Experţii Zitec cer aplicarea imediată a actualizărilor tehnologice în urma breşei descoperite în PHP

Două breşe de securitate critice ascunse de peste un deceniu în codul PHP au generat o situaţie de urgenţă la nivel mondial, pe fondul accelerării riscurilor cibernetice prin utilizarea modelelor de inteligenţă artificială, arată o informare de presă transmisă redacţiei de integratorul de soluţii IT şi tehnologie Zitec. Vulnerabilităţile, înregistrate sub codurile CVE-2026-109618 şi CVE-2026-109619, au determinat echipa PHP să devanseze publicarea pachetelor de remediere pentru data de 21 octombrie, în timp ce agenţiile de securitate din Europa şi Directoratul Naţional de Securitate Cibernetică (DNSC) din România au cerut aplicarea fără întârziere a măsurilor de protecţie pe servere. Miza este masivă pentru ecosistemul online, în condiţiile în care datele W3Techs indică faptul că PHP rulează pe 69,3% dintre site-urile web al căror limbaj de programare pe server este identificabil.

Breşele au fost semnalate fără urmări practice într-un raport de eroare din 2020 şi reconfirmate în auditul de securitate derulat în 2024 de un dezvoltator din nucleul PHP Foundation, însă la acel moment nu exista un mecanism de exploatare, iar remedierea a fost amânată. Situaţia s-a schimbat radical în luna august a acestui an, când companiile Wiz, Google, OpenAI şi Calif au identificat problema cu ajutorul modelelor de inteligenţă artificială, moment descris de analişti drept un punct de inflexiune în care tehnologiile AI au transformat un defect vechi de zece ani într-un vector de atac funcţional.

Echipa de răspuns la incidente de securitate a instituţiilor UE (CERT-EU) a atribuit ambelor vulnerabilităţi scorul de risc CVSS de 9,2, avertizând că acestea permit rularea de la distanţă a unor coduri maliţioase fără autentificare şi citirea memoriei interne a serverelor, ceea ce poate duce la compromiterea parolelor, cheilor API şi a certificatelor digitale. Deşi compania Sansec a estimat că un atac în masă presupune condiţii specifice de configurare, furnizori precum watchTowr au semnalat tentative active de exploatare, Amazon Threat Intelligence a detectat primele atacuri încă din 17 octombrie, iar Wikimedia Foundation a oprit temporar o parte dintre sisteme ca măsură preventivă.

Contextul a fost amplificat de alte incidente majore derulate în aceeaşi săptămână: compromiterea cheilor private aferente unui număr de opt certificate digitale (fapt care a dus la revocarea lor de către eMudhra, blocarea în browsere şi actualizarea listelor de către managerul Composer), alături de emiterea unor actualizări de către GitLab pentru vulnerabilitatea CVE-2026-97229 (scor maxim 10), după un alt incident critic înregistrat în septembrie.

O sursă majoră de vulnerabilitate o constituie sistemele care folosesc versiuni vechi, scoase din perioada de asistenţă oficială (end-of-life), precum PHP 8.1 sau variantele anterioare, pentru care au fost publicate doar adaptări minimale de cod sursă. Conform W3Techs, versiunea 7 este activă în continuare pe 26,9% din totalul site-urilor PHP, iar versiunea 5 pe 7,7%.

„Versiunile vechi sunt locul în care riscul rămâne după ce trece urgenţa. Fiecare sistem care rulează PHP 8.1 sau mai vechi are nevoie de un plan clar, fie de migrare pe o versiune suportată, fie de măsuri extra preventive până la o soluţie definitivă. Noi deja testăm intern versiuni de imagini pentru PHP 8.1, 8.0 şi 7.4 cu fixurile de securitate incluse şi ne dorim să le ducem în producţie cât mai rapid pentru clienţii noştri”, a declarat directorul de tehnologie (CIO) al Zitec, Marius Bălteanu, în informarea transmisă.

În gestionarea acestui val, infrastructura pregătită din timp a permis echipei Zitec să aplice reguli speciale de tip Web Application Firewall (WAF) şi corecţii pentru incidentul eMudhra înaintea lansării publice a patch-urilor oficiale, iar ulterior, în decurs de 15 minute, noile imagini standardizate au fost verificate şi replicate pe serverele de producţie fără atacuri confirmate.

„Într-o situaţie ca aceasta, diferenţa o face munca făcută cu mult înainte. Când update-ul oficial a apărut, automatizarea l-a dus pe toate proiectele, iar echipa s-a putut concentra pe verificare şi pe comunicarea cu clienţii”, a adăugat Marius Bălteanu.

Specialiştii recomandă organizaţiilor instalarea imediată a versiunilor oficiale de PHP (actualizarea simplă a aplicaţiei sau a plugin-urilor fiind insuficientă), activarea unui Web Application Firewall în faţa platformelor web pentru filtrarea tentativelor de atac (soluţii precum Cloudflare, care a livrat reguli dedicate cu 9 ore înainte de publicare, sau Google Cloud Armor) şi actualizarea listelor de certificate de încredere în toate aplicaţiile şi containerele. Pe termen mediu şi lung, securitatea informatică şi protocoalele de reacţie rapidă trebuie integrate nemijlocit în strategia centrală de afaceri a fiecărei companii.