sunt cunoscute sub numele de PHP2Shell și pot permite atacatorilor să preia controlul asupra serverelor vulnerabile.

Situația este cu atât mai serioasă cu cât PHP se află la baza unei mari părți a internetului. Tehnologia este folosită de WordPress, dar și de alte platforme populare, precum Drupal, Joomla sau Magento.

Pe 21 octombrie au fost publicate actualizări de securitate de urgență. Cu toate acestea, tentativele de atac au crescut rapid, iar mai multe instituții și companii au luat măsuri preventive.

Ce s-a întâmplat pe 21 și 22 octombrie 2026?

Totul a pornit de la descoperirea a două vulnerabilități critice în PHP, identificate prin codurile CVE-2026-109618 și CVE-2026-109619.

Inițial, dezvăluirea publică a problemelor era programată pentru 22 octombrie. Planul s-a schimbat după ce informații despre vulnerabilități au început să circule online.

Pe 20 octombrie, echipa PHP a anunțat că pregătește o actualizare urgentă. Lansarea a fost devansată cu o zi, pentru a reduce perioada în care atacatorii puteau exploata problemele cunoscute.

Primele tentative au apărut însă înainte de publicarea actualizărilor. Potrivit Amazon Threat Intelligence, un atac asupra infrastructurii sale de testare MadPot a fost identificat încă din 17 octombrie. Acesta a avut loc cu patru zile înainte de publicarea oficială a vulnerabilităților.

Pe 21 octombrie, mai multe companii de securitate au observat încercări de exploatare. După lansarea actualizărilor, numărul tentativelor a crescut accelerat. Cloudflare a raportat mii de tentative înainte de anunțul public. În primele două ore după dezvăluire, numărul acestora a ajuns la sute de mii. Până pe 22 octombrie, compania vorbea deja despre milioane de încercări. Aceste cifre indică amploarea activității malițioase, nu numărul site-urilor compromise.

Ce este PHP2Shell și de ce este atât de periculos?

PHP2Shell este denumirea folosită pentru două vulnerabilități care afectează modul în care PHP gestionează memoria serverului. Ambele au primit un scor CVSS de 9,2 din 10, ceea ce le plasează în categoria vulnerabilităților critice.

Prima problemă, CVE-2026-109618, apare în anumite situații în care PHP rămâne fără memoria necesară pentru procesarea unei solicitări. Sistemul poate ajunge să utilizeze date interne care nu au fost inițializate corect.

A doua vulnerabilitate, CVE-2026-109619, este legată de reutilizarea unor informații din memorie după ce acestea ar fi trebuit eliminate.

Pentru un utilizator obișnuit, aceste detalii pot părea complicate. Important este însă rezultatul posibil al exploatării. Un atacator poate trimite solicitări special construite către un server vulnerabil. În anumite condiții, acestea pot provoca erori care permit accesarea memoriei sau executarea de cod malițios.

Vulnerabilitățile sunt deosebit de grave deoarece pot fi exploatate fără autentificare. Atacatorul nu are nevoie de un cont de administrator WordPress și nici de parola site-ului. Cercetătorii au demonstrat posibilitatea executării de cod de la distanță, inclusiv pe servere care rulează configurații obișnuite de PHP.

De ce sunt vizate site-urile WordPress?

WordPress funcționează folosind PHP. Limbajul procesează cererile utilizatorilor, comunică cu baza de date și execută o mare parte din funcționalitățile site-ului. În majoritatea incidentelor de securitate WordPress, problemele provin din plugin-uri vulnerabile, teme neactualizate sau parole compromise.

În cazul PHP2Shell, situația este diferită. Vulnerabilitățile nu se află în WordPress, ci în PHP, la nivelul infrastructurii serverului. Asta înseamnă că un site poate folosi cea mai recentă versiune WordPress și poate avea toate plugin-urile actualizate, dar să rămână expus.

De asemenea, nu contează dacă site-ul utilizează Elementor, WooCommerce sau o temă personalizată. Elementul relevant este versiunea PHP și configurația în care aceasta rulează.

Echipa WordPress a confirmat oficial că nu este necesară o actualizare specială a platformei pentru remedierea PHP2Shell.

Aceeași problemă poate afecta și alte aplicații dezvoltate în PHP. Din acest motiv, alerta de securitate depășește cu mult ecosistemul WordPress.

Cât de extinse sunt atacurile WordPress?

Conform datelor prezentate de Wiz Research, PHP este utilizat de aproximativ 70% dintre site-urile web. Vulnerabilitățile descoperite afectează numeroase versiuni ale limbajului, inclusiv unele lansate cu peste un deceniu în urmă.

Totuși, procentul de utilizare a PHP nu reprezintă procentul site-urilor compromise sau chiar al instalațiilor vulnerabile în prezent. Expunerea reală depinde de versiunea instalată, de actualizările aplicate și de configurația serverului.

Amploarea incidentului a determinat și reacții din partea autorităților. Pe 21 octombrie, mai multe site-uri guvernamentale din Europa au devenit temporar indisponibile. Unele instituții au ales să restricționeze accesul public până la instalarea actualizărilor.

