Dezvoltatorii PHP, o tehnologie care stă la baza a până la 70% dintre site-urile web la nivel global, au dezvăluit miercuri o problemă critică de securitate care ar putea fi exploatată de hackeri pentru a prelua controlul asupra oricărui sistem care rulează acest software. Aceștia au anunțat că au identificat “două vulnerabilități critice” și le-au recomandat utilizatorilor “să efectueze actualizarea imediat ce este disponibilă”.
Site-urile guvernamentale din Europa și din alte părți ale lumii au fost scoase din funcțiune miercuri, din cauza acestei vulnerabilități. Finlanda a închis temporar serviciile web publice ale guvernului, în timp ce agenția de securitate cibernetică din Olanda a declarat că își scoate propriul site web din funcțiune. Site-ul Consiliului Local din Edinburgh a devenit, de asemenea, inaccesibil.
Între timp, Casa Albă a declarat că agențiile federale evaluează impactul potențial asupra sistemelor guvernamentale și a infrastructurii critice și că colaborează cu laboratoare din domeniul AI pentru a accelera rezolvarea problemei.
Vulnerabilitatea a fost descoperită de cercetători cu ajutorul inteligenței artificiale. Mai exact, Ryan Austin, cercetător la Calif, a descoperit vulnerabilitățile cu ajutorul modelului GPT-5.6 Sol, unul dintre cele mai avansate modele ale OpenAI, în timpul unui audit al codului sursă al PHP, efectuat în luna august. OpenAI a finanțat acest audit, precum și alte audituri similare, ca parte a eforturilor depuse de companiile din domeniu pentru a ajuta proiectele open-source să remedieze vulnerabilitățile software care sunt acum identificate de sistemele AI.
Mai exact, este vorba despre PHP2Shell, o categorie de vulnerabilități ce au legătură cu modul în care PHP gestionează memoria unui computer. Ea poate fi exploatată în multe moduri de către hackeri, care ar putea-o folosi pentru a rula un software neautorizat pe orice server web neactualizat, uneori în doar câteva secunde. Reprezentanții oficiali au declarat că toate versiunile PHP începând cu PHP 5 ar putea fi afectate, deși PHP nu a precizat încă care sunt versiunile vulnerabile.
Directoratul Național de Securitate Cibernetică explică că ”în data de 20 octombrie 2026, echipa de securitate PHP a anunțat publicarea unei actualizări de securitate pentru remedierea a două vulnerabilități critice, ambele evaluate cu CVSS v4.0: 9.2. (…) Având în vedere utilizarea PHP în dezvoltarea aplicațiilor web, situația prezintă un risc potențial pentru organizațiile care operează aplicații bazate pe PHP accesibile din Internet. Exploatarea cu succes ar putea permite unui atacator să execute cod pe un server vulnerabil, impactul depinzând de configurația mediului afectat și de privilegiile cu care rulează aplicația”.
DNSC vine să cu o serie de recomandări:
- Identificați toate sistemele care utilizează PHP, precum soluțiile furnizorilor, serverele de test și aplicațiile vechi sau rar utilizate. Pentru fiecare instalare, verificați versiunea, sursa pachetelor și expunerea la Internet.
- Desemnați un responsabil pentru fiecare instalare și stabiliți cum vor fi aplicate actualizările în producție. Pentru serviciile de găzduire partajată sau administrată, contactați furnizorul.
- Dezactivați temporar funcția session upload progress: pentru sistemele care nu depind de aceasta, setați upload_progress.enabled = Off în php.ini. În cazul PHP-FPM, setarea poate fi impusă la nivelul fiecărui pool prin php_admin_flag[session.upload_progress.enabled] = off, urmată de repornirea serviciului. Precizăm că funcția de afișare a progresului încărcării fișierelor nu va mai fi disponibilă.
- Pentru aplicațiile care nu necesită încărcarea fișierelor, blocați la nivelul serverului web cererile cu antetul Content-Type: multipart/form-data. Un WAF (Web Application Firewall) poate contribui la protecție numai dacă serverul de origine nu poate fi accesat direct, ocolind filtrarea.
- Reduceți expunerea sistemelor critice: dacă o aplicație critică accesibilă din Internet nu poate fi actualizată imediat, evaluați izolarea temporară față de rețeaua publică, ținând cont de disponibilitatea serviciului, iar aplicațiile de test și cele neesențiale pot fi oprite până la remediere.
- Monitorizați net și lista de anunțuri php.announce, deoarece actualizarea ar putea fi publicată înainte de ora programată.
Este cea mai gravă problemă de securitate cu care s-a confruntat PHP în ultimul deceniu și “cea mai gravă vulnerabilitate legată de inteligența artificială descoperită vreodată”, potrivit mai multor specialiști din domeniu. Ami Luttwak, cofondatorul Wiz, a subliniat că problema a fost prea complexă pentru ca să fi fost descoperită fără ajutorul AI. Existența vulnerabilității a fost păstrată secret pentru mai mult timp, de teamă că un hacker asistat de AI ar putea-o descoperi și exploata înainte ca ei să o rezolve.
Surse: The Wall Street Journal, Reuters
Foto: Andrey Sirant | Dreamstime.com
