Două vulnerabilități prezente de peste zece ani în PHP au determinat lansarea unor actualizări de urgență pe 21 octombrie. Acestea pot permite, în anumite condiții, executarea de cod pe server fără autentificare. Zitec explică riscurile pentru companii într-o informare transmisă pe 23 octombrie.
Ce este PHP2Shell și ce riscuri implică
Denumirea PHP2Shell acoperă vulnerabilitățile CVE-2026-109618 și CVE-2026-109619. Potrivit informării Zitec, CERT-EU le-a evaluat cu un scor CVSS de 9,2. Exploatarea poate permite accesarea unor informații sensibile din memoria serverului, inclusiv parole sau chei API.
Pentru companii, consecințele pot include expunerea datelor clienților și întreruperea serviciilor. Problema se află în PHP, limbajul care execută aplicațiile pe server. Prin urmare, inclusiv aplicațiile cu propriul cod întreținut corect pot fi expuse.
Riscul diferă în funcție de configurația infrastructurii. Conform comunicatului, Sansec aprecia pe 22 octombrie că exploatarea în masă este mai dificilă decât sugerau evaluările inițiale. Atacurile necesită anumite condiții tehnice și informații despre serverul vizat.
Cum a contribuit AI la identificarea vulnerabilităților
Informarea Zitec indică existența unor semnale anterioare privind problema. Comportamentul vulnerabil fusese raportat în 2020, potrivit companiei Calif. Alte indicii au apărut în auditul extern de securitate al PHP din 2024, fără identificarea unei exploatări concrete.
Potrivit aceleiași surse, Wiz, Google, OpenAI și Calif au descoperit vulnerabilitățile în august, folosind instrumente AI. Informațiile au rămas confidențiale până la pregătirea corecțiilor. Cazul arată cum instrumentele noi pot identifica metode de exploatare pentru probleme rămase anterior nerezolvate.
Ce versiuni PHP includ corecțiile
Actualizările oficiale sunt incluse în PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Administratorii trebuie să verifice versiunea instalată și disponibilitatea pachetelor furnizorului. Pentru distribuțiile Linux, corecțiile pot fi livrate prin propriile mecanisme de actualizare.
PHP 8.1 și versiunile anterioare au ieșit din suportul oficial. Comunicatul menționează corecții minimale de cod pentru PHP 7.4, 8.0 și 8.1, care necesită integrare și testare. Disponibilitatea pachetelor corectate trebuie verificată separat cu furnizorul infrastructurii.
Zitec citează date W3Techs potrivit cărora PHP 7 deservește încă 26,9% dintre site-urile care folosesc PHP. Pentru PHP 5, proporția indicată este de 7,7%. Aceste instalări necesită o evaluare separată a opțiunilor de actualizare sau migrare.
Ce înseamnă incidentul pentru companiile din România
În România, DNSC a emis o alertă privind cele două vulnerabilități, potrivit informării Zitec. Companiile care folosesc aplicații PHP trebuie să verifice infrastructura împreună cu administratorii sau furnizorii de găzduire. Actualizarea pluginurilor ori a codului aplicației nu corectează vulnerabilitățile din PHP.
Marius Bălteanu, CIO Zitec, recomandă un plan de migrare pentru sistemele care folosesc versiuni fără suport. Până la implementarea unei soluții definitive, acestea necesită măsuri suplimentare de protecție. Compania anunță că testează imagini software corectate pentru PHP 8.1, 8.0 și 7.4.
Zitec afirmă că automatizările sale au generat imaginile specifice proiectelor în 15 minute de la publicarea imaginilor PHP actualizate. Ulterior, echipele au verificat, testat și instalat actualizările în producție. Compania nu raportase atacuri confirmate asupra proiectelor respective la data comunicatului.
Ce măsuri de protecție recomandă Zitec
Prima măsură recomandată este instalarea actualizărilor PHP. Un Web Application Firewall poate bloca tipare de atac cunoscute și poate ajuta la monitorizarea tentativelor. Protecția oferită de WAF este suplimentară și nu înlocuiește corecțiile software.
Potrivit comunicatului, Cloudflare a distribuit reguli dedicate inclusiv utilizatorilor planului gratuit. Zitec precizează că asemenea reguli sunt temporare și necesită ajustări pe măsură ce metodele atacatorilor evoluează.
Pentru infrastructurile fără suport oficial, instalarea unei corecții punctuale și migrarea sunt decizii distincte. Corecția răspunde vulnerabilităților cunoscute acum, iar migrarea permite accesul la actualizările oficiale viitoare.
Comentariul va fi postat dupa aprobare