Pe 22 octombrie, autoritățile din China și Coreea de Sud au anunțat măsuri suplimentare de securitate. În Japonia, anumite instituții financiare și servicii guvernamentale au suspendat temporar unele funcționalități online.

Aceste decizii au fost luate pentru limitarea riscurilor. Nu toate întreruperile au fost provocate de atacuri reușite. La momentul redactării articolului, rapoartele publice confirmă exploatări și tentative la scară largă. Ele nu oferă însă un bilanț verificat al tuturor serverelor compromise.

Ce se poate întâmpla dacă un site este compromis?

Consecințele unui atac PHP2Shell depind de configurația serverului și de accesul obținut de atacator. Un scenariu grav este executarea de cod malițios pe server. În această situație, atacatorul ar putea modifica fișiere, instala programe nedorite sau încerca să obțină acces suplimentar.

O altă posibilitate este expunerea informațiilor păstrate temporar în memoria proceselor PHP. Acestea pot include parole, token-uri de autentificare, chei API sau alte date sensibile procesate de aplicație.

Pentru un magazin WooCommerce, un incident de securitate poate provoca întreruperea comenzilor sau afectarea datelor clienților. Pentru o platformă educațională, pot deveni indisponibile conturile și materialele utilizatorilor.

Nu toate atacurile produc asemenea efecte. Unele solicitări malițioase sunt blocate, iar altele nu reușesc să exploateze vulnerabilitățile. Riscul este însă suficient de mare încât echipa PHP recomandă actualizarea imediată.

Ce actualizări PHP au fost lansate?

Pe 21 octombrie, dezvoltatorii PHP au publicat patru versiuni care remediază vulnerabilitățile:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Administratorii trebuie să instaleze o versiune care include corecțiile de securitate și să se asigure că procesele PHP folosesc efectiv codul actualizat.

Pentru sistemele care folosesc PHP 8.1 sau versiuni mai vechi, situația necesită atenție suplimentară. Aceste versiuni nu mai beneficiază de actualizări obișnuite din partea proiectului PHP. Anumiți furnizori pot distribui totuși corecții speciale pentru sistemele mai vechi.

De asemenea, PHP 8.2 se apropie de finalul perioadei de suport, programat pentru 31 decembrie 2026. Prin urmare, administratorii ar trebui să ia în calcul și o strategie de actualizare pe termen lung, nu doar remedierea incidentului actual.

Cum verifici dacă un site WordPress este expus?

Primul pas este identificarea versiunii PHP folosite de site. Informația poate fi găsită direct în panoul WordPress, în secțiunea Instrumente → Sănătatea site-ului → Informații → Server. Aici este afișată versiunea PHP care rulează site-ul. Dacă aceasta este anterioară uneia dintre versiunile corectate, trebuie verificat dacă furnizorul de hosting a aplicat deja un patch de securitate.

Unele distribuții Linux folosesc actualizări de tip backport. Acestea introduc corecțiile într-o versiune existentă, fără să modifice neapărat numărul principal al versiunii PHP. Din acest motiv, simpla verificare a numărului versiunii nu este întotdeauna suficientă. Administratorul ar trebui să solicite furnizorului confirmarea explicită că vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 au fost remediate.

Înainte de orice modificare majoră, este recomandată realizarea unui backup și verificarea compatibilității site-ului cu noua versiune PHP. Totuși, pregătirea actualizării nu trebuie să întârzie nejustificat remedierea unei vulnerabilități critice.

Firewall-ul și plugin-urile de securitate sunt suficiente?

Mai mulți furnizori au implementat protecții suplimentare împotriva PHP2Shell. Cloudflare a anunțat activarea unor reguli de securitate pentru clienții care utilizează firewall-ul său, inclusiv pentru planurile gratuite. Regulile urmăresc identificarea solicitărilor suspecte și blocarea unor metode de exploatare cunoscute.

Compania a introdus și mecanisme care analizează atât solicitările trimise către server, cât și răspunsurile generate de acesta. Cu toate acestea, un firewall nu poate garanta blocarea tuturor variantelor de atac.

O nouă metodă de exploatare poate utiliza solicitări diferite de cele deja cunoscute. În plus, regulile aplicate la nivelul răspunsului nu pot anula automat ceea ce s-a executat deja pe server. Plugin-urile de securitate WordPress pot oferi protecții utile împotriva altor amenințări. Ele nu pot însă repara vulnerabilități din motorul PHP.

Actualizarea PHP rămâne singura soluție completă pentru remedierea problemelor PHP2Shell cunoscute.

Ce faci dacă site-ul este găzduit pe un serviciu administrat?

În cazul serviciilor de hosting administrat, actualizările PHP pot fi realizate direct de furnizor.

Automattic a confirmat că infrastructura sa, inclusiv WordPress.com, WordPress VIP și Pressable, beneficiază de protecții împotriva acestor vulnerabilități. Pentru clienții acestor servicii, nu este necesară instalarea manuală a unui patch PHP specific incidentului.

În schimb, proprietarii care folosesc servere VPS, servere dedicate sau servicii de hosting cu administrare proprie trebuie să verifice situația sistemelor lor. Este important să confirme atât instalarea actualizărilor, cât și repornirea proceselor PHP afectate.

Dacă furnizorul nu poate aplica rapid corecțiile, trebuie evaluate măsuri temporare de reducere a expunerii. În situațiile cu risc ridicat, recomandările autorităților includ chiar restricționarea accesului public până la remediere.

Cum îți dai seama dacă site-ul a fost deja atacat?

Instalarea unui patch împiedică exploatarea viitoare a vulnerabilităților cunoscute. Ea nu demonstrează însă că serverul nu a fost compromis anterior. Acest aspect este important deoarece Amazon a identificat activitate suspectă asociată PHP2Shell încă din 17 octombrie. Administratorii ar trebui să verifice jurnalele serverelor începând cel puțin cu această dată.

Printre semnele care justifică o investigație se numără erorile HTTP 500 repetate, repornirile neobișnuite ale proceselor PHP și solicitările suspecte de încărcare a fișierelor.

Trebuie urmărite și modificările neautorizate ale fișierelor sau apariția unor procese necunoscute. Aceste simptome nu confirmă automat existența unui atac. Ele pot avea și cauze tehnice obișnuite. Dacă există indicii serioase de compromitere, este recomandată izolarea sistemului și păstrarea jurnalelor pentru analiză.

Ulterior, trebuie evaluate integritatea fișierelor, accesul la server și eventualele date expuse. În funcție de rezultate, pot fi necesare schimbarea credențialelor și restaurarea dintr-un backup verificat.

Ce rol a avut inteligența artificială în descoperirea PHP2Shell?

Un aspect important al incidentului este utilizarea inteligenței artificiale în cercetarea de securitate. Potrivit PHP Foundation și Wiz, instrumentele AI au contribuit la identificarea, analizarea și verificarea unor vulnerabilități care existau în cod de foarte mulți ani.

Problemele erau greu de exploatat deoarece necesitau o înțelegere avansată a modului în care PHP gestionează memoria. Modelele AI au ajutat cercetătorii să testeze scenarii complexe și să adapteze metodele de analiză. Aceleași progrese pot însă reduce și timpul necesar atacatorilor pentru dezvoltarea unor metode de exploatare.

Incidentul PHP2Shell arată că intervalul dintre descoperirea unei vulnerabilități și apariția atacurilor poate deveni foarte scurt. Pentru administratorii de site-uri, acest lucru schimbă modul în care trebuie prioritizate actualizările critice. În anumite situații, o intervenție programată peste câteva zile poate fi prea târzie.

Ce înseamnă atacurile WordPress pentru proprietarii de afaceri?

PHP2Shell evidențiază o problemă adesea ignorată: securitatea unui site nu depinde exclusiv de WordPress. Platforma, plugin-urile și temele reprezintă doar o parte din infrastructură. Serverul, versiunea PHP, configurațiile de securitate și monitorizarea sunt la fel de importante.

Pentru companiile care folosesc site-ul ca instrument de vânzare sau comunicare, o vulnerabilitate critică poate avea consecințe comerciale.

Întreruperea unui magazin online înseamnă comenzi pierdute. Compromiterea datelor poate genera costuri de recuperare și obligații suplimentare privind protecția informațiilor. De aceea, administrarea unui site trebuie să includă actualizări regulate, backupuri, verificări de securitate și un plan de intervenție.

Incidentul din octombrie 2026 demonstrează cât de repede se poate schimba nivelul de risc, chiar și atunci când site-ul funcționează aparent normal.

Concluzie

Atacurile WordPress asociate PHP2Shell reprezintă una dintre cele mai importante alerte de securitate web din octombrie 2026. Cele două vulnerabilități critice afectează PHP, iar tentativele de exploatare au fost identificate chiar înainte de publicarea oficială a problemelor.

Pentru proprietarii de site-uri, cea mai importantă măsură este verificarea infrastructurii și confirmarea instalării corecțiilor de securitate. Un WordPress actualizat nu este suficient dacă serverul pe care funcționează rămâne vulnerabil.

Într-un context în care atacurile pot începe la doar câteva ore după descoperirea unei probleme, mentenanța și securitatea nu mai pot fi tratate ca activități ocazionale.

Pentru a fi la curent cu cele mai importante noutăți din WordPress, securitate web și tehnologie, urmărește blogul TRS Design. Publicăm constant articole despre schimbările care pot afecta site-urile și afacerile online, alături de recomandări practice pentru a le menține sigure și actualizate.

Surse verificate

• PHP Foundation – Explicațiile despre vulnerabilități și actualizări
• PHP.net – Versiunile remediate și recomandările oficiale
• WordPress.org – Anunțul de securitate
• Amazon AWS – Atacurile identificate încă din 17 octombrie
• Reuters – Evoluția atacurilor și reacțiile internaționale, 22 octombrie
• Cloudflare – Protecțiile implementate împotriva PHP2Shell
• WordPress.com – Confirmarea protecției pentru hostingul administrat