PHP2Shell: vulnerabilitatea critică din octombrie 2026, pe înțelesul tuturor

Pe 21 octombrie 2026, echipa de securitate PHP a publicat actualizări de urgență pentru două vulnerabilități critice, cunoscute împreună sub numele „PHP2Shell”. Pentru că PHP stă la baza celei mai mari părți a site-urilor din lume, vestea a pus pe jar administratorii de servere de peste tot.

Ce s-a descoperit

Cele două probleme, înregistrate drept CVE-2026-109618 și CVE-2026-109619, sunt erori de tip „use after free” în nucleul PHP. Exploatate, permiteau unui atacator să ruleze cod pe server fără niciun cont și fără nicio parolă. La scurt timp după publicare a apărut și un cod demonstrativ de exploatare, disponibil public — adică rețeta era la vedere, iar orice server PHP expus la internet devenea o țintă posibilă.

De ce a fost atât de gravă

Un atacator care poate rula cod pe server poate practic orice: să citească baza de date, să fure datele personale ale clienților, să modifice paginile, să trimită spam de pe domeniul firmei sau să instaleze uși ascunse pentru mai târziu. În plus, versiunile vechi de PHP nu mai primesc actualizări oficiale, deci serverele care rulează pe ele depind în întregime de furnizorul de găzduire pentru corecții.

Pe 23 octombrie, echipa PHP a anunțat și o a treia problemă înrudită (CVE-2026-115560), care până la corecție se atenuează printr-o setare de configurare a serverului.

Ce era de făcut

Un singur lucru, dar repede: aplicarea actualizărilor. Cine își administrează singur serverul trebuia să o facă el. Cine are găzduire administrată depindea de reacția furnizorului — iar aici s-a văzut diferența dintre o găzduire întreținută serios și una lăsată de izbeliște.

Cum a fost pentru clienții AI Soft

Serverele pe care găzduim site-urile clienților noștri au primit corecțiile de securitate imediat ce au fost disponibile, iar configurația a fost verificată inclusiv pentru a treia vulnerabilitate. Clienții nu au avut nimic de făcut și nimic de instalat: mentenanța de securitate este inclusă în găzduirea AI Soft.

Episodul PHP2Shell arată încă o dată că securitatea unui site nu este o setare făcută o singură dată, ci o întreținere continuă. Dacă site-ul firmei e găzduit undeva, întrebarea corectă este simplă: cine aplică actualizările de securitate și cât de repede?