Alertă de securitate: Vulnerabilități critice identificate în PHP
Serviciul Tehnologia Informației și Securitate Cibernetică (STISC) informează despre două vulnerabilități critice de securitate în PHP, un limbaj de programare utilizat pe scară largă pentru dezvoltarea site-urilor web și a aplicațiilor online.
Potrivit avizului de securitate emis de CERT-EU, cele două vulnerabilități, identificate prin codurile CVE-2026-109618 și CVE-2026-109619 și evaluate cu un scor de severitate CVSS de 9,2 (critic), ar putea permite atacatorilor executarea de cod de la distanță, fără autentificare.
Având în vedere utilizarea extinsă a PHP în dezvoltarea aplicațiilor web, exploatarea acestor vulnerabilități ar putea permite compromiterea sistemelor afectate, accesarea sau modificarea neautorizată a datelor și perturbarea funcționării serviciilor online. Impactul potențial depinde de configurația sistemelor și de nivelul privilegiilor asociate aplicațiilor vulnerabile.
La 21 octombrie 2026, echipa de dezvoltare PHP a publicat actualizări de securitate pentru remedierea vulnerabilităților identificate. Administratorilor li se recomandă aplicarea acestora în cel mai scurt timp posibil.
Versiunile actualizate sunt:
• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12
Versiunile PHP 8.1 și mai vechi nu mai beneficiază de actualizări oficiale de securitate, fiind necesară migrarea către versiuni acceptate și actualizate.
Pentru reducerea riscurilor de securitate și protejarea infrastructurilor informatice, STISC recomandă administratorilor de sisteme, instituțiilor publice și organizațiilor care utilizează PHP următoarele măsuri:
Verificarea versiunilor PHP utilizate pe servere și în aplicațiile web, pentru identificarea sistemelor vulnerabile.
Aplicarea actualizărilor de securitate, prin instalarea versiunilor PHP care conțin remedierile necesare.
Monitorizarea activității sistemelor și analiza jurnalelor de securitate, pentru identificarea eventualelor tentative de exploatare sau activități suspecte.
Aplicarea măsurilor temporare de protecție, inclusiv restricționarea accesului la serviciile vulnerabile, acolo unde este posibil, până la instalarea actualizărilor de securitate.
Realizarea și verificarea copiilor de siguranță ale datelor, pentru asigurarea continuității activității și recuperarea informațiilor în cazul unui incident.
CERT-EU subliniază că măsurile temporare de protecție pot reduce expunerea la anumite metode de atac, însă doar aplicarea actualizărilor de securitate poate remedia complet vulnerabilitățile identificate.
Pentru informații suplimentare și detalii tehnice, consultați:
• Actualizările oficiale de securitate PHP
• CERT-EU – Security Advisory 2026-018: Critical Vulnerabilities in PHP
