O breșă ascunsă de peste zece ani în limbajul de programare PHP a devenit, în această săptămână, o urgență globală, iar cazul arată cât de mult s-a scurtat în era Inteligenței Artificiale (AI) timpul pe care îl are o companie să reacționeze, afirmă experții în securitate cibernetică.
Potrivit unui comunicat de presă al Zitec, citat de Agerpres, calendarul s-a comprimat după ce informațiile despre vulnerabilitățile descoperite au fost publicate pe data de 20 octombrie, iar echipa PHP a lansat update-urile de urgență pe 21 octombrie, cu o zi mai devreme decât era planificat.
„Autoritățile de securitate din Europa au cerut organizațiilor să își actualizeze imediat sistemele. Impactul e semnificativ, pentru că, potrivit W3Techs, PHP rulează pe 69,3% dintre site-urile al căror limbaj server-side este cunoscut. (…) cazul arată cât de mult s-a scurtat în era AI timpul pe care îl are o companie ca să reacționeze. Vulnerabilitățile, înregistrate ca CVE-2026-109618 și CVE-2026-109619, se regăsesc în PHP de mai bine de zece ani, iar semnalele au existat cu mult înainte de momentul de acum”, se arată în comunicat.
Experții Calif, companie de AI red-teaming din California, subliniază faptul că întreg comportamentul care stă la baza problemei a fost semnalat într-un „bug report” încă din anul 2020, fără urmări, iar în 2024, în timpul primului audit extern de securitate al PHP, un dezvoltator din echipa de bază a observat primele semne ale vulnerabilității, după cum confirmă chiar PHP Foundation. A
„Anul acesta, modelele AI de ultimă generație au schimbat situația. Wiz, Google, OpenAI și Calif au descoperit vulnerabilitățile în august, cu ajutorul AI, și le-au ținut confidențiale până când update-urile au fost pregătite. Wiz descrie momentul ca pe un punct de inflexiune, în care AI-ul a transformat un cod vulnerabil vechi de peste zece ani într-un atac funcțional”, punctează sursa citată.
CERT-EU, echipa de răspuns la incidente de securitate a instituțiilor Uniunii Europene, a evaluat ambele vulnerabilități cu scorul CVSS de 9,2, ceea ce arată că, în anumite condiții, acestea permit unui atacator să ruleze cod pe server de la distanță, fără autentificare, și să citească din memoria serverului informații, precum parole, chei API sau certificate. În acest context, pentru o companie, riscul se traduce în date ale clienților expuse, servicii care pot fi oprite și acces la sistemele conectate.
„Pentru că vulnerabilitatea se află în PHP, platforma pe care rulează aplicațiile, o companie poate fi expusă chiar dacă propriul cod este scris și întreținut corect. Evaluările experților s-au nuanțat pe măsură ce au apărut mai multe date. Amazon Threat Intelligence a înregistrat o primă tentativă de exploatare pe 17 octombrie, cu patru zile înaintea dezvăluirii publice. Pe 22 octombrie, Sansec, companie specializată în securitatea platformelor de e-commerce, a apreciat că o exploatare în masă e mai puțin probabilă decât se estima inițial, pentru că un atac are nevoie de cunoștințe specifice despre serverul vizat și de anumite condiții de configurare. În același timp, companii de securitate precum watchTowr au raportat tentative active de exploatare, iar agenția americană de securitate cibernetică CISA nu observase exploatări la momentul alertei sale din 21 octombrie. Pentru o companie, concluzia rămâne aceeași, pentru că riscul e real și update-ul are prioritate”, susține Zitec.
Organizațiile mari au reacționat pe măsură: Wikimedia Foundation – care operează Wikipedia – a scos temporar din funcțiune o parte dintre sisteme, ca măsură de precauție, iar în România, Directoratul Național de Securitate Ciberetică (DNSC) a emis o alertă pentru cele două vulnerabilități.
„PHP2Shell nu a fost singurul incident major al săptămânii. Tot între 17 și 20 octombrie, s-a aflat că cheile private ale opt certificate au fost compromise. Astfel de chei pot fi folosite pentru a emite certificate false pentru site-uri pe care atacatorul nu le controlează. Browserele majore au blocat certificatele afectate, eMudhra le-a revocat, iar proiecte precum Composer, managerul de pachete al ecosistemului PHP, și-au actualizat listele de certificate de încredere. Potrivit eMudhra, doar unul dintre cele opt certificate era folosit în producție și niciunul nu emisese certificate către utilizatori finali. În paralel, GitLab, platformă de dezvoltare software și CI/CD, a lansat în octombrie update-uri pentru vulnerabilitatea CVE-2026-97229, cu scorul maxim de 10, după ce o altă vulnerabilitate cu același scor, CVE-2026-85706, fusese exploatată activ în septembrie”, se precizează în comunicat.
La momentul actual, update-urile oficiale acoperă versiunile PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35, în timp ce PHP 8.1 și versiunile mai vechi au ajuns la „end-of-life”, iar pentru PHP 7.4, 8.0 și 8.1 au fost publicate doar backport-uri minimale de cod-sursă, care trebuie integrate și testate de fiecare echipă.
„Experiența ultimelor zile confirmă că viteza de reacție depinde de infrastructura construită dinainte. Pe proiectele pe care le operează pentru clienți, Zitec a răspuns în două etape. Înaintea publicării update-urilor oficiale, echipa de incident a urmărit în timp real informațiile din surse verificate și a aplicat măsuri țintite, inclusiv reguli de WAF, care au protejat aplicațiile împotriva tentativelor de exploatare. În paralel, echipa a aplicat o măsură separată pentru incidentul eMudhra. În a doua etapă, în 15 minute de la publicarea imaginilor PHP actualizate, pipeline-urile automate au generat imaginile specifice fiecărui proiect, iar echipele le-au verificat, testat și lansat în mediile de producție. Proiectele au rămas cu zero atacuri confirmate până la data publicării”, conform sursei citate.
Una dintre recomandările experților, ca prim pas, este instalarea update-ului PHP cât mai curând, iar un Web Application Firewall pus în fața aplicațiilor expuse blochează tiparele de atac cunoscute și câștigă timp până la update.
„Cloudflare a livrat reguli dedicate inclusiv pe planul gratuit, cu aproximativ nouă ore înainte de dezvăluirea publică, iar echipa Zitec lucrează cu astfel de soluții specializate, precum Cloudflare și Google Cloud Armor. Totuși, WAF-ul rămâne o apărare suplimentară, iar Cloudflare își descrie propriile reguli drept o soluție temporară, ajustată pe măsură ce atacatorii își schimbă metodele. Incidentul eMudhra adaugă o recomandare pentru toate companiile, indiferent dacă folosesc sau nu PHP: listele de certificate de încredere din aplicații, biblioteci și containere trebuie actualizate odată cu restul stack-ului tehnologic, pentru că browserele s-au protejat automat, dar multe aplicații au nevoie de un update explicit”, notează specialiștii.
Totodată, pe termen lung, se recomandă companiilor să trateze update-urile, protecția aplicațiilor și planul de reacție ca parte din strategia de business.