# Vulnerabilitatea de securitate PHP explicată simplu

> Vulnerabilitatea PHP explicată simplu: ce este PHP, ce nu merge la PHP2Shell, ce înseamnă termenii tehnici și ce ar trebui să facă proprietarii de site-uri acum.

Sursa: https://phpsos.de/ro/blog/php-luecke-einfach-erklaert/  
Stadiu: 25.10.2026  
Furnizor: PHP SOS, Asistență de urgență PHP și securitatea serverelor. Ajutor imediat pe WhatsApp: https://wa.me/491736494914?text=Bun%C4%83%20ziua%2C%20PHP%20SOS%2C%20avem%20nevoie%20de%20ajutor%20cu%20serverul%20nostru%20PHP.%20Firma%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Pe scurt:** Vulnerabilitatea PHP explicată simplu: PHP este software-ul de pe serverul web care construiește site-urile chiar în momentul în care cineva le accesează. La PHP2Shell, PHP nu face curat corect în anumite cazuri excepționale, iar exact acest lucru îl pot exploata atacatorii pentru a executa comenzi proprii pe server fără parolă. Remediul este o actualizare PHP urmată de o repornire, pe care de regulă o instalează furnizorul dumneavoastră de hosting sau prestatorul.

## De ce vorbesc acum toți despre PHP

La știri se vorbea despre o „vulnerabilitate critică”, autorități au scos site-uri din rețea, BSI (Oficiul Federal German pentru Securitatea Informațiilor) a avertizat cu nivelul portocaliu. Pentru mulți proprietari și angajați sună amenințător și, în același timp, de neînțeles. Ce este PHP și de ce afectează tocmai site-ul propriei firme?

Acest articol explică situația fără jargon. Cine vrea apoi să aprofundeze găsește încadrarea tehnică la [Ce este PHP2Shell?](https://phpsos.de/ro/php2shell/was-ist-php2shell/).

## Ce face de fapt PHP: o imagine din viața de zi cu zi

Imaginați-vă site-ul dumneavoastră ca pe un restaurant. Oaspetele este vizitatorul, comanda este accesarea paginii. PHP este bucătăria: preia fiecare comandă, aduce ingredientele din depozit, adică din baza de date, și aranjează farfuria, adică pagina finalizată.

Pentru ca totul să meargă repede, bucătăria are mai mulți bucătari, care execută pe rând multe comenzi. Specialiștii îi numesc „workeri”. După fiecare comandă, locul de muncă trebuie curățat complet înainte de a veni următoarea.

Pe PHP rulează foarte multe sisteme cunoscute: WordPress, Shopware, TYPO3, Joomla, Nextcloud și nenumărate dezvoltări proprii. Cum funcționează PHP în principiu explică articolul [Ce este PHP?](https://phpsos.de/ro/php/was-ist-php/).

## Vulnerabilitatea PHP explicată simplu: ce nu merge la PHP2Shell

PHP2Shell constă în două erori. Ambele au legătură cu curățenia și ambele apar doar în situații excepționale.

**Prima eroare (CVE-2026-109618):** Uneori bucătăria rămâne fără loc în plină pregătire. Specialiștii spun „Out of Memory”, memoria este plină. Atunci munca este întreruptă în timp ce comanda este pregătită doar pe jumătate. La curățarea de după, PHP consideră din greșeală că lucruri neterminate sunt gata.

**A doua eroare (CVE-2026-109619):** După o comandă, rămâne pe locul de muncă ceva ce ar fi trebuit deja strâns. Următoarea comandă a aceluiași bucătar poate accesa acel lucru înainte de a fi îndepărtat.

În ambele cazuri se aplică: cine știe exact cum să provoace această situație excepțională poate determina bucătăria să facă lucruri care nu au fost comandate niciodată. În cel mai rău caz, preia controlul asupra serverului. Nu are nevoie de parolă pentru aceasta. Cum este prelucrată pas cu pas o cerere în PHP descrie articolul despre [ciclul de viață al cererii](https://phpsos.de/ro/php/request-lebenszyklus/).

> **Sfat:**
> Nu trebuie să înțelegeți tehnica pentru a acționa corect. Decisivă este o singură întrebare către furnizorul de hosting sau prestator: Este PHP actualizat și repornit pe serverul nostru și puteți confirma acest lucru în scris?

### Termenii importanți pe scurt

| Termen | Explicat simplu |
|---|---|
| PHP | software pe server care construiește paginile web la accesare |
| Vulnerabilitate de securitate | o eroare pe care persoane străine o pot exploata |
| Număr CVE | număr de identificare unic la nivel mondial al unei vulnerabilități |
| CVSS 9.2 | gravitate pe o scară până la 10; 9.2 este considerat critic |
| Remote Code Execution | persoane străine pot executa de la distanță comenzi proprii pe server |
| Shell | linie de comandă cu care se poate controla un server |
| Patch | actualizare care remediază eroarea |
| Backport | corecție încorporată într-o versiune mai veche, fără a schimba numărul versiunii |
| Repornire | oprirea proceselor PHP vechi, pentru ca versiunea corectată să lucreze efectiv |

## De ce actualizarea, repornirea și verificarea merg împreună

Rămânem la restaurant. Actualizarea este o instrucțiune nouă de lucru pentru bucătărie: de acum curățenia se face așa. Doar că bucătarii aflați în tură continuă să lucreze după instrucțiunea veche. Abia când se schimbă tura se aplică cea nouă. Exact aceasta este repornirea: toate procesele PHP vechi sunt oprite, cele noi pornesc cu versiunea corectată. Fără repornire, actualizarea se află pe server, dar nu are efect.

Și imaginea mai arată ceva. O instrucțiune nouă de lucru previne defecțiuni viitoare, dar nu spune nimic despre faptul dacă în zilele dinainte a fost cineva neobservat în bucătărie și a ascuns ceva. De aceea, după actualizare face parte și o verificare a urmelor, mai ales dacă serverul a fost accesibil în intervalul dintre 17 octombrie și actualizare.

## Ce ar trebui să faceți acum: trei situații tipice de plecare

Ce este de făcut depinde de locul unde se află site-ul dumneavoastră.

1. **Site-ul dumneavoastră se află la un furnizor de hosting (shared hosting).** Furnizorul de hosting instalează, de regulă, actualizarea PHP. Sarcina dumneavoastră: obțineți o confirmare scrisă și verificați în meniul clientului dacă este setată o versiune PHP actuală. Ce altceva mai este sarcina dumneavoastră se află la [Shared hosting: ce face furnizorul și ce trebuie să faceți dumneavoastră](https://phpsos.de/ro/server/shared-hosting/).
2. **O agenție sau un prestator IT vă administrează site-ul.** Întrebați acolo dacă actualizarea a fost instalată și PHP repornit și cereți o scurtă verificare a lucrurilor neobișnuite.
3. **Aveți un server propriu.** Atunci sunteți responsabil dumneavoastră sau IT-ul dumneavoastră: actualizați PHP, reporniți toate procesele PHP, salvați logurile începând cu 20 octombrie și căutați urme.

În toate cele trei cazuri se aplică: o actualizare a WordPress sau a altui sistem de pe site nu închide vulnerabilitatea. Iar o actualizare nu dovedește că nu s-a întâmplat nimic înainte.

## Cum ajută PHP SOS concret?

- **Explicație pe înțelesul tuturor:** Vă spunem în cuvinte clare dacă și cum sunt afectate sistemele dumneavoastră.
- **Discuție cu furnizorul de hosting:** La cerere, clarificăm nivelul de patch direct cu furnizorul dumneavoastră de hosting sau cu prestatorul.
- **Actualizare și verificare:** La servere proprii, instalăm actualizarea, repornim PHP și căutăm urme.
- **Consemnare în scris:** Primiți o scurtă documentație a stării.

Mai mult la [asistența de urgență PHP2Shell](https://phpsos.de/ro/leistungen/php2shell-soforthilfe/).

## Concluzie

PHP2Shell sună complicat, dar situația nu este, în esență: bucătăria site-ului dumneavoastră nu face curat corect în cazuri excepționale, iar acest lucru poate fi exploatat. Actualizarea remediază asta. Sarcina dumneavoastră este să vă asigurați că este instalată, activată și dovedită și, la nevoie, să lăsați să se verifice dacă a fost cineva în bucătărie înainte.


## Întrebări frecvente

**Ce este PHP, în cuvinte simple?**  
PHP este un limbaj de programare care lucrează pe serverul web. Când accesați o pagină, PHP o construiește chiar în acel moment, de exemplu cu produsele actuale, prețurile sau coșul dumneavoastră, și o trimite browserului dumneavoastră.

**Este site-ul meu afectat dacă folosesc WordPress?**  
WordPress rulează cu PHP, de aceea serverul de dedesubt poate fi afectat. Dacă site-ul dumneavoastră este în pericol depinde de starea PHP de pe server, nu de versiunea WordPress. Întrebați furnizorul de hosting sau prestatorul despre actualizarea PHP.

**Pot fi în pericol ca vizitator al unui site?**  
Vulnerabilitatea afectează serverele, nu calculatoarele vizitatorilor. Dacă un server este preluat, atacatorii ar putea însă, de exemplu, să modifice conținut sau să redirecționeze vizitatorii către pagini străine. De aceea actualizarea este importantă pentru operatori.

**Ce înseamnă numele PHP2Shell?**  
El descrie consecința posibilă: prin PHP, un atacator poate obține, în cel mai rău caz, un shell, adică un fel de telecomandă a serverului. Denumirile oficiale sunt CVE-2026-109618 și CVE-2026-109619.

## Surse

- [php.net: anunțuri de securitate](https://www.php.net/)
- [BSI: Oficiul Federal German pentru Securitatea Informațiilor](https://www.bsi.bund.de/)
- [ZDFheute: vulnerabilitate de securitate la PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)