PHP2Shell: vulnerabilitatea critică din PHP și cum îți protejezi serverul

Răspuns scurt

Ambele sunt erori de siguranță a memoriei în modul în care PHP procesează cererile web, inclusiv upload-urile de fișiere. Fiecare are scorul 9,2 din 10 pe CVSS v4.0. Soluția este să actualizezi PHP la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35, ori la pachetul reparat al distribuției Linux, apoi să repornești PHP.

Problema este în PHP, nu într-un plugin. Orice site PHP ar trebui să-și verifice versiunea azi.

Cine este afectat?

• Apache cu mod_php: riscul cel mai mare, pentru că un exploit demonstrat se declanșează înainte să ruleze codul aplicației
• PHP-FPM, configurația din spatele majorității serverelor Nginx: afectat, iar exploatarea depinde de configurare și de comportamentul aplicației
• Alte moduri de a rula PHP, precum php-cgi, FrankenPHP și LiteSpeed, sunt de asemenea listate ca afectate
• Versiuni vechi: reparațiile oficiale acoperă PHP 8.2–8.5; PHP 8.1 și mai vechi nu mai au suport, deci depinzi de furnizorul sistemului de operare sau de un serviciu de suport extins

Este PHP2Shell exploatat deja?

Rapoartele diferă. Unii furnizori de securitate spun că au văzut tentative de exploatare, alții nu au confirmat atacuri reale, iar cercetătorii notează că exploatarea sigură e mai grea pe unele sisteme decât pe altele. Sfatul rămâne același: detaliile sunt publice, deci pornește de la ideea că atacatorii lucrează deja la asta și fă update acum.

Cum repari PHP2Shell, pas cu pas

• Află ce versiune de PHP rulează efectiv site-ul, din panoul de hosting sau dintr-o pagină phpinfo(); comanda php -v din terminal arată versiunea de linie de comandă, care poate fi diferită
• Actualizează la PHP 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 ori instalează update-ul de securitate al distribuției
• Repornește PHP-FPM și serverul web, pentru că procesele care rulează păstrează în memorie codul vechi, vulnerabil
• Pe hosting administrat, verifică pagina de status a furnizorului, pentru că mulți furnizori aplică patch-ul în locul tău
• Pe PHP 8.1 sau mai vechi, planifică upgrade-ul acum, nu la următoarea urgență

Există o soluție temporară?

Doar una parțială. Setarea session.upload_progress.enabled = 0 în php.ini sau în configurația pool-ului PHP-FPM blochează o cale de atac cunoscută pentru CVE-2026-109619, dar nu ajută deloc la CVE-2026-109618. Regulile de web application firewall pot bloca tiparele de exploatare cunoscute. Tratează-le pe amândouă ca soluții provizorii până instalezi update-ul real.

Ce înseamnă PHP2Shell pentru proprietarii de business

Multe companii nu știu pe ce versiune de PHP rulează site-ul, magazinul online sau tool-urile interne. Acesta este riscul real. Pune-i celui care îți administrează site-ul trei întrebări: ce versiune de PHP rulează în producție, când a fost actualizată ultima dată și cine se ocupă de următorul update de urgență. Dacă nimeni nu răspunde repede, asta e problema de rezolvat.

Concluzie

PHP2Shell este grav pentru că stă chiar în PHP și poate fi atins fără autentificare. Soluția e simplă: actualizezi PHP, îl repornești și confirmi că noua versiune rulează. Fă-o azi, apoi asigură-te că următorul patch nu depinde de noroc